صرافیپس از سقوط صرافی اف‌تی‌ایکس (FTX)، مطمئنا واژه اثبات ذخایر یا Proof of Reserve را زیاد شنیده‌اید و شاید برای شما این سوال پیش آمده باشد که این واژه دقیقا به چه مفهومی اشاره می‌کند. همانطور که می‌دانید در یک صرافی متمرکز، سپردههای مشتریان در کیف پول‌های صرافی نگهداری می‌شوند و تنها «ارزش عددی دارایی» در حساب آن‌ها قرار می‌گیرد. یک صرافی «حق ندارد» از دارایی‌های مشتریان خود استفاده کند، اما بدان معنی نیست که «نتواند» این کار را انجام بدهد.
از آنجایی که عملکرد یک صرافی متمرکز شفاف نیست؛ بنابراین، مشتریان آن نمی‌توانند تشخیص دهند که دارایی‌های آن‌ها درحال حاضر کجا قرار دارد؟ آیا واقعا در کیف پول‌های متعلق به صرافی قرار دارد یا همچون صرافی FTX، از پول آن‌ها برای پرداخت هزینه‌ی تبلیغات سلبریتی‌ها برای صرافی، تامین مالی دموکرات‌ها در انتخابات آمریکا، سرمایه‌گذاری در تریدهای پرخطر یا خرید املاک مجلل چند میلیون دلاری برای گذراندن تعطیلات کارکنان شرکت استفاده شده است. از همین رو، برخی صرافی‌های متمرکز برای جلب اعتماد مجدد مشتریان خود، به صورت داوطلبانه شروع به انتشار گزارش‌هایی از وضعیت ذخایر خود کرده‌اند.
در این مقاله، علاوه بر اینکه به مفهوم اثبات ذخایر می‌پردازیم به این سوال نیز پاسخ می‌دهیم: آیا این گزارش‌ها آن‌طور که تبلیغ می‌شوند، واقعا تضمینی برای عدم کلاهبرداری صرافی از دارایی‌های کاربران خود ارائه می‌کنند؟
اثبات ذخایر (Proof Of Reserves یا PoR)، یک فرایند شفاف‌سازی است که در آن عمدتا صرافی‌های متمرکز (CEX) با ارائه یک گزارش حسابرسی، به مشتریان خود این اطمینان را می‌دهند که «دارایی‌های شما امن است». در واقع، می‌توان گفت صرافی با انجام این ممیزی، اثبات می‌کند که دارایی‌های کافی برای پرداخت سپردههای مشتریان خود در هر زمانی را دارد. این حسابرسی، عمدتا از طریق شرکت‌های شخص ثالث و مستقل انجام می‌شود. حسابرسان اطمینان حاصل می‌کنند که صرافی موردنظر، آن میزان دارایی که «ادعای» نگهداری از آن را می‌کند، در اختیار دارد یا خیر. در این مقاله با بررسی گزارش‌های POR منتشرشده توسط چندین صرافی معروف در چند ماه اخیر، آنچه که این گزارش‌ها «نمی‌توانند» اثبات کنند را نیز زیر ذره‌بین قرار داده‌ایم.
صرافی‌ها با استفاده از چندین روش می‌توانند گزارش PoR خودشان را ارائه کنند. در ادامه به توضیح برخی از این روش‌ها می‌پردازیم:
با توجه به توضیحات مذکور، لازم است که صرافی‌ها اثبات کنند که آدرس کیف پول‌های موردنظر، تحت مالکیت صرافی است. به این امر، اثبات کلید (Proof of Key) گفته می‌شود. بنابراین، روش‌های زیر برای تایید مالکیت یک آدرس کیف پول وجود دارند:
ارائه اثبات ذخایر بدون مشخص بودن وضعیت دقیق بدهی‌ها (تعهدات مالی) معنایی ندارد. اگر هدف یک گزارش POR، سنجش توانگری مالی صرافی در پرداخت کل سرمایه‌های مشتریان (بدهی‌ها) باشد؛ باید مشخص شود که مقدار کلی سرمایه‌های آن چقدر می‌باشد و سپس این رقم را با مقدار کلی دارایی‌های موجود در کیف پول‌های صرافی مقایسه کرد.
منظور از Liabilities یا بدهی‌ها، مجموعه توکن‌هایی می‌باشند که صرافی به نمایندگی از کاربران خود نگهداری می‌کند. اکثر صرافی‌ها، تنها یک proof of assets (اثبات دارایی) ارائه کرده‌اند که نشان‌می‌دهد از چه توکن‌هایی، چه مقدار نگهداری می‌کنند. بنابراین این ارقام چطور می‌توانند اثبات کنند که صرافی توانایی پوشش تمام بدهی‌های مشتریان خود را دارد، وقتی مشخص نیست این بدهی‌ها چقدر است؟
درخت مرکل، عمدتا برای شامل نمودن میزان بدهکاری‌ها یا سپردههای مشتریان به گزارش PoR استفاده می‌شود. برای این منظور، شرکت حسابرس در یک زمان مشخص، یک اسنپ‌شات snapshot (عکس فوری) از تمام موجودی‌های کاربران صرافی می‌گیرد و این ارقام را با استفاده از درخت مرکل سازمان‌دهی می‌کند. درخت مرکل (Merkle Tree)، ساختار داده‌ای شبیه به یک درخت وارونه دارد که حجم زیادی از اطلاعات را با امنیت بالا خلاصه‌سازی می‌کند. این کار، تاییدپذیری و دسترسی به داده‌های ذخیره‌شده را تسهیل می‌کند.
درواقع، به مقدار عددی دارایی هر کاربر که در حساب او در صرافی مشخص است، یک هش (رشته‌ای از اعداد و حروف) اختصاص داده می‌شود. در درخت مرکل، هر هش با هش مجاور خود جفت شده و از آن‌ها مجددا هش گرفته می‌شود. این فرایند تا زمانی تکرار می‌شود که آخرین مقدار هش بدست آید. به این مقدار، ریشه مرکل (Merkle Root) می‌گویند و بیانگر خلاصه‌ای از اطلاعات تمام موجودی‌ها یا داده‌ها می‌باشد. از آنجایی که یک ساختار مبتنی بر هش، به کوچک‌ترین تغییری حساس است؛ از درخت مرکل برای تایید داده‌های یک سیستم استفاده می‌شود. کاربر می‌تواند بررسی کند که آیا موجودی واقعی حساب او در درخت مرکل گنجانده شده است یا خیر.
بیشتر بخوانید: الگوریتم اثبات کار چیست؟
معمولا این فرایند به این صورت انجام می‌پذیرد که هر کاربر، با واردشدن در حساب خود در صرافی مربوطه، هش مربوط به موجودی حساب خود را کپی کرده و سپس در وب‌سایت مرتبط با شرکت حسابرس جای‌گذاری می‌کند. اگر موجودی کاربر در این اسنپ‌شات شامل شده باشد؛ به کاربر اعلام خواهد شد. در حقیقت، درخت مرکل یک ابزار اعتبارسنجی است که به مشتریان این امکان را می‌دهد تا شخصا تایید کنند که موجودی حساب آن‌ها در گزارش PoR شامل شده است یا خیر.
برخی نهادهای حضانتی (منظور نهادهایی که پول مشتریان را نگهداری می‌کنند) همچون بانک‌ها و صرافی‌های متمرکز در بعضی کشورها، ملزم به ارائه گزارش حسابرسی ذخایرشان به طور منظم هستند تا بدین ترتیب بتوانند با تابعیت از قوانین محلی به فعالیت بپردازند. در واقع، در برخی از کشورها، قانون‌گذاران یا نهادهای نظارتی، ممیزی PoR را به‌عنوان راهی برای اطمینان از مطابقت صرافی‌ها با مقررات مبارزه با پولشویی (AML) و شناخت مشتری (KYC) الزامی کرده‌اند. همچنین، آن‌ها بعد از فروپاشی صرافی FTX، به دنبال پیاده‌سازی استانداردهایی هستند تا بتوانند از مشتریان محافظت کنند.
در برخی متون به این مساله اشاره دارند که حسابرسی‌های اثبات ذخایر، شفافیت را برای کاربران یک صرافی به ارمغان می‌آورد. منظور از شفافیت آن است که مشتریان یک نهاد مالی، اطلاعاتی در مورد اینکه پول‌های آن‌ها واقعا کجا قرار دارد، بدست می‌آورند. اما با شرح برخی محدودیت‌های این نوع حسابرسی‌ها، شما می‌توانید تصمیم بگیرید که آیا آن‌ها می‌توانند به عنوان یک مکانیزم شفاف‌سازی عمل کنند؟
باید بدانید که اثبات دارایی‌های یک صرافی، خود نیز با چالش‌هایی روبه‌رو است و آن‌طور که تبلیغ می‌شود نمی‌تواند تضمینی برای امنیت سرمایه‌های کاربران باشد.
همانطور ک پیش‌تر اشاره کردیم، بدون اطلاع از میزان بدهی‌ها نمی‌توان تصویر دقیقی از وضعیت مالی کنونی صرافی بدست آورد و اثبات دارایی‌های موجود در کیف پول‌های صرافی، تنها نیمی از معادله را برای ما روشن می‌کند.
بنابراین می‌توان گفت، یک گزارش اثبات ذخایر شامل دو بخش است:
همانطور که گفتیم، یکی از روش‌ها برای اثبات مالکیت آدرس کیف پولی برای یک صرافی، جابه‌جایی دارایی‌ها است. به عنوان مثال، صرافی A، مقدار مشخصی توکن را در یک زمان و آدرس از پیش تعیین‌شده منتقل می‌کند تا ثابت کند این کیف پول، متعلق به صرافی A است؛ چراکه کلید‌های خصوصی این کیف پول‌ها در اختیار ما می‌باشد.
یک گزارش PoR، توانایی ردیابی اینکه دارایی‌ها از کجا آمده‌اند را ندارد و این احتمال همیشه وجود دارد که یک صرافی، مقدار مشخصی از یک دارایی دیجیتال را تنها به هدف حسابرسی و پامپ ذخایر خود از دیگر بسترها قرض گرفته باشد. در ادامه چند مثال برای فهم بهتر این موضوع عنوان کرده‌ایم:
احتمالا صرافی ورشکسته «Mt.Gox» که در زمان اوج فعالیت خود، بزرگ‌ترین صرافی بیت‌کوین جهان به شمار می‌رفت و مدیریت بیش از 70 درصد تراکنش‌های بیت‌کوین را در اختیار داشت، به یاد دارید. طبق گزارش‌ها، درسال 2014، در این صرافی 850,000 واحد بیت‌کوین (با قیمت بیت‌کوین در زمان نگارش این مقاله، 29 میلیارد دلار) به دلایل نامعلوم و کاملا مشکوک ناپدید شده بود.
در سال 2011، این صرافی برای اینکه اثبات کند که کنترل دارایی‌های مشتریان خود را در اختیار دارد؛ تعداد 424.242 بیت‌کوین از کیف پول سرد خود به یک آدرس از قبل اعلام‌شده، منتقل کرد. این صرافی در سال 2014 به طور رسمی اعلام ورشکستگی کرد. نکته جالب این است که بعد از انجام تحقیقات گسترده بر سوابق مالی این شرکت، مشخص شد که در همان سال 2011، این صرافی عملا ورشکسته بوده است. این موضوع به خوبی آشکار می‌کند که این روش برای ایجاد شفافیت در مقدار دارایی‌های موجود در کیف پول‌های یک صرافی بسیار ناکارآمد است.
بیشتر بخوانید: الگوریتم اثبات سهام چیست؟
در 21 اکتبر 2022 (29 مهر 1401)، انتقال 320 هزار اتریوم از حساب صرافی کریپتودات‌کام (Crypto.Com) به صرافی «Gate.io» سر تیتر اخبار شد و به شایعات زیادی دامن زد. افراد زیادی معتقد بودند که صرافی‌ها با قرض گرفتن از یکدیگر، انجام حسابرسی خود و سپس برگرداندن دارایی بعد از اتمام حسابرسی، مقدار ذخایر خود را جعل یا دستکاری می‌کنند.
کریس مارشالک، مدیرعامل صرافی کریپتودات‌کام در یک پست توییتری ادعا کرد که انتقال 400 میلیون دلاری اتریوم تنها یک «اشتباه» بوده و قرار بوده است این مقدار اتریوم به کیف پول سرد جدیدی منتقل شود. این بیانیه، نه‌تنها کاربران را قانع نساخت بلکه شک و تردید بیشتری را در مورد تبانی این دو صرافی برانگیخت؛ چراکه در حساب توییتری این صرافی، اعلام شده بود که سپردههای مشتریان به صورت آفلاین و در کیف پول‌های سرد (سخت افزاری) نگهداری می‌شود. بنابراین، طبیعی است که این انتقال از حساب صرافی کریپتو دات کام به حساب یک صرافی خارجی مشکوک به نظر برسد.
برخی از جامعه ارزهای دیجیتال، بر این باور بودند که حتی اگر فرضیه همدستی این دو صرافی برای دستکاری داده‌های مربوط به دارایی‌های خودشان را رد کنیم، انتقال «اشتباه» چند صد میلیون دلار از دارایی‌های کاربران، توسط «متولی» این دارایی‌ها، خود زنگ خطر دیگری است. به این دلیل که این انتقال به ظاهر اشتباه، توانایی و صلاحیت کافی صرافی برای انجام یکی از وظایف اصلی خود که همان نگهداری پول مشتریان است را زیر سوال می‌برد. ناگفته نماند که این انتقال، هزینه کارمزد تراکنش هنگفتی را هم دربرداشته است. این اولین بار نیست که صرافی کریپتودات‌کام چنین اشتباهاتی را انجام می‌دهد. در ماه می 2021، این صرافی به جای 100 دلار، 10.5 میلیون دلار به حساب یک کاربر واریز کرد و نکته جالب توجه اینجاست که صرافی بعد از هفت ماه در حسابرسی‌های سالانه در دسامبر (آخرین ماه میلادی)، متوجه اشتباه خود شد.
با بررسی تاریخ گزارش‌های POR منتشرشده در وب‌سایت این صرافی‌ها به این اطلاعات دست یافتیم:
تاریخ انتشار گزارش حسابرسی صرافی Gate.io در 28 اکتبر 2022 (6 آبان) یعنی یک هفته بعد از انتقال 400 میلیون دلار اتریوم می‌باشد.
در 29 اکتبر (7 آبان)، طبق داده‌های وب‌سایت ایترسکن، صرافی Gate.io، تعداد 285 هزار اتریوم به صرافی کریپتودات‌کام برگرداند و در 11 نوامبر (20 آبان)، صرافی کریپتودات‌کام لیستی از آدرس‌های کیف پول سرد خود منتشر کرد.
سرانجام، کریپتودات‌کام در 9 دسامبر (18 آذر)، گزارش حسابرسی خود که توسط شرکت مزارس (Mazars) انجام شده بود، در وب‌سایت خود منتشر کرد.
شرکت آبراج (Abraaj)، یکی از شرکت‌هایی بود که پس از افشای اطلاعاتی مبنی بر کلاهبرداری و سوءاستفاده از دارایی‌های سرمایه‌گذاران توسط موسس آن، عارف نقوی، تاجر پاکستانی سقوط کرد. حسابرسی یکی از صندوق‌های سرمایه‌گذاری بر عهده یکی از معروف‌ترین شرکت‌های حسابداری جهان «Big Four» بود. در آن زمان، عارف نقوی پول‌ها را بین صندوق‌های گروه آبراج جابه‌جا می‌کرد؛ بنابراین وقتی شرکت حسابداری، حساب‌های بانکی آن صندوق را مورد بررسی قرار می‌داد، گزارشی مبنی بر سلامت مالی آن ارائه می‌کرد. اما در واقع روز بعد پول‌ها ناپدید می‌شدند. بدیهی است، این گزارش‌ها نمی‌توانند مانعی در برابر کلاهبرداری بازیگران بد باشد.
این گزارش‌ها حتی اگر شامل اطلاعات مربوط به دارایی‌ها و هم بدهی‌ها باشند، باز هم هیچ تضمینی وجود ندارد که دارایی‌های شما امن است. زیرا شما مطمئن نیستید که شخص یا موسسه‌ای که این ارقام را منتشر می‌کند؛ صادق است یا خیر. درواقع، امکان تبانی یک موسسه حسابداری با صرافی برای دستکاری داده‌ها، امر بعیدی نیست. پرداخت چند میلیون دلار به شرکت‌های حسابرس، توسط صرافی‌هایی که میلیاردها دلار از پول‌های مردم را در اختیار دارند، یک معامله برد-برد برای آن‌ها است.
حتی اگر این گزارش حسابرسی در خوش‌بینانه‌ترین حالت کاملا صادقانه انجام شود، نمی‌توان آن را یک حسابرسی جامع به شمار آورد.
در تصاویر زیر، گزارش‌های POR صرافی‌های بایننس و کریپتودات‌کام را مشاهده می‌کنید که توسط شرکت مزارس انجام شده است. نکته قابل توجه اینجاست که این گزارش‌ها بر اساس یک حسابرسی «Agreed-Upon Procedures یا AUP» صورت گرفته است. در واقع، در این نوع حسابرسی، صرافی تصمیم می‌گیرد که شرکتی که برای حسابرسی خود استخدام کرده است، چه کاری انجام دهد. به طور مثال، صرافی تعیین می‌کند که اسنپ‌شات در چه زمانی انجام شود، چه توکن‌هایی در گزارش شامل شوند و همچنین یک محدوده‌ی «انتخاب شده» از اطلاعات مالی صرافی را در اختیار حسابرس قرار می‌دهند. در حالی که یک حسابرسی جامع، تحت استانداردهای حسابداری و چهارچوب‌‌های مشخص و پذیرفته‌شده جهانی انجام می‌پذیرد و تمام سوابق و عملکرد مالی و همچنین کل اطلاعات ترازنامه را زیر ذره‌بین قرار می‌دهد.
جالب است بدانید، در 16 دسامبر 2022 (25 آذر)، شرکت حسابرسی مزارس، به صورت غیرمنتظره‌ای گزارش POR خود درمورد صرافی بایننس را حذف کرد. این شرکت همچنین اعلام کرده بود که به‌طور موقت همکاری با تمام مشتریان ارز دیجیتال خود در سراسر جهان را متوقف کرده است.
در مورد صرافی FTX، دو شرکت حسابرسی معروف «Armanino» و «PragerMetis»، بررسی وضعیت مالی آن را بر عهده داشتند. بنابراین، اگر راه‌حل استفاده از شرکت‌های ثالث برای ایجاد «اعتماد» کارگشا بود؛ میلیاردها دلار از سرمایه‌های کاربران صرافی FTX به جای اینکه در جیب موسس و کارمندان آن، سیاستمداران، سلبریتی‌ها و غیره باشد، در جای درست خود یعنی در کیف پول صرافی قرار داشت.
بیشتر بخوانید: بنیان‌گذار FTX، جیب سلبریتی‌ها و سیاست‌مدارها را پر کرده بود
محدودیت زمانی اعتبار گزارش
خیلی از بسترها، آدرس‌های حاوی ذخایر خود را به طور عمومی منتشر نمی‌کنند. بنابراین با فرض درستکاری یک شرکت حسابرس در مورد ارقام منتشر شده، هیچ راهی برای تایید اینکه آن ذخایر، بعد از تکمیل حسابرسی هنوز موجود هستند یا خیر وجود ندارد. چراکه این گزارش‌ها، فقط اطلاعات مالی مربوط به صرافی را در یک «لحظه‌ی خاص» ارائه می‌کنند و از سوءمدیریت دارایی‌های کاربران «بین حسابرسی‌ها» جلوگیری نمی‌کنند. به طور مثال فرض کنید صرافی مورد نظر هر سه ماه یک‌بار گزارش POR خود را منتشر می‌کند. بین این بازه‌های سه ماهه، ممکن است صرافی دارایی‌های کاربران را جابه‌جا کند و هنگامی که زمان حسابرسی بعدی فرا رسید، کیف پول‌های خود را به هر نحوی پر کند.
اطلاعات مربوط به بدهی‌ها نیز تنها یک عکس فوری در یک لحظه خاص می‌باشد، بنابراین حتی اگر صرافی آدرس‌های کیف پول‌های خود را منتشر کند، باز هم نمی‌تواند تاییدی بر توانایی پرداخت بدهی «در همه زمان‌ها و در آینده» باشد.
همانطور که به تعداد صرافی‌ها افزوده می‌شود، اعتماد به آن‌ها نیز چالش برانگیزتر می‌شود. در ماه نوامبر 2022 (آذر 1401)، خبر ورشکستگی صرافی FTX، در رسانه‌ها منتشر شد. در آن روزها، هرچه کاربران بیشتری، شروع به برداشت سرمایه‌های خودشان از FTX می‌کردند، دارایی کافی در صرافی برای پردازش این برداشت‌ها وجود نداشت. در نهایت، FTX به طور کامل فرایند برداشت‌ها را متوقف کرد.
در آن زمان، مشخص شد که سم بنکمن فرید، مدیرعامل این صرافی، با این صرافی همچون قلک خودش رفتار می‌کرده است. وی، از دارایی‌های کاربران برای مصارف شخصی خود و سایر مدیران استفاده کرده و یا به شرکت آلامدا ریسرچ (یکی از شرکت‌های تابعه FTX) قرض داده است. در یک گزارش از شرکت تحلیلی کریپتو کامپر (Crypto Compare) مشخص شده است که تنها در این ماه، تعداد 91,363 واحد بیت‌کوین (به ارزش 1.5 میلیارد دلار در آن زمان) از صرافی‌های متمرکز خارج شده است. این موضوع به وضوح، نشان‌دهنده‌ی ترس حاکم میان سرمایه‌گذاران از تکرار حوادثی مانند کلاهبرداری سم بنکمن فرید، موسس صرافی FTX و بحران نقدینگی در دیگر پلتفرم‌ها می‌باشد. این نقطه را می‌توان سرآغاز انتشار گزارش‌های اثبات ذخایر توسط صرافی‌ها در نظر گرفت.
اگرچه حجم توکن‌هایی که بعد از حادثه FTX، در حال خارج شدن از صرافی‌ها هستند، رو به افزایش است، اما هنوز هم مقادیر زیادی از دارایی‌های کاربران در دستانِ صرافی‌های متمرکز قرار دارند. بنابراین، واضح است که سرمایه‌گذاران ارزهای دیجیتال، از کلاهبرداری‌هایی که بستر‌های متمرکز بارها در طول تاریخ رقم زده‌اند، درسی نیاموخته‌اند.
به نظر می‌رسد، گزارش‌های POR منتشر شده توسط صرافی‌های متمرکز به این افراد یک احساس امنیت «کاذب» داده است؛ چراکه اکثر این افراد محدودیت‌ها و نواقص یک گزارش اثبات ذخایر را درک نکرده‌اند. چنین گزارش‌هایی هرگز اثبات صددرصدی برای هیچ چیز نخواهند بود. شاید برای شما سوال پیش آید که در نهایت چه راهی برای تضمین امنیت دارایی‌هایمان وجود دارد؟ پاسخ ساده است: !Decentralize everything
کنترل هر شخص یا نهادی را از پول‌هایتان سلب کنید. دارایی‌های خودتان را تنها در «کیف پول شخصی خود» نگهداری کنید تا اختیار کامل بر اینکه «چطور»، «چه‌زمانی» و «چه‌مقدار» از آن‌ها برداشت کنید را داشته باشید.
من در رشته متالوژی صنعتی تحصیل کردم. از سال 1401 تصمیم گرفتم در رسانه بلاک‌پست به تولید محتوا در مورد فناوری بلاک‌چین و صنعت جذاب ارزهای دیجیتال بپردازم. سعی میکنم تا ...
