الأطراف الثالثة الموثوقة ليست سوى ثغرات أمنية – نيك زابو

محافظ مطفأة ومحفوظة داخل صناديق أمانات أُفرغت في دقائق. فقد نجح المهاجمون في سحب ما يزيد على 116 مليون دولار من بيتكوين من أكثر من 5,200 عنوان، من دون لمس جهاز واحد أو الوصول إليه أو اختراقه. إنه السيناريو الأسوأ لكل من يعتمد الحفظ الذاتي.

تكشف ثغرة كولدكارد (Coldcard) فجوة واضحة بين الوعد الذي حملته تقنية البلوكتشين وبين البنية الفعلية لأسواق الأصول الرقمية اليوم. فقد قامت الفكرة الأصلية على الحد من مخاطر الطرف المقابل الناتجة عن الاعتماد على وسيط واحد أو مجموعة محدودة من الوسطاء. لكن اللامركزية، رغم هدفها المعلن، لم تُلغِ الوساطة من السوق: التوكنات تُحفظ لدى أمناء حفظ، والمنصات تدير التداول، والجهات المصدرة تقدم وعودًا، فيما قد تتحول شركات تصنيع المحافظ المادية بدورها إلى نقطة ثقة وحيدة. هذه التبعيات تخلق مخاطر خاصة لحاملي الأصول الرقمية وتفتح أسئلة قانونية ما زال المشرعون والمحامون والقطاع يحاولون الإجابة عنها.

كيف حدث الاختراق؟

بدأت الحادثة في 30 يوليو 2026، وكان سببها خلل في البرنامج الثابت لبعض محافظ كولدكارد المادية. ففي أجهزة معينة، جرى توليد عبارات استرداد المحافظ عبر مصدر عشوائية برمجي يمكن التنبؤ به، بدلًا من مولّد الأرقام العشوائية المادي الذي كان يفترض أن تعتمد عليه.

ما جعل المسألة أكثر إثارة للقلق لدى خبراء الأمن السيبراني والمدافعين عن الحفظ الذاتي أن الخلل لم يكن عيبًا أصليًا ظاهرًا منذ طرح المنتج. فمنذ إطلاق كولدكارد عام 2017، كانت المحافظ تتضمن مولّدًا حقيقيًا للأرقام العشوائية (TRNG). إلا أن تحديثًا للبرنامج الثابت في 2021 أدخل خطأً أدى، من دون قصد، إلى تجاوز هذا المولّد والاعتماد بدلًا منه على مولّد شبه عشوائي، من دون أي تنبيه للمستخدم. ظلت النتائج تبدو طبيعية، وكان المولّد الحقيقي موجودًا ويعمل عند استدعائه، كما أن المنتج كان قد عمل لسنوات بالصورة المتوقعة. لكن تعديلًا طفيفًا وغير مقصود، يكاد لا يُرى، فتح ثغرة كبيرة أمكن اكتشافها واستغلالها لاحقًا.

وكانت النتيجة العملية أن عبارات الاسترداد القابلة للتنبؤ أتاحت للمهاجمين إعادة بناء المفاتيح الخاصة، من دون لمس أي جهاز أو الوصول إليه أو اختراقه. وهكذا أُفرغت في دقائق محافظ كانت مطفأة داخل صناديق أمانات. وأثبتت الحادثة مقولة زابو: المخاطر لا تقتصر على الوسطاء المركزيين، بل تمتد إلى أي نقطة ثقة منفردة، بما في ذلك شركات تصنيع المحافظ المادية.

وتطرح الحادثة مجموعة من الأسئلة القانونية التي لم تقدم الأطر القائمة إجابات واضحة عنها حتى الآن: من يتحمل الخسارة عندما يفشل منتج أمني عند أكثر مستوياته جوهرية؟ وما الحقوق التي يملكها المتضررون فعلًا؟ وأي مسار قانوني يتيح لهم استرداد أصولهم أو الحصول على تعويض؟

شبكة الأمان المؤسسية

أما المؤسسات، فتواجه هذا النوع من المخاطر من موقع مختلف. فالمؤسسات العاملة ضمن أطر مثل تلك التي تضعها سلطة دبي للخدمات المالية (DFSA) في مركز دبي المالي العالمي (DIFC)، أو سلطة تنظيم الخدمات المالية (FSRA) في سوق أبوظبي العالمي (ADGM)، تحفظ أصولها الرقمية لدى أمناء حفظ خاضعين للتنظيم. وتلتزم هذه الجهات بمتطلبات كفاية رأس المال والمرونة التشغيلية والحوكمة، وبصورة أساسية، بفصل أصول العملاء. وفي دبي، خارج مركز دبي المالي العالمي، تشترط سلطة تنظيم الأصول الافتراضية (VARA) على مزودي خدمات الأصول الافتراضية الذين يقدمون خدمات الحفظ الحصول على الترخيص ذي الصلة، بما يشمل متطلبات تأمين إلزامية. كما لا تعتمد هذه الجهات على جهاز واحد أو مصدر عشوائية واحد، بل تستخدم بنية أمنية متعددة الطبقات، خاضعة للتدقيق ومدعومة بالتأمين حيثما ينطبق.

ويشكّل فصل الأصول الركيزة الأساسية للحماية في ترتيبات الحفظ. فعندما تُحفظ أصول العملاء بصورة منفصلة فعلًا، سواء عبر هياكل مجمعة تتضمن حسابات فرعية واضحة أو من خلال محافظ مستقلة، يفترض من حيث المبدأ ألا تُعد هذه الأصول جزءًا من ممتلكات أمين الحفظ إذا تعرض للإعسار. ويحتفظ العميل بحقوق الملكية فيها، فلا يستطيع دائنو أمين الحفظ الوصول إليها، ولا ممارس الإعسار المعيّن لإدارة إجراءاته.

هذا المبدأ راسخ في التمويل التقليدي؛ فالأوراق المالية التي يحتفظ بها بنك أمين للحفظ لا تصبح أصولًا متاحة لمصفّي البنك. أما في الأصول الرقمية، فيبقى السؤال هو ما إذا كانت تحظى بالمعاملة نفسها. وتعتمد الإجابة على الولاية القضائية، وطبيعة ترتيبات الحفظ بدقة، وكذلك – بصورة قد تكون غير مريحة – على جودة الوثائق التعاقدية. لكن بالنسبة إلى العملاء المؤسسيين، يوجد إطار على الأقل: طرف مقابل، وعقد، ومسار للمطالبة.

حاملو الأصول من الأفراد: فجوة في إطار الحماية

أما حاملو الأصول من الأفراد، فوضعهم أقل أمانًا بصورة ملموسة. وحتى حين يتصرف المستخدم بحذر، ويتحمل مسؤولية أصوله ويضع مفاتيحه الخاصة خارج الاتصال بالإنترنت عبر حل موثوق للحفظ الذاتي، تظل المخاطر قائمة. ففي الحالة المذكورة، خسر المستخدمون كل شيء بسبب عيب في البرنامج الثابت أُدخل بعد أربعة أعوام من طرح المنتج في السوق، ثم بقي من دون اكتشاف لأكثر من خمسة أعوام.

ويجعل انتشار نماذج الذكاء الاصطناعي المتقدمة، وسهولة الوصول إليها وقدرتها على اكتشاف ثغرات اليوم الصفري واستغلالها، من غير المرجح أن تكون هذه الحالة المثال الوحيد على خسائر من هذا النوع. وفي غياب التأمين، ستكون مطالبات استرداد الخسائر على الأرجح معقدة وطويلة، فيما تختلف فرص نجاحها بحسب موقع مزود الخدمة وموقع المستخدم.

فلا توجد هنا علاقة حفظ بالمعنى التقليدي، لأن المستخدم نفسه كان يسيطر على مفاتيحه، ولا يوجد وسيط يمكن توجيه المطالبة إليه لأن أحدًا لم يكن يحتفظ بالأصول نيابة عنه. كما أن الخسارة لم تنتج عن اختلاس، بل عن عيب في المنتج جعل إعادة بناء المفاتيح الخاصة ممكنة. وقد تُكيّف الدعوى قانونيًا باعتبارها مسؤولية عن منتج معيب، أو إهمالًا، أو إخلالًا بضمان صريح أو ضمني. لكن هذا التكييف يختلف من ولاية قضائية إلى أخرى، وقد تصطدم المطالبة بعقبات كبيرة، من بينها الدفوع المرتبطة بتحديد المسؤولية أو استبعادها.

التأمين… حل جزئي

قد يكون التأمين أكثر الأدوات المتاحة قابلية للتطبيق الفوري من أجل سد هذه الفجوة. فكثير من أمناء الحفظ المؤسسيين يحملون وثائق تأمين شاملة ضد الجرائم وخسائر الأصول القيّمة، وقد تستجيب هذه الوثائق لخسائر من هذا النوع، مثل سرقة الأصول الرقمية عبر استغلال ثغرات أمنية. وهذه التغطيات موجودة لأن العملاء المؤسسيين يطلبونها. وفي الولايات القضائية الإماراتية القائمة على القانون العام والقانون المدني، تفرض سلطة تنظيم الأصول الافتراضية وسلطة دبي للخدمات المالية وسلطة تنظيم الخدمات المالية ضمانات للحفظ من خلال متطلبات الترخيص والتصريح، رغم اختلاف مقارباتها للتأمين وترتيبات التعويض. وقد توفر تلك الوثائق تغطية أيضًا عندما تؤدي واقعة الخسارة إلى مطالبات ضد أمين الحفظ المؤسسي.

أما المستخدمون الأفراد، فلا يتمتعون بحماية مماثلة. فمن غير المرجح أن تحمل شركة مصنّعة لمحافظ مادية وثيقة تأمين تغطي خسائر المستخدم النهائي الناتجة عن عيوب البرنامج الثابت. وحتى عندما يحتفظ المستخدم بأصوله على منصة لديها تغطية تأمينية، فإن هذه التغطية تمتد عادة إلى الأصول الموجودة على المنصة نفسها، لا إلى الخسائر التي تقع عبر منتجات الحفظ الذاتي.

إن تطوير منتجات تأمين موجهة إلى الأفراد لحماية تخزين الأصول الرقمية – سواء في صورة وثائق مستقلة، أو تغطية مدمجة مع شراء المحافظ المادية، أو برامج حماية إلزامية شبيهة بتأمين الودائع – لن يحل المشكلة الهيكلية من أساسها. لكنه يمكن أن يوفر مصدرًا ممولًا للتعويض لا يتوقف على نجاح دعوى مسؤولية المنتج ضد شركة مصنّعة قد لا تملك الموارد الكافية لتلبية آلاف المطالبات المتزامنة. وقد بدأت بعض منصات تداول الأصول الرقمية بالفعل في إنشاء صناديق مخصصة لتعويض ضحايا الاحتيال والاختراقات، أو تقديم مزايا لحماية الحسابات تشمل تعويض معاملات مؤهلة غير مصرّح بها، شرط التزام المستخدم بمتطلبات الأمان التي تفرضها المنصة.

قابلية الإنفاذ والبعد العابر للحدود

لكن التعافي لا يتوقف على تحديد مصدر للأموال؛ بل يحتاج أيضًا إلى إنفاذ فعّال. ففي اختراق منصة أو أمين حفظ، قد يكون المتضررون موزعين في أنحاء العالم، بينما تستقر الأصول المسروقة في عناوين يسيطر عليها المهاجمون. ويمكن لشركات تحليل البيانات على البلوكتشين تحديد هذه العناوين، لكن لا تستطيع ولاية قضائية واحدة تجميدها من دون تحرك منسق. ويواجه حامل أصول مقيم في الإمارات أسئلة فورية عند السعي إلى الاسترداد: أين يرفع الدعوى، وأي قانون يطبق؟ ثم كيف ينفذ حكمًا ضد جهة أجنبية، إذا أمكن أصلًا الحصول عليه في ظل العوائق القضائية وقبل انقضاء مدد التقادم في الولايات المعنية؟

وقد رسخت محاكم مركز دبي المالي العالمي وسوق أبوظبي العالمي مكانتهما بوصفهما جهتين قضائيتين متقدمتين للتعامل مع هذا النوع من المنازعات. ويستند كلاهما إلى قواعد القانون العام، ويضم قضاة ذوي خبرة دولية، فضلًا عن ترتيبات إنفاذ تتجاوز نطاق الإمارات. ومن حيث المبدأ، تتوافر أوامر التجميد، والدعاوى القائمة على حقوق الملكية، وأوامر نورويتش فارماكال. ومع ذلك، تبقى العقبات العملية كبيرة أمام أصحاب المطالبات من الأفراد: كلفة التقاضي في ولايات متعددة مقارنة بقيمة الخسارة الفردية، وعدم اليقين بشأن القانون الواجب التطبيق، والسرعة التي يمكن بها تمرير الأصول على البلوكتشين عبر خدمات الخلط والجسور قبل دخول أي أمر قضائي حيز التنفيذ.

كلما اتسعت الحماية، اتسع التبني

تكشف هذه القراءة أن مواصلة توسيع تبني الأصول الرقمية وإبراز مزايا شبكات البلوكتشين وكفاءتها يتطلبان حماية أكبر للمستخدمين، تراعي الخصائص الفريدة لتخزين الأصول الرقمية ونقلها. وهذه مهمة ليست سهلة، لكن التقدم يمكن أن يبدأ من عدد من المسارات، منها:

• وضع معايير أمنية إلزامية ومتطلبات تدقيق لحلول الحفظ الذاتي ولمزودي خدمات الحفظ؛
• فرض متطلبات تأمينية تتناسب مع حجم تعرض المستخدم للمخاطر؛
• إقرار معالجة تشريعية واضحة للأصول الرقمية في حالات الإعسار ومسؤولية المنتج؛
• تبسيط آليات الاعتراف العابر للحدود بأوامر التجميد ومطالبات تتبع الأصول على البلوكتشين.

ما تزال شبكات البلوكتشين تحمل في جوهرها وعدًا بتقليص الحاجة إلى الثقة. لكن فجوة الثقة لا تزال قائمة لدى كثير من المستخدمين الأفراد، حتى بين المتفائلين بمستقبل الأصول الرقمية. ولن يتحقق التبني الواسع فعلًا ما لم تُردم هذه الفجوة.

ولتحقيق ذلك، يحتاج مستخدمو المنصات وأمناء الحفظ وحلول الحفظ الذاتي إلى يقين بأن القانون والبيئة التنظيمية سيوفران طريقًا سريعًا وواضحًا لاسترداد الحقوق عندما تتعرض الأنظمة للاختراق – فالمسألة متى يحدث ذلك، لا ما إذا كان سيحدث. والمؤسسات تقود هذا المسار، لكن على القطاع أن يضمن ألا يبقى المستخدمون الأفراد خارج دائرة الحماية.

شارك في كتابة هذا المقال ماكس ديفيس، المدير القانوني، وتايلر رايت، المحامي المشارك. وهما عضوان في فريق التقاضي الدولي لدى شركة التميمي ومشاركوه (Al Tamimi & Company) في دبي، ومتخصصان في المنازعات المرتبطة بالأصول الرقمية. ويتمتع الفريق بخبرة رائدة في قضايا استرداد الأصول الرقمية وإنفاذ الأحكام ذات الصلة أمام المحاكم القائمة على نظامي القانون العام والقانون المدني.