آیا هکرها و مقررات، DeFi را نابود کردند؟

نویسنده: گو یو، ChainCatcher

در آوریل ۲۰۲۶، مجموعه‌ای از فجایع امنیتی بار دیگر DeFi را به کانون توجه افکار عمومی کشاند. حملات به Kelp DAO و Drift Protocol منجر به خساراتی بیش از ۵۷۵ میلیون دلار شد و ارزش کل قفل‌شده (TVL) در DeFi را از حدود ۱۷۲ میلیارد دلار به ۱۴۸ میلیارد دلار کاهش داد، که در این میان، بخش وام‌دهی شاهد سقوط TVL از ۵۳ میلیارد دلار به ۴۰ میلیارد دلار بود.

در روزهای اخیر، مانوئل آرائوز، هم‌بنیان‌گذار شرکت معتبر حسابرسی امنیتی OpenZeppelin، صراحتاً در پلتفرم X اعلام کرد: «معتقدم تمام DeFi اکنون ناامن است.» او حتی اشاره کرد که به دوستان و خانواده‌اش توصیه کرده تا تمام موقعیت‌های DeFi خود، از جمله پروتکل‌هایی مانند Aave، MakerDAO و Compound را که به عنوان «دارایی‌های بلو چیپ کم‌ریسک» شناخته می‌شوند، نقد کنند.

اگرچه این قضاوت بسیار تند است، اما ارزش تأمل دارد. به هر حال، OpenZeppelin مدت‌هاست که یکی از مهم‌ترین سازندگان زیرساخت‌های امنیتی در دنیای DeFi بوده و استانداردهای قراردادهای هوشمند و ابزارهای امنیتی آن در سراسر توسعه این صنعت نفوذ کرده است. اگر حتی کسانی که سیستم امنیتی قراردادهای هوشمند را بهتر از همه می‌شناسند شروع به زیر سوال بردن ریسک‌های DeFi کرده و قاطعانه از آن خارج می‌شوند، این بدون شک نشان‌دهنده ظهور مسائل عمیق‌تری است.

در چند سال گذشته، هرگاه DeFi با شکست مواجه می‌شد، مردم می‌توانستند به سرعت دلیل خاصی برای آن بیابند. در دوران رکود بازار، تقصیر به گردن محیط کلان اقتصادی می‌افتاد؛ هنگام وقوع حملات هکری، آن را به آسیب‌پذیری‌های فنی نسبت می‌دادند؛ و زمانی که نهادهای نظارتی اقدام می‌کردند، مسائل به عنوان فشار سیاست‌گذاری خلاصه می‌شد.

با این حال، اگر بازه زمانی را گسترش دهیم، به حقیقتی به مراتب روشن‌تر پی می‌بریم: مخمصه‌ای که DeFi امروز با آن روبروست، ناشی از یک حمله واحد، یک سیاست نظارتی خاص یا یک پروژه شکست‌خورده نیست، بلکه دو منطق اصلی که در ابتدا بر پایه آن‌ها بنا شده بود، همزمان با چالش مواجه شده‌اند.

یک منطق از دنیای فنی می‌آید، یعنی اینکه کد می‌تواند جایگزین اعتماد شود. منطق دیگر از دنیای نهادی می‌آید که می‌گوید شبکه‌های باز می‌توانند محدودیت‌های سیستم‌های مالی سنتی را دور بزنند.

و هکرها و رگولاتورها دقیقاً به همین دو ستون ضربه زده‌اند.

۱. تکامل عمیق بحران امنیتی DeFi

برای یک دهه، پارادوکس اصلی در حوزه امنیت DeFi هرگز تغییر نکرده است. محققان امنیت Web3 مدت‌هاست که این عدم تقارن مرگبار را شناسایی کرده‌اند: مدافع باید هر آسیب‌پذیری احتمالی را مسدود کند، در حالی که مهاجم تنها کافی است در یک مورد موفق شود.

در ظاهر، روش‌های حمله چیزی جز موارد معمول نیستند: آسیب‌پذیری‌های پل‌های میان‌زنجیره‌ای، ربودن مجوزهای چندامضایی، دستکاری اوراکل و غیره. با این حال، حوادث مربوط به Kelp DAO و Drift Protocol روند بی‌رحمانه‌تری را آشکار می‌کنند: مرگبارترین آسیب‌پذیری‌ها اغلب در کد قرارداد هوشمند نهفته نیستند.

در ۱۸ آوریل، پروتکل استیکینگ مجدد نقدینگی اتریوم، Kelp DAO، مورد حمله قرار گرفت. مهاجم از یک آسیب‌پذیری پیکربندی در DVN (شبکه اعتبارسنجی غیرمتمرکز) پل میان‌زنجیره‌ای LayerZero سوءاستفاده کرد، پیام‌های میان‌زنجیره‌ای را جعل کرد و ۱۱۶,۵۰۰ rsETH را در عرض چند ساعت از پل خارج کرد که در آن زمان حدود ۲۹۳ میلیون دلار ارزش داشت.

ماهیت این فاجعه یک خطای پیکربندی است، نه نقص کد. Kelp DAO پیکربندی «۱ از ۱» را برای شبکه اعتبارسنجی میان‌زنجیره‌ای LayerZero انتخاب کرده بود؛ یعنی تنها تأیید یک گره DVN برای قانونی تلقی شدن پیام‌های میان‌زنجیره‌ای کافی است. هنگامی که مهاجم دو گره RPC ارائه‌دهنده داده‌های اعتبارسنجی را مختل کرد و یک حمله DDoS را آغاز نمود، کل سیستم پل‌زنی عملاً از کار افتاد.

در ۱ آوریل، یکی از بزرگترین صرافی‌های غیرمتمرکز (DEX) قراردادهای دائمی در اکوسیستم سولانا، Drift Protocol، مورد حمله قرار گرفت که منجر به خسارت ۲۸۵ میلیون دلاری شد؛ این بزرگترین حادثه هک DeFi در سال ۲۰۲۶ تا به امروز و دومین مورد بزرگ در تاریخ سولانا است.

این مورد نیز ناشی از آسیب‌پذیری قرارداد هوشمند نبود. مهاجم با استفاده از مهندسی اجتماعی، حداقل دو نفر از سه امضاکننده کیف پول چندامضایی را فریب داد و آن‌ها را مجبور کرد تا با استفاده از ویژگی durable nonce در سولانا، تراکنش‌های مخرب را پیش‌امضا کنند. هنگامی که مهاجم به امتیازات مدیریتی دست یافت، سرقت وجوه را در کمتر از ۱۲ دقیقه تکمیل کرد.

ریشه این حمله در شکست کامل امنیت عملیاتی (OpSec) نهفته است: پیکربندی نامناسب کیف پول چندامضایی، نقاط کور در مدیریت کلیدها و خط دفاعی مهندسی اجتماعی که عملاً وجود نداشت.

این دو حادثه تکامل عمیق بحران امنیتی DeFi را آشکار می‌کنند: نقاط نفوذ حملات به طور سیستماتیک از آسیب‌پذیری‌های سنتی کد قرارداد هوشمند به لایه‌های پیکربندی و لایه‌های انسانی/OpSec در حال تغییر است.

مانوئل آرائوز به هسته اصلی مشکل اشاره کرد: «امنیت قرارداد هوشمند اساساً یک بازی به شدت نامتقارن است؛ مدافعان باید تمام آسیب‌پذیری‌ها را برطرف کنند، در حالی که مهاجمان فقط باید یکی را پیدا کنند تا وجوه را سرقت کنند.» با شروع افزایش نمایی کارایی حملات توسط هوش مصنوعی، این عدم تقارن به سرعت در حال نامتوازن شدن است.

عوامل کدنویسی هوش مصنوعی می‌توانند مسائلی را که پیش‌تر هفته‌ها زمان نیاز داشت تا توسط تیم‌های برتر کلاه‌سفید کشف شوند، در عرض چند دقیقه فشرده کنند و حتی به طور خودکار اسکریپت‌های حمله را بر اساس کدهای پروتکل موجود در دسترس عموم تولید کنند. به عنوان یکی از اصلی‌ترین شرکت‌های حسابرسی امنیتی در صنعت، قضاوت بدبینانه هم‌بنیان‌گذار آن به عنوان یک سیگنال عمل می‌کند؛ صنعت امنیت خود در حال آگاهی از این است که چارچوب دفاعی موجود با شکست سیستماتیک روبروست.

۲. گسترش مداوم فشار نظارتی

با عمیق‌تر شدن بحران امنیتی، نیروهای نظارتی نیز به طور مداوم در ابعاد درون‌زنجیره‌ای و برون‌زنجیره‌ای فشار وارد می‌کنند.

در ۲۶ مه، دولت بریتانیا صرافی ارز دیجیتال HTX را در لیست تحریم‌های خود علیه روسیه قرار داد که اولین باری است که از مقررات 17A برای اعمال تحریم بر یک صرافی ارز دیجیتال استفاده می‌کند. بریتانیا HTX را متهم کرد که در سال ۲۰۲۵، ۳.۳ تریلیون دلار تراکنش انجام داده و ظاهراً به شبکه پرداخت تحریم‌شده A7 و صرافی روسی Garantex خدمات مالی ارائه کرده است.

واکنش زنجیره‌ای ناشی از این تحریم‌ها به سرعت گسترش یافت. از آنجایی که چندین شرکت اصلی AML (ضد پولشویی) آدرس صرافی HTX را به عنوان آدرس پرخطر فهرست کردند، بسیاری از صرافی‌هایی که از سیستم AML آن استفاده می‌کردند، بررسی تراکنش‌های مربوط به آدرس‌های مرتبط با HTX را تشدید کردند که منجر به بروز مشکل برای کاربران HTX در برداشت دارایی به سایر صرافی‌ها شد.

حادثه HTX معمای عمیق‌تری را آشکار می‌کند: در یک چشم‌انداز ژئوپلیتیک پیچیده، یک تحریم واحد که توسط رگولاتورها آغاز می‌شود، می‌تواند یک اثر زنجیره‌ای گسترده درون‌زنجیره‌ای ایجاد کند و در نهایت بر وجوه کاربران عادی بی‌شمار تأثیر بگذارد. یک کاربر HTX ممکن است در نگهداری دارایی کاملاً بی‌گناه باشد، اما به دلیل ریسک‌های انطباق احتمالی پلتفرم، ممکن است هنگام تلاش برای برداشت به سایر صرافی‌ها با «دیوار آتش» کل سیستم AML مواجه شود که منجر به مسدود شدن یا تأخیر نامحدود وجوه می‌شود.

در واقع، حادثه HTX تنها نوک کوه یخ فشار نظارتی است. آنچه در سطح عمیق‌تری نوآوری DeFi را محدود می‌کند، طبقه‌بندی قانونی مدل‌های کسب‌وکار پروتکل‌ها توسط نهادهای نظارتی است.

طی دو سال گذشته، SEC ایالات متحده تحقیقاتی را در مورد پروتکل‌های «بلو چیپ» DeFi مانند Compound، Uniswap و Curve آغاز کرده است که بر این موضوع تمرکز دارد که آیا توکن‌های حاکمیتی اوراق بهادار ثبت‌نشده محسوب می‌شوند یا خیر. ضربات مستقیم‌تر از بخش توکن‌های دارای بازدهی می‌آید؛ اقدامات اجرایی SEC علیه محصولاتی مانند Gemini Earn نشان می‌دهد که تا زمانی که یک پروتکل بر اساس سپرده‌ها به کاربران سود غیرفعال پرداخت می‌کند، به راحتی به عنوان یک قرارداد سرمایه‌گذاری طبقه‌بندی می‌شود که تعهدات ثبت و افشا تحت قانون اوراق بهادار را فعال می‌کند.

این ابهام قانونی و محیط پرفشار، مستقیماً خلاقانه‌ترین جهت‌گیری‌های نوآوری DeFi را خفه می‌کند: از استخراج نقدینگی گرفته تا محصولات بازدهی ساختاریافته، توسعه‌دهندگان باید دائماً نگران این باشند که آیا مدل‌های اقتصادی توکن آن‌ها از خط قرمزهای نظارتی عبور می‌کند یا خیر.

به نوعی، ماهیت «بدون نیاز به مجوز» که DeFi در ابتدا بر آن تأکید داشت، به تدریج در حال تبدیل شدن به شکل دیگری از «سیستم مجوز» است. این «مجوز» از یک شرکت یا پروتکل خاص نمی‌آید، بلکه از تک‌تک حلقه‌های زنجیره انطباق نظارتی ناشی می‌شود: لیست‌های AML، موتورهای کنترل ریسک صرافی‌ها، صلاحیت قضایی فرامرزی قوانین اوراق بهادار و غیره.

۳. ورود DeFi به فاز واقع‌گرایانه

با نگاهی به فراز و نشیب‌های DeFi در چند سال گذشته، معضلات امنیتی و فشارهای نظارتی DeFi به طور مستقل وجود ندارند. فقدان یک چارچوب نظارتی شفاف، ایجاد اجماع صنعت در مورد استانداردهای امنیتی را دشوار می‌کند؛ وقوع مکرر حوادث امنیتی نیز به نوبه خود، مستقیم‌ترین توجیه را برای نهادهای نظارتی جهانی جهت تشدید اجرا فراهم می‌کند؛ و عدم تقارن امنیتی شتاب‌گیرنده در عصر هوش مصنوعی، همراه با آستانه‌های انطباق که به تدریج در حال سخت‌تر شدن هستند، در نهایت در هم تنیده شده و کاربران عادی بی‌شماری را به مرکز طوفان می‌رانند.

در اصل، مرزهای حسابرسی امنیتی و سخت‌گیری انطباق نظارتی، به طور مداوم دو فرض اصلی که DeFi بر آن‌ها استوار است را فرسایش می‌دهند: «کد قانون است» و «آزادی بدون نیاز به مجوز».

امروزه، کاربران ریسک‌های فنی بالاتری نسبت به امور مالی سنتی متحمل می‌شوند، اما ممکن است آزادی بیشتری نسبت به امور مالی سنتی به دست نیاورند. دقیقاً به همین دلیل است که بسیاری از فعالان بازار سردرگم هستند. آن‌ها متوجه می‌شوند که DeFi نه به اندازه بانک‌ها امن است و نه به اندازه‌ای که در ابتدا وعده داده شده بود، کاملاً باز است.

هنگامی که یک سیستم همزمان هم حق بیمه امنیتی و هم حق بیمه آزادی را از دست می‌دهد، منطق رشد آن طبیعتاً به چالش کشیده خواهد شد. بنابراین، شاید سوال این نباشد که «آیا هکرها و رگولاتورها DeFi را نابود کردند؟»

دقیق‌تر این است که بگوییم هکرها و رگولاتورها صرفاً صنعت را مجبور به مواجهه با واقعیت کرده‌اند. هکرها باعث شدند مردم درک کنند که کد ذاتاً اعتماد ایجاد نمی‌کند؛ رگولاتورها باعث شدند مردم آگاه شوند که دنیای درون‌زنجیره‌ای هرگز به عنوان یک جهان موازی جدا از دنیای واقعی عمل نکرده است.

این به معنای شکست DeFi نیست. برعکس، نشان می‌دهد که این آزمایش در حال گذار از یک فاز ایده‌آلیستی به یک فاز واقع‌گرایانه است.

DeFi توسط هکرها یا رگولاتورها نابود نمی‌شود. بلکه توسط قوانین بقا که توسط هر دو شکل گرفته، در حال بازتعریف است: آینده DeFi باید یا به سمت چارچوب‌های سخت‌گیرانه‌تر خودانتظامی و انطباق حرکت کند که ناچار به مصالحه بر سر اصول تمرکززدایی است؛ یا به دلیل عدم تعادل مداوم میان حمله و دفاع، اعتماد بازار را از دست داده و به تدریج به حاشیه رانده خواهد شد.