الحفظ والأمان لحاملي العملات المستقرة

جرّب الطيف أعلاه قبل أن تكمل القراءة. تحرّك من اليسار إلى اليمين وستكون تستبدل الراحة بالتحكم: على اليسار تحتفظ منصة تداول بمفاتيحك نيابة عنك، وعلى اليمين تحتفظ بها بنفسك على جهاز غير متصل بالإنترنت. العملة المستقرة ثابتة في قيمتها فقط. أما في المخاطر فهي ليست ثابتة أبدًا. ومنذ اللحظة التي تحتفظ فيها بها، يلازمك سؤال صامت: من يتحكم بها فعليًا؟ في عالم العملات الرقمية، التحكم بعملة يعني التحكم بمفتاح سري، وذلك المفتاح قد يقيم على منصة تداول تحتفظ به نيابة عنك، أو على جهاز لا يلمسه أحد سواك. ومكان إقامة ذلك المفتاح يحدد تقريبًا كل شيء يتعلق بكيفية احتمال فقدانك للمال، وفقدانه هنا يكون نهائيًا في العادة. لا يوجد بنك تتصل به، ولا استرداد للمبلغ المدفوع، ولا قسم لمكافحة الاحتيال. يبدو هذا مخيفًا، وينبغي أن يكون كذلك، لكن الخبر الجيد أن قواعد البقاء آمنًا قصيرة ومملة وفعّالة حقًا بمجرد أن تعرفها.

الاحتفاظ بالعملات الرقمية يعني الاحتفاظ بالمفاتيح

امتلاك عملة مستقرة يعني في جوهره امتلاك مفتاح خاص، وهو السر الذي يتيح لك تحريك العملة. والحفظ هو ببساطة سؤال عمّن يحتفظ بذلك المفتاح، والإجابات تقع على طيف متدرج.

في أحد طرفي هذا الطيف يقع الحفظ الكامل من طرف ثالث: حيث تحتفظ منصة تداول أو مزوّد خدمة بالمفاتيح نيابة عنك. الأمر مريح، وكلمة مرورك قابلة للاسترداد، ويبدو الأمر كحساب مصرفي عادي. لكن المحصلة أنك تثق بأن ذلك المزوّد لن يفشل، ولن يجمّد أموالك، ولن يتعرّض للاختراق.

وفي الطرف الآخر يقع الحفظ الذاتي الكامل: حيث تحتفظ بالمفاتيح بنفسك، عادةً في محفظة أجهزة (hardware wallet)، وهي جهاز صغير يحتفظ بالمفاتيح دون اتصال بالإنترنت بحيث لا تستطيع البرمجيات الخبيثة الوصول إليها. وبين الطرفين تقع المحافظ البرمجية والمحمولة العادية وأنظمة التوقيع المتعدد.

هذه المفاضلة لا تختفي أبدًا. مزيد من التحكم يعني مزيدًا من المسؤولية. ومزيد من التنازل عن التحكم يعني مزيدًا من الثقة بشخص آخر. لا يُعد أي من الطرفين «آمنًا» بالمطلق؛ أنت تختار أي مخاطرة تفضّل تحمّلها.

لا مفاتيحك، فلا عملاتك

هذه المقولة القديمة في عالم العملات الرقمية، التي أشاعها Andreas Antonopoulos، تلخّص الفكرة بأكملها. فإذا احتفظ شخص آخر بالمفاتيح الخاصة، فأنت لا تملك العملات فعليًا. بل تملك مطالبة تجاه جهة الحفظ، وتلك المطالبة لا تساوي أكثر من قيمة جهة الحفظ الواقفة خلفها.

وهذا ليس قلقًا نظريًا. فعندما انهارت منصات تداول تحفظ الأصول نيابة عن عملائها مثل Mt. Gox وFTX، تحوّلت «أرصدة» العملاء إلى مطالبات غير مضمونة في طابور إفلاس. وكانت الأرقام الظاهرة على الشاشة حقيقية تمامًا، إلى أن لم تعد كذلك.

الحفظ الذاتي يزيل تلك الوساطة تمامًا. والثمن هو أن أنت تصبح المسؤول الوحيد عن الأمان والنسخ الاحتياطي. فالخيار صريح: إما أن تسلّم المفاتيح لشركة وترث إخفاقاتها، أو تحتفظ بالمفاتيح بنفسك وترث مهمة حمايتها.

عبارة الاسترداد هي كل شيء

تُنسخ محفظة الحفظ الذاتي احتياطيًا عبر عبارة استرداد، عادةً 12 أو 24 كلمة (عبارة تذكيرية وفق معيار BIP-39) تُرمّز مفاتيحك الخاصة. وأي شخص يملك تلك الكلمات يتحكم بالأموال. ولا يستطيع أحد استعادتها لك إن فقدتها. هذه الحقيقة الوحيدة تحكم كل قاعدة تالية.

• احتفظ بها بمعزل عن الإنترنت. اكتبها على ورق أو اطبعها على معدن. لا تخزّنها أبدًا كصورة، أو ملاحظة سحابية، أو بريد إلكتروني، أو لقطة شاشة، لأن أي نسخة رقمية معرّضة لأي برمجية خبيثة أو اختراق بيانات يصل إلى جهازك.
• احتفظ بأكثر من نسخة احتياطية واحدة. خزّن نسخًا في أماكن آمنة منفصلة حتى لا يمحوك حريق أو فيضان أو سرقة في مكان واحد تمامًا.
• لا تكتبها أبدًا على أي موقع إلكتروني، ولا تشاركها أبدًا مع «الدعم الفني». لن تطلب أي خدمة شرعية عبارة الاسترداد الخاصة بك على الإطلاق. وأي شخص يطلبها يحاول سرقتك.

تعامل مع تلك الكلمات باعتبارها أثمن سر تملكه على الإطلاق، لأن هذا بالضبط ما هي عليه.

كيف يفقد الناس أموالهم فعليًا

وهنا يأتي الجزء الذي يفاجئ القادمين الجدد: لا يكاد أحد يفقد عملاته الرقمية لأن مهاجمًا كسر التشفير. فالرياضيات تصمد. الناس يفقدون أموالهم بسبب الهندسة الاجتماعية، أي الحيل التي تدفعك أنت بنفسك إلى تسليم صلاحية الوصول.

والحيل الشائعة تستحق أن تتعرف عليها فور رؤيتها:

• طلبات الموافقة التصيدية. يدفعك موقع مزيف إلى توقيع معاملة تمنح بهدوء عقدًا صلاحية إفراغ عملاتك لاحقًا.
• مواقع جسور مزيفة أو مواقع «استغلال» وهبات مجانية وهمية (airdrops) تُغريك بربط محفظة كان ينبغي أن تتركها بمعزل عن ذلك.
• انتحال شخصية موظفي الدعم الفني الذين يطلبون عبارة الاسترداد أو كلمات الاسترجاع الخاصة بك.
• تسميم العناوين، حيث يُزرع عنوان مشابه في سجل معاملاتك لتنسخه عن طريق الخطأ وتدفع لشخص غريب.

والعادات التي توقف معظم هذا ليست برّاقة لكنها فعّالة: استخدم محفظة أجهزة لأي رصيد ذي قيمة، وتحقق بعناية من عناوين المواقع وعناوين العقود، واقرأ ما توقّعه فعليًا قبل أن توقّعه، وألغِ موافقات العملات القديمة، واحتفظ بمحفظة صغيرة منفصلة للنشاط اليومي، ولا تشارك عبارة الاسترداد أبدًا، وتمهّل. فالإلحاح المصطنع («تصرّف الآن وإلا خسرت الهبة المجانية») هو الأداة الرئيسية للمحتال، لذا فإن التوقف قليلًا يُعد دفاعًا.

الخطوة الوحيدة التي تحد من الضرر

إذا كنت ستتذكر فكرة عملية واحدة من هذه الوحدة، فلتكن التقسيم بين المحفظة الساخنة والباردة. احتفظ فقط بما تحتاجه فعليًا في محفظة «ساخنة» متصلة بالإنترنت، واحتفظ بمعظم المبلغ في تخزين «بارد» بمعزل عن الإنترنت. بهذه الطريقة، لا تستطيع أكثر الهجمات شيوعًا الوصول إلا إلى الكومة الصغيرة.

اختبار سريع للمعرفة

ماذا تعني عبارة «لا مفاتيحك، فلا عملاتك»؟ إذا احتفظت جهة حفظ بمفاتيحك الخاصة، فأنت لا تملك سوى مطالبة تجاه تلك الجهة بدلًا من العملات نفسها. وإذا فشلت، كما حدث مع FTX، فقد تتركك تلك المطالبة دائنًا غير مضمون ينتظر في طابور إفلاس.

لماذا يجب ألا تُخزَّن عبارة الاسترداد رقميًا أبدًا؟ الصورة أو الملاحظة السحابية أو لقطة الشاشة أو البريد الإلكتروني كلها معرّضة لأي برمجية خبيثة أو اختراق بيانات، ومن يحصل على العبارة يكتسب تحكمًا لا رجعة فيه بالأموال. أما الورق أو المعدن بمعزل عن الإنترنت فيُبقيانها بعيدًا عن أي جهاز يستطيع المهاجم الوصول إليه.

ما الممارسة الوحيدة التي تحد من معظم خسائر الحفظ الذاتي؟ التقسيم بين المحفظة الساخنة والباردة: احتفظ فقط بمبالغ يومية صغيرة في محفظة ساخنة متصلة بالإنترنت، واحتفظ بمعظم المبلغ في محفظة أجهزة مع نسخ احتياطية للعبارة بمعزل عن الإنترنت، بحيث لا يصل إفراغ تصيدي إلا إلى المبلغ الصغير.

المصادر

• ethereum.org, "Security"، طيف الحفظ من الحفظ الكامل من طرف ثالث إلى الحفظ الذاتي، وكيف تحافظ محافظ الأجهزة على المفاتيح بمعزل عن الإنترنت.
• Bitcoin BIPs, "BIP-0039"، معيار العبارة التذكيرية (عبارة الاسترداد) المكوّنة من 12 أو 24 كلمة، وأن أي شخص يملك العبارة يتحكم بالأموال.
• U.S. SEC, "Press Release 2022-219: SEC Charges Samuel Bankman-Fried"، كيف يحوّل فشل منصة تداول تحفظ الأصول نيابة عن العملاء أرصدة العملاء إلى مطالبات إفلاس.
• FBI (Internet Crime Complaint Center, IC3), "Cryptocurrency fraud losses"، عن الخسائر الناتجة عن الاحتيال والهندسة الاجتماعية بدلًا من كسر التشفير.