خرید رمز ارز
فیوچرزعلاوه بر هک Resolv، این نوع آسیبپذیری DeFi چهار بار دیگر نیز رخ داده است
عنوان اصلی: DeFi بارها شاهد سوءاستفاده 25 میلیون دلاری USR از Resolv بوده است
نویسنده اصلی: کامیلا روسو، The Defiant
ترجمه اصلی: DeepFlow Tech
در یک صبح آرام روز یکشنبه، کسی 100,000 دلار را در حدود 17 دقیقه به 25 میلیون دلار تبدیل کرد.
هدف پروتکل استیبلکوین با بازدهی Resolv بود. قبل از اینکه Resolv قرارداد را متوقف کند، استیبلکوین USR که به دلار وابسته بود به چند سنت سقوط کرده بود. در زمان نگارش این متن، USR به شدت از قیمت خود فاصله گرفته و در حدود 0.25 دلار معامله میشود و این هفته بیش از 70% کاهش داشته است.
موج تأثیر فراتر از خود Resolv میرود. Fluid/Instadapp در یک روز بیش از 10 میلیون دلار بدهی بد را جذب کرد و در همان روز بیش از 300 میلیون دلار خروج خالص را تجربه کرد که بزرگترین خروج روزانه در تاریخ آن است. 15 خزانه Morpho تحت تأثیر قرار گرفتند. Euler، Venus، Lista DAO و Inverse Finance به ترتیب بازارهای مرتبط با USR را متوقف کردند.
{}
مکانیسمی که منجر به گسترش خسارات ناشی از این آسیبپذیری شد—قیمتگذاری استیبلکوین خارج از peg در بازار وامدهی به قیمت 1 دلار—نوآوری نیست. در 14 ماه گذشته، این وضعیت حداقل چهار بار رخ داده است.
چگونه سوءاستفاده انجام شد
فرآیند ضرب USR از یک فرآیند دو مرحلهای خارج از زنجیره پیروی میکند:<1> کاربران از طریق تابع `requestSwap` USDC واریز میکنند و یک کلید امضای خارج از زنجیره با امتیاز `SERVICE_ROLE` صدور مقدار USR را از طریق `completeSwap` نهایی میکند.
قرارداد دارای محدودیت حداقل خروجی است اما هیچ محدودیتی در بالاتر ندارد. هر چیزی که دارنده کلید امضا کند، قرارداد اجرا میشود.
مهاجم به این کلید از طریق سرویس مدیریت کلید AWS Resolv دسترسی پیدا کرد. آنها دو واریز USDC به مجموع حدود ۱۰۰,۰۰۰ تا ۲۰۰,۰۰۰ دلار ارسال کردند و سپس از کلید دزدیده شده برای ضرب ۸۰ میلیون USR به عنوان پاداش استفاده کردند. دادههای زنجیرهای نشان میدهد که دو تراکنش ۵۰ میلیون USR و ۳۰ میلیون USR وجود دارد که هر دو در عرض چند دقیقه ضرب شدهاند.
「آسیبپذیری USR Resolv یک باگ نیست - این یک ویژگی است که به درستی کار میکند. این مشکل است.」 تحلیلگر زنجیرهای وادیم (@zacodil) بیان کرد.
SERVICE_ROLE یک آدرس حساب خارجی عادی است، نه یک چند امضایی. کلید مدیر دارای حفاظت چند امضایی است، اما کلید ضرب اینگونه نیست.<1>
「Resolv ۱۸ بار مورد بررسی قرار گرفت،」 وادیم گفت، 「و یکی از یافتهها بهطور مستقیم به نام 'کمبود سقف' نامگذاری شده بود.」
مهاجم بهطور سیستماتیک خارج شد:<1> ابتدا USR ضرب شده را به wstUSR (نسخه استیکینگ بستهبندی شده) تبدیل کرد تا تأثیر بازار را کاهش دهد، سپس آن را از طریق Curve، Uniswap و KyberSwap به ETH تبدیل کرد. کیف پول مهاجم حدود ۱۱,۴۰۰ ETH (حدود ۲۴ میلیون دلار) را در خود نگهداشته است. استخرهای وثیقه ETH و BTC سیستم در میان سقوط استیبلکوینها دست نخورده باقی ماندهاند.
چگونه آلودگی گسترش یافت
آسیبپذیری Resolv در واقع همپوشانی دو رویداد است. اولی باگ ضرب و دومی شکست بازار وامدهی آبشاری است.
زمانی که USR و wstUSR سقوط کردند، هر بازار وامدهی که آنها را به عنوان وثیقه میپذیرفت با همان مشکل مواجه شد: اوراکل آنها هنوز wstUSR را نزدیک به ۱ دلار قیمتگذاری میکرد.<1>
شرکت تحلیل ریسک Chaos Labs، بنیانگذار عمر گلدبرگ، این مکانیزم را مستند کرد. یافته کلیدی او این بود: «اوراکل به صورت سختافزاری کدگذاری شده است، بنابراین هرگز قیمتگذاری مجدد نشد. wstUSR با قیمت ۱.۱۳ دلار علامتگذاری شد، در حالی که قیمت معاملاتی آن در بازار ثانویه حدود ۰.۶۳ دلار بود.»
تاجران wstUSR را با قیمت پایین در بازار آزاد خریدند، سپس از قیمت ۱.۱۳ دلار اوراکل در Morpho یا Fluid برای وثیقهگذاری استفاده کردند و قبل از خروج، USDC قرض کردند.
در Fluid، تیم وامهای کوتاهمدت را برای پوشش ۱۰۰٪ از پیشفرض جمعآوری کرد و متعهد شد که به هر کاربر به طور کامل جبران خسارت کند. در Morpho، همبنیانگذار پل فرامبوت بیان کرد که تقریباً ۱۵ خزانهداری در معرض خطر قابل توجهی قرار دارند که همگی بخشی از یک استراتژی وثیقهگذاری با ریسک بالا و طولانیمدت هستند.
کیوریتور مشهور گانتلت اعلام کرده است: "چندین خزانه با بازده بالا دارای قرارگیری محدودی هستند."
با این حال، D2 Finance به طور مستقیم این ادعا را رد کرد و دادههای زنجیرهای را منتشر کرد که نشان میدهد خزانهداری پرچمدار گانتلت "خزانه USDC Core" مبلغ ۴.۹۵ میلیون دلار را به بازار wstUSR/USDC اختصاص داده است. گلدبرگ سپس بیان کرد که خزانه گانتلت ۹۸٪ از نقدینگی سمت وامدهی در آن بازار را در اختیار دارد.
در پاسخ کتبی به The Defiant، فرامبوت بیان کرد: "ما در حال تحقیق هستیم که چگونه میتوانیم خطرات مختلف را به طور جامعتری ارائه دهیم." با این حال، ما معتقد نیستیم که مشکل اصلی در اینجا عدم برچسبگذاری است."
فرامبوت افزود: "Morpho نسبت به اوراکل بیطرف است، به این معنی که به کیوریتورها اجازه میدهد هر اوراکلی را که مناسبترین میدانند برای یک بازار خاص انتخاب کنند. Morpho یک زیرساخت باز و بدون مجوز است که برای واگذاری مدیریت ریسک به کیوریتورها طراحی شده است."
"اجرای یک آستانه 'درست' عینی در تمام سناریوها دشوار است،" فرامبوت گفت. "تحمیل محدودیتها در سطح پروتکل همچنین خطر مانع شدن از اجرای استراتژیهای مشروع را به همراه دارد."
در حالی که پروتکل زیرین مدیریت ریسک را به کیوریتور واگذار میکند، برخی از افراد در صنعت معتقدند که کیوریتورها وظایف خود را به درستی انجام ندادهاند.
"من معتقدم که در طراحی صنعت کیوریتور نقصی وجود دارد، زیرا هیچ کیوریشن واقعی در حال انجام نیست،" مارک زلر در X بیان کرد.
در زمان نگارش این مطلب، Resolv، گانتلت و Fluid به درخواست The Defiant برای اظهار نظر پاسخ ندادهاند.
الگوی تکراری شکست
این نوع حمله جدیدی نیست. در ژانویه ۲۰۲۵، USD0++ پروتکل معمول به صورت سختافزاری به ۱ دلار توسط کیوریتور MEV Capital در خزانه Morpho کدگذاری شد.
سپس معمول به طور ناگهانی کف بازخرید را به ۰.۸۷ دلار بدون هیچ هشدار قبلی تنظیم کرد و وامدهندگان را در خزانه MEV Capital قفل کرد، که شاهد افزایش استفاده به ۱۰۰٪ بود.
در نوامبر 2025، xUSD استریم فایننس سقوط کرد، زیرا ناظر سپردههای USDC را به یک حلقه اهرمی که توسط آن استیبلکوین مصنوعی پشتیبانی میشد، هدایت کرده بود. زمانی که اوراکل آن بهروزرسانی را رد کرد، داراییهایی به ارزش تخمینی 2.85 میلیارد تا 7 میلیارد دلار در مورفو، اویلر و سیلو با خطر مواجه شدند.
در اکتبر و نوامبر 2025، مونول دو شکست متوالی اوراکل را تجربه کرد که منجر به بیش از 5 میلیون دلار نکول شد.
این برای مدل ناظر چه معنایی دارد؟
معماری مورفو تمام تصمیمات ریسک را به یک "ناظر" شخص ثالث واگذار میکند که خزانه را میسازد، وثیقه را انتخاب میکند، نسبتهای وام به ارزش را تعیین میکند و اوراکلها را انتخاب میکند. این چارچوب نظری فرض میکند که نهادهای حرفهای دارای تخصص عمیقتری هستند، رقابت منجر به مدیریت بهتر ریسک میشود و پروتکل مسئول اجرای قوانین است.
با این حال، ناظران به بازدههای تولید شده برای کسب کارمزد وابسته هستند و این امر انگیزهای برای وثیقههای با ریسک و بازده بالاتر (مانند استیبلکوینهای با بازده) ایجاد میکند. مسئله زمانی پیش میآید که این استیبلکوینها پیوند خود را از دست میدهند و سپردهگذاران بار اصلی ضرر را به جای ناظر تحمل میکنند.
در حادثه ریزولف، برخی از رباتهای خودکار ناظران به واریز وجوه به خزانه آسیبدیده ساعتها پس از سوءاستفاده ادامه دادند و ضرر را تشدید کردند.
دلیل استفاده از اوراکلهای سختکد شده برای استیبلکوینهای با بازده، جلوگیری از تصفیههای غیرضروری ناشی از نوسانات کوتاهمدت است. با این حال، این حفاظت تنها زمانی مؤثر است که استیبلکوین پایدار بماند.
چینالیسیس، یک شرکت تحلیل بلاکچین، در یک تحلیل پس از مرگ بیان کرد که قابلیتهای نظارت زنده بر زنجیره ضروری است.
"اجرای قرارداد هوشمند بر روی زنجیره بهخوبی کار کرد." مسئله به وضوح ناشی از طراحی سیستم گستردهتر و زیرساختهای خارج از زنجیره بود." شرکت تحلیلگر بیان کرد.
ممکن است شما نیز علاقهمند باشید
یک «سکه میم» پیدا کردم که فقط در عرض چند روز سر به فلک کشید. راهنمایی دارید؟
TAO ایلان ماسک است که در OpenAI سرمایهگذاری کرد و Subnet سم آلتمن است.
دوران «توزیع گسترده کوین» در زنجیرههای عمومی به پایان میرسد
پس از محاصره تنگه هرمز، جنگ چه زمانی پایان خواهد یافت؟
قبل از استفاده از چت ایکس «WeChat غربی» ماسک، باید این سه سوال را بفهمید
X Chat این جمعه برای دانلود در اپ استور در دسترس خواهد بود. رسانهها پیش از این فهرست ویژگیها، از جمله پیامهای خود-تخریبشونده، جلوگیری از اسکرینشات، چتهای گروهی ۴۸۱ نفره، ادغام Grok و ثبتنام بدون شماره تلفن را پوشش دادهاند و آن را به عنوان «ویچت غربی» معرفی کردهاند. با این حال، سه سوال وجود دارد که به ندرت در هیچ گزارشی به آنها پرداخته شده است.
جملهای در صفحه راهنمای رسمی X وجود دارد که هنوز آنجا آویزان است: «اگر افراد داخلی مخرب یا خود X باعث شوند مکالمات رمزگذاری شده از طریق فرآیندهای قانونی افشا شوند، هم فرستنده و هم گیرنده کاملاً بیاطلاع خواهند بود.»
خیر. تفاوت در محل ذخیره کلیدها نهفته است.
در رمزگذاری سرتاسری سیگنال، کلیدها هرگز دستگاه شما را ترک نمیکنند. X، دادگاه یا هیچ شخص ثالثی کلیدهای شما را در اختیار ندارد. سرورهای سیگنال هیچ ابزاری برای رمزگشایی پیامهای شما ندارند؛ حتی اگر به آنها احضاریه هم ارسال شده باشد، همانطور که سوابق احضاریههای قبلی نشان میدهد، آنها فقط میتوانند مهرهای زمانی ثبت نام و زمان آخرین اتصال را ارائه دهند.
ایکس چت از پروتکل Juicebox استفاده میکند. این راهحل، کلید را به سه بخش تقسیم میکند که هر کدام روی سه سرور که توسط X اداره میشوند، ذخیره میشوند. هنگام بازیابی کلید با یک کد پین، سیستم این سه بخش را از سرورهای X بازیابی کرده و آنها را دوباره ترکیب میکند. مهم نیست که کد پین چقدر پیچیده باشد، X متولی واقعی کلید است، نه کاربر.
این پیشینه فنی «جمله صفحه راهنما» است: از آنجا که کلید روی سرورهای X است، X این قابلیت را دارد که بدون اطلاع کاربر به فرآیندهای قانونی پاسخ دهد. سیگنال این قابلیت را ندارد، نه به دلیل سیاست، بلکه به این دلیل که کلید را ندارد.
تصویر زیر سازوکارهای امنیتی سیگنال، واتساپ، تلگرام و ایکس چت را در شش بُعد مقایسه میکند. ایکس چت تنها مورد از این چهار موردی است که پلتفرم کلید را در اختیار دارد و تنها موردی است که فاقد Forward Secrecy است.
اهمیت Forward Secrecy در این است که حتی اگر یک کلید در یک نقطه زمانی خاص به خطر بیفتد، پیامهای قدیمی قابل رمزگشایی نیستند زیرا هر پیام یک کلید منحصر به فرد دارد. پروتکل Double Ratchet سیگنال به طور خودکار کلید را پس از هر پیام بهروزرسانی میکند، مکانیزمی که در X Chat وجود ندارد.
متیو گرین، استاد رمزنگاری دانشگاه جانز هاپکینز، پس از تجزیه و تحلیل معماری X Chat در ژوئن ۲۰۲۵ اظهار داشت: «اگر XChat را به عنوان یک طرح رمزگذاری سرتاسری در نظر بگیریم، این آسیبپذیری به نظر میرسد یک نوع بازی تمام عیار باشد.» او بعداً اضافه کرد: «من به این [پیامک/مسیج/...] بیشتر از آنچه به پیامهای مستقیم رمزگذاری نشده فعلی اعتماد دارم، اعتماد نخواهم کرد.»
از گزارش TechCrunch در سپتامبر ۲۰۲۵ تا زمان انتشار رسمی آن در آوریل ۲۰۲۶، این معماری هیچ تغییری نداشته است.
ماسک در توییتی در تاریخ ۹ فوریه ۲۰۲۶ متعهد شد که قبل از عرضه X Chat در X Chat، آزمایشهای امنیتی دقیقی روی آن انجام دهد و تمام کدها را متنباز کند.
از تاریخ راهاندازی ۱۷ آوریل، هیچ حسابرسی شخص ثالث مستقلی تکمیل نشده است، هیچ مخزن کد رسمی در GitHub وجود ندارد، برچسب حریم خصوصی App Store نشان میدهد که X Chat پنج یا چند دسته داده از جمله مکان، اطلاعات تماس و سابقه جستجو را جمعآوری میکند، که مستقیماً با ادعای بازاریابی "بدون تبلیغات، بدون ردیاب" در تضاد است.
نه نظارت مداوم، بلکه یک نقطه دسترسی مشخص.
برای هر پیام در X Chat، کاربران میتوانند انگشت خود را نگه داشته و گزینه «از گروک بپرس» را انتخاب کنند. وقتی روی این دکمه کلیک میشود، پیام به صورت متن ساده به Grok ارسال میشود و در این مرحله از حالت رمزگذاری شده به حالت رمزگذاری نشده تغییر میکند.
این طراحی یک آسیبپذیری نیست، بلکه یک ویژگی است. با این حال، سیاست حفظ حریم خصوصی X Chat مشخص نمیکند که آیا این دادههای متنی ساده برای آموزش مدل Grok استفاده خواهند شد یا اینکه Grok محتوای این مکالمه را ذخیره خواهد کرد. با کلیک فعال روی «از گروک بپرس»، کاربران داوطلبانه حفاظت رمزگذاری آن پیام را حذف میکنند.
همچنین یک مشکل ساختاری وجود دارد: این دکمه چقدر سریع از یک «ویژگی اختیاری» به یک «عادت پیشفرض» تغییر خواهد کرد؟ هرچه کیفیت پاسخهای گروک بالاتر باشد، کاربران بیشتر به آن اعتماد میکنند و این منجر به افزایش نسبت پیامهایی میشود که از حفاظت رمزگذاری خارج میشوند. قدرت رمزگذاری واقعی X Chat، در درازمدت، نه تنها به طراحی پروتکل Juicebox، بلکه به تعداد دفعات کلیک کاربران روی «از Grok بپرسید» نیز بستگی دارد.
نسخه اولیه X Chat فقط از iOS پشتیبانی میکند و در نسخه اندروید، بدون هیچ جدول زمانی، صرفاً عبارت «بهزودی» درج شده است.
در بازار جهانی گوشیهای هوشمند، اندروید حدود ۷۳٪ و iOS حدود ۲۷٪ را در اختیار دارند (IDC/Statista، ۲۰۲۵). طبق گزارش Demand Sage، از ۳.۱۴ میلیارد کاربر فعال ماهانه واتساپ، ۷۳ درصد در اندروید هستند. در هند، واتساپ ۸۵۴ میلیون کاربر را پوشش میدهد و بیش از ۹۵ درصد از کاربران آن از اندروید استفاده میکنند. در برزیل، ۱۴۸ میلیون کاربر وجود دارد که ۸۱ درصد آنها از اندروید استفاده میکنند و در اندونزی، ۱۱۲ میلیون کاربر وجود دارد که ۸۷ درصد آنها از اندروید استفاده میکنند.
تسلط واتساپ در بازار ارتباطات جهانی بر پایه اندروید بنا شده است. سیگنال، با حدود ۸۵ میلیون کاربر فعال ماهانه، عمدتاً به کاربرانی در کشورهای دارای اندروید که به حریم خصوصی اهمیت میدهند، متکی است.
ایکس چت این میدان نبرد را دور زد، با دو تفسیر ممکن. یکی از آنها بدهی فنی است؛ X Chat با Rust ساخته شده است و دستیابی به پشتیبانی بین پلتفرمی آسان نیست، بنابراین اولویت دادن به iOS ممکن است یک محدودیت مهندسی باشد. مورد دیگر یک انتخاب استراتژیک است؛ با توجه به اینکه iOS سهم بازار نزدیک به ۵۵ درصد را در ایالات متحده در اختیار دارد و پایگاه کاربری اصلی X در ایالات متحده است، اولویت دادن به iOS به معنای تمرکز بر پایگاه کاربری اصلی آنها به جای رقابت مستقیم با بازارهای نوظهور تحت سلطه اندروید و واتساپ است.
این دو تفسیر با هم تناقضی ندارند و به یک نتیجه منجر میشوند: اولین حضور X Chat باعث شد که این برنامه با میل و رغبت ۷۳ درصد از کاربران جهانی گوشیهای هوشمند را از دست بدهد.
این مطلب را برخی چنین توصیف کردهاند: ایکس چت، به همراه ایکس مانی و گروک، یک سهگانه را تشکیل میدهند که یک سیستم داده حلقه بسته موازی با زیرساخت موجود ایجاد میکند، که از نظر مفهومی شبیه به اکوسیستم ویچت است. این ارزیابی چیز جدیدی نیست، اما با عرضه X Chat، ارزش دارد که طرح کلی را دوباره بررسی کنیم.
ایکس چت، فرادادههای ارتباطی، از جمله اطلاعاتی در مورد اینکه چه کسی با چه کسی، برای چه مدت و با چه تعداد دفعاتی صحبت میکند، تولید میکند. این دادهها به سیستم هویت X جریان مییابند. بخشی از محتوای پیام از طریق ویژگی Ask Grok عبور میکند و وارد زنجیره پردازش Grok میشود. تراکنشهای مالی توسط X Money انجام میشود: آزمایش عمومی خارجی در ماه مارس تکمیل شد و در ماه آوریل برای عموم در دسترس قرار گرفت و امکان انتقال همتا به همتای فیات را از طریق ویزا دایرکت فراهم کرد. یکی از مدیران ارشد فایربلاکز برنامههای خود برای راهاندازی پرداختهای ارز دیجیتال تا پایان سال را تأیید کرد و در حال حاضر مجوزهای انتقال پول را در بیش از ۴۰ ایالت آمریکا دارد.
هر ویژگی WeChat در چارچوب نظارتی چین عمل میکند. سیستم ماسک در چارچوبهای نظارتی غربی فعالیت میکند، اما او همچنین به عنوان رئیس اداره بهرهوری دولت (DOGE) فعالیت میکند. این یک کپی از ویچت نیست؛ بلکه بازآفرینی همان منطق تحت شرایط سیاسی متفاوت است.
تفاوت این است که ویچت هرگز صراحتاً در رابط کاربری اصلی خود ادعا نکرده است که «رمزگذاری سرتاسری» دارد، در حالی که ایکس چت این کار را میکند. «رمزگذاری سرتاسری» از نظر کاربر به این معنی است که هیچکس، حتی پلتفرم، نمیتواند پیامهای شما را ببیند. طراحی معماری X Chat این انتظار کاربر را برآورده نمیکند، اما از این اصطلاح استفاده میکند.
ایکس چت سه خط داده «این شخص کیست، با چه کسی صحبت میکند و پولش از کجا میآید و به کجا میرود» را در دستان یک شرکت تجمیع میکند.
جملههای صفحه راهنما هرگز فقط دستورالعملهای فنی نبودهاند.
با ۵۰ برابر افزایش، و ارزش FDV بیش از ۱۰ میلیارد دلار، چرا RaveDAO؟
نسخه بتای جدید Noise را تجزیه و تحلیل کنید، چگونه میتوان این گرما را "زنجیرهای" کرد؟
آیا لابستر به گذشته پیوسته است؟ بررسی ابزارهای Agent Hermes که بهرهوری شما را تا ۱۰۰ برابر افزایش میدهند
اعلام جنگ علیه هوش مصنوعی؟ روایت آخرالزمانی پشت پردهی سکونت اولترامن در شعلههای آتش
آیا سرمایهگذاران خطرپذیر کریپتو از بین رفتهاند؟ چرخه انقراض بازار آغاز شده است
سفر کلود به سوی حماقت در نمودارها: هزینه صرفهجویی، یا چگونه هزینه API صد برابر شد
پسرفت لبه زمین: نگاهی دوباره به قدرت دریایی، انرژی و دلار
یک میلیارد DOT از هیچ خلق شد، اما هکر فقط ۲۳۰٬۰۰۰ دلار به دست آورد.
آخرین مصاحبه آرتور هایز: سرمایهگذاران خردهفروشی چگونه باید در درگیری ایران حرکت کنند؟
همین حالا، سم آلتمن دوباره مورد حمله قرار گرفت، این بار با تیراندازی
خلاصهای از استیبل کوینها و بلاکید تنگه | نسخه صبحگاهی Rewire News
از انتظارات بالا تا تحولی بحثبرانگیز، ایردراپ Genius واکنش شدید جامعه را برانگیخته است
کارخانه تولید خودروهای برقی شیائومی در منطقه داکسینگ پکن به اورشلیم جدید نخبگان آمریکایی تبدیل شده است.
یک «سکه میم» پیدا کردم که فقط در عرض چند روز سر به فلک کشید. راهنمایی دارید؟
TAO ایلان ماسک است که در OpenAI سرمایهگذاری کرد و Subnet سم آلتمن است.
دوران «توزیع گسترده کوین» در زنجیرههای عمومی به پایان میرسد
پس از محاصره تنگه هرمز، جنگ چه زمانی پایان خواهد یافت؟
قبل از استفاده از چت ایکس «WeChat غربی» ماسک، باید این سه سوال را بفهمید
X Chat این جمعه برای دانلود در اپ استور در دسترس خواهد بود. رسانهها پیش از این فهرست ویژگیها، از جمله پیامهای خود-تخریبشونده، جلوگیری از اسکرینشات، چتهای گروهی ۴۸۱ نفره، ادغام Grok و ثبتنام بدون شماره تلفن را پوشش دادهاند و آن را به عنوان «ویچت غربی» معرفی کردهاند. با این حال، سه سوال وجود دارد که به ندرت در هیچ گزارشی به آنها پرداخته شده است.
جملهای در صفحه راهنمای رسمی X وجود دارد که هنوز آنجا آویزان است: «اگر افراد داخلی مخرب یا خود X باعث شوند مکالمات رمزگذاری شده از طریق فرآیندهای قانونی افشا شوند، هم فرستنده و هم گیرنده کاملاً بیاطلاع خواهند بود.»
خیر. تفاوت در محل ذخیره کلیدها نهفته است.
در رمزگذاری سرتاسری سیگنال، کلیدها هرگز دستگاه شما را ترک نمیکنند. X، دادگاه یا هیچ شخص ثالثی کلیدهای شما را در اختیار ندارد. سرورهای سیگنال هیچ ابزاری برای رمزگشایی پیامهای شما ندارند؛ حتی اگر به آنها احضاریه هم ارسال شده باشد، همانطور که سوابق احضاریههای قبلی نشان میدهد، آنها فقط میتوانند مهرهای زمانی ثبت نام و زمان آخرین اتصال را ارائه دهند.
ایکس چت از پروتکل Juicebox استفاده میکند. این راهحل، کلید را به سه بخش تقسیم میکند که هر کدام روی سه سرور که توسط X اداره میشوند، ذخیره میشوند. هنگام بازیابی کلید با یک کد پین، سیستم این سه بخش را از سرورهای X بازیابی کرده و آنها را دوباره ترکیب میکند. مهم نیست که کد پین چقدر پیچیده باشد، X متولی واقعی کلید است، نه کاربر.
این پیشینه فنی «جمله صفحه راهنما» است: از آنجا که کلید روی سرورهای X است، X این قابلیت را دارد که بدون اطلاع کاربر به فرآیندهای قانونی پاسخ دهد. سیگنال این قابلیت را ندارد، نه به دلیل سیاست، بلکه به این دلیل که کلید را ندارد.
تصویر زیر سازوکارهای امنیتی سیگنال، واتساپ، تلگرام و ایکس چت را در شش بُعد مقایسه میکند. ایکس چت تنها مورد از این چهار موردی است که پلتفرم کلید را در اختیار دارد و تنها موردی است که فاقد Forward Secrecy است.
اهمیت Forward Secrecy در این است که حتی اگر یک کلید در یک نقطه زمانی خاص به خطر بیفتد، پیامهای قدیمی قابل رمزگشایی نیستند زیرا هر پیام یک کلید منحصر به فرد دارد. پروتکل Double Ratchet سیگنال به طور خودکار کلید را پس از هر پیام بهروزرسانی میکند، مکانیزمی که در X Chat وجود ندارد.
متیو گرین، استاد رمزنگاری دانشگاه جانز هاپکینز، پس از تجزیه و تحلیل معماری X Chat در ژوئن ۲۰۲۵ اظهار داشت: «اگر XChat را به عنوان یک طرح رمزگذاری سرتاسری در نظر بگیریم، این آسیبپذیری به نظر میرسد یک نوع بازی تمام عیار باشد.» او بعداً اضافه کرد: «من به این [پیامک/مسیج/...] بیشتر از آنچه به پیامهای مستقیم رمزگذاری نشده فعلی اعتماد دارم، اعتماد نخواهم کرد.»
از گزارش TechCrunch در سپتامبر ۲۰۲۵ تا زمان انتشار رسمی آن در آوریل ۲۰۲۶، این معماری هیچ تغییری نداشته است.
ماسک در توییتی در تاریخ ۹ فوریه ۲۰۲۶ متعهد شد که قبل از عرضه X Chat در X Chat، آزمایشهای امنیتی دقیقی روی آن انجام دهد و تمام کدها را متنباز کند.
از تاریخ راهاندازی ۱۷ آوریل، هیچ حسابرسی شخص ثالث مستقلی تکمیل نشده است، هیچ مخزن کد رسمی در GitHub وجود ندارد، برچسب حریم خصوصی App Store نشان میدهد که X Chat پنج یا چند دسته داده از جمله مکان، اطلاعات تماس و سابقه جستجو را جمعآوری میکند، که مستقیماً با ادعای بازاریابی "بدون تبلیغات، بدون ردیاب" در تضاد است.
نه نظارت مداوم، بلکه یک نقطه دسترسی مشخص.
برای هر پیام در X Chat، کاربران میتوانند انگشت خود را نگه داشته و گزینه «از گروک بپرس» را انتخاب کنند. وقتی روی این دکمه کلیک میشود، پیام به صورت متن ساده به Grok ارسال میشود و در این مرحله از حالت رمزگذاری شده به حالت رمزگذاری نشده تغییر میکند.
این طراحی یک آسیبپذیری نیست، بلکه یک ویژگی است. با این حال، سیاست حفظ حریم خصوصی X Chat مشخص نمیکند که آیا این دادههای متنی ساده برای آموزش مدل Grok استفاده خواهند شد یا اینکه Grok محتوای این مکالمه را ذخیره خواهد کرد. با کلیک فعال روی «از گروک بپرس»، کاربران داوطلبانه حفاظت رمزگذاری آن پیام را حذف میکنند.
همچنین یک مشکل ساختاری وجود دارد: این دکمه چقدر سریع از یک «ویژگی اختیاری» به یک «عادت پیشفرض» تغییر خواهد کرد؟ هرچه کیفیت پاسخهای گروک بالاتر باشد، کاربران بیشتر به آن اعتماد میکنند و این منجر به افزایش نسبت پیامهایی میشود که از حفاظت رمزگذاری خارج میشوند. قدرت رمزگذاری واقعی X Chat، در درازمدت، نه تنها به طراحی پروتکل Juicebox، بلکه به تعداد دفعات کلیک کاربران روی «از Grok بپرسید» نیز بستگی دارد.
نسخه اولیه X Chat فقط از iOS پشتیبانی میکند و در نسخه اندروید، بدون هیچ جدول زمانی، صرفاً عبارت «بهزودی» درج شده است.
در بازار جهانی گوشیهای هوشمند، اندروید حدود ۷۳٪ و iOS حدود ۲۷٪ را در اختیار دارند (IDC/Statista، ۲۰۲۵). طبق گزارش Demand Sage، از ۳.۱۴ میلیارد کاربر فعال ماهانه واتساپ، ۷۳ درصد در اندروید هستند. در هند، واتساپ ۸۵۴ میلیون کاربر را پوشش میدهد و بیش از ۹۵ درصد از کاربران آن از اندروید استفاده میکنند. در برزیل، ۱۴۸ میلیون کاربر وجود دارد که ۸۱ درصد آنها از اندروید استفاده میکنند و در اندونزی، ۱۱۲ میلیون کاربر وجود دارد که ۸۷ درصد آنها از اندروید استفاده میکنند.
تسلط واتساپ در بازار ارتباطات جهانی بر پایه اندروید بنا شده است. سیگنال، با حدود ۸۵ میلیون کاربر فعال ماهانه، عمدتاً به کاربرانی در کشورهای دارای اندروید که به حریم خصوصی اهمیت میدهند، متکی است.
ایکس چت این میدان نبرد را دور زد، با دو تفسیر ممکن. یکی از آنها بدهی فنی است؛ X Chat با Rust ساخته شده است و دستیابی به پشتیبانی بین پلتفرمی آسان نیست، بنابراین اولویت دادن به iOS ممکن است یک محدودیت مهندسی باشد. مورد دیگر یک انتخاب استراتژیک است؛ با توجه به اینکه iOS سهم بازار نزدیک به ۵۵ درصد را در ایالات متحده در اختیار دارد و پایگاه کاربری اصلی X در ایالات متحده است، اولویت دادن به iOS به معنای تمرکز بر پایگاه کاربری اصلی آنها به جای رقابت مستقیم با بازارهای نوظهور تحت سلطه اندروید و واتساپ است.
این دو تفسیر با هم تناقضی ندارند و به یک نتیجه منجر میشوند: اولین حضور X Chat باعث شد که این برنامه با میل و رغبت ۷۳ درصد از کاربران جهانی گوشیهای هوشمند را از دست بدهد.
این مطلب را برخی چنین توصیف کردهاند: ایکس چت، به همراه ایکس مانی و گروک، یک سهگانه را تشکیل میدهند که یک سیستم داده حلقه بسته موازی با زیرساخت موجود ایجاد میکند، که از نظر مفهومی شبیه به اکوسیستم ویچت است. این ارزیابی چیز جدیدی نیست، اما با عرضه X Chat، ارزش دارد که طرح کلی را دوباره بررسی کنیم.
ایکس چت، فرادادههای ارتباطی، از جمله اطلاعاتی در مورد اینکه چه کسی با چه کسی، برای چه مدت و با چه تعداد دفعاتی صحبت میکند، تولید میکند. این دادهها به سیستم هویت X جریان مییابند. بخشی از محتوای پیام از طریق ویژگی Ask Grok عبور میکند و وارد زنجیره پردازش Grok میشود. تراکنشهای مالی توسط X Money انجام میشود: آزمایش عمومی خارجی در ماه مارس تکمیل شد و در ماه آوریل برای عموم در دسترس قرار گرفت و امکان انتقال همتا به همتای فیات را از طریق ویزا دایرکت فراهم کرد. یکی از مدیران ارشد فایربلاکز برنامههای خود برای راهاندازی پرداختهای ارز دیجیتال تا پایان سال را تأیید کرد و در حال حاضر مجوزهای انتقال پول را در بیش از ۴۰ ایالت آمریکا دارد.
هر ویژگی WeChat در چارچوب نظارتی چین عمل میکند. سیستم ماسک در چارچوبهای نظارتی غربی فعالیت میکند، اما او همچنین به عنوان رئیس اداره بهرهوری دولت (DOGE) فعالیت میکند. این یک کپی از ویچت نیست؛ بلکه بازآفرینی همان منطق تحت شرایط سیاسی متفاوت است.
تفاوت این است که ویچت هرگز صراحتاً در رابط کاربری اصلی خود ادعا نکرده است که «رمزگذاری سرتاسری» دارد، در حالی که ایکس چت این کار را میکند. «رمزگذاری سرتاسری» از نظر کاربر به این معنی است که هیچکس، حتی پلتفرم، نمیتواند پیامهای شما را ببیند. طراحی معماری X Chat این انتظار کاربر را برآورده نمیکند، اما از این اصطلاح استفاده میکند.
ایکس چت سه خط داده «این شخص کیست، با چه کسی صحبت میکند و پولش از کجا میآید و به کجا میرود» را در دستان یک شرکت تجمیع میکند.
جملههای صفحه راهنما هرگز فقط دستورالعملهای فنی نبودهاند.
App