في 22 مارس/آذار، أصدرت جوجل Google تحديثاً أمنياً طارئاً لمستخدمي متصفح كروم، بعد أن أصبح نحو 3.2 مليار مستخدم عرضةً للهجمات المحتملة. وقد ركّز التحديث على ثغرةٍ أمنية قد يكون لها تأثيرٌ كبيرٌ على الجميع، وخاصةً مستخدمي العملات المشفرة.
ولا نعرف الكثير عن CVE-2022-1096 في المرحلة الحالية بخلاف أنها من ثغرات ارتباك النوع V8 Type Confusion. ويُشير هذا النوع من الثغرات إلى محرك جافا سكريبت الذي يستخدمه متصفح كروم، حسب موقع Crypto Slate البريطاني.
ويتضمن الخلل الأمني مشروع كروميوم مفتوح المصدر، ومن المحتمل أيضاً أن يكون التحديث قد وصل استجابةً لبلاغات المستخدمين عن تعرض “المحافظ الساخنة” الخاصة بعملاتهم المشفرة للاختراق عبر المتصفح.
بينما أعلن آرثر شيونغ، مؤسس DeFiance Capital وحوت العملات المشفرة المعروف، في وقتٍ مبكر من الأسبوع الجاري عبر تويتر أن محفظته المشفرة قد تعرضت للاختراق. مما تسبب في خسارته لعملات وتوكنات غير قابلة للاستبدال NFT بقيمةٍ تتجاوز 1.5 مليون دولار أمريكي.
وقد استهدف الاختراق ما يعرف بالمحفظة “الساخنة”. وعادةً ما تظل المحفظة الساخنة متصلةً بالإنترنت، بعكس المحفظة الباردة التي تعرف أيضاً بجهاز المحفظة، حيث يجري تخزين الأصول دون اتصالٍ بالإنترنت وتظل على هذه الحال من أجل حمايتها وأمنها. ولا شك أن مشاهدة الاختراقات المعقدة من هذه النوعية الآن ستكون سبباً كافياً للاقتناع بأن تخزين العملات المشفرة في المحافظ الباردة هو خيارٌ أكثر أماناً بكثير عند الاحتفاظ بالعملات المشفرة.
في حين كانت شركة ليدجر Ledger قد حذّرت مستخدميها قبل أسابيع حتى ينتبهوا إلى التوقيعات العمياء والمخاطر التي تصاحبها، مع الاستمرار في توصية المستخدمين بالتعامل بحذر أثناء تصفح التطبيقات اللامركزية وغيرها من مواقع الويب ذات الصلة.
ويُذكر أن هناك محفظتين تعرضتا للاستهداف بشكلٍ أساسي، وكانتا تحويان رصيد منتجات مشفرة يجاوز 1.5 مليون دولار أمريكي، وغالبيتها من التوكنات غير القابلة للاستبدال من مجموعة أزوكيس Azukis. بينما جرى بيع التوكنات الشهيرة على الفور عبر متجر أوبنسي OpenSea بسعرٍ أقل من سعر السوق، مما ساعد المخترق في الحصول على الأموال بأسرع طريقةٍ ممكنة.
ولكن لحسن الحظ فإن مجتمع التشفير استمع للنداءات سريعاً، ليجري اتخاذ بعض الخطوات على عجل. إذ حصل بعض الداعمين على توكنات أزوكي المسروقة من المخترق الذي أُدرِج على القائمة السوداء، وتمتعت قلوبهم بالرحمة الكافية لإعادة التوكنات إلى آرثر بمقابلٍ بسيط بدلاً من إعادة بيعها بسعرها السوقي الحالي، مما سمح لهم بكسب ما يتراوح بين 7 و8 إيثريوم (ETH) أو ما يعادل نحو 24 ألف دولار. ويبدو أن الأبطال يأتون بكل الأشكال والألوان.
ونجح المخترق إجمالاً في الاستحواذ على 78 توكناً مختلفاً من خمس مجموعات ذائعة الصيت. لكن الأمر لم يتوقف عند هذا الحد.
إذ لم يكتفوا بالتركيز على توكنات أزوكي وغيرها من مقتنيات التوكنات غير القابلة للاستبدال، بل تمكنوا أيضاً من سرقة 68 رابد إيثريوم (wETH)، و4,349 عملة محاصصة دي واي دي إكس (stkDYDX)، و1,578 توكن لوكسرير (LOOKS). لتصل إجمالي قيمة الاختراق إلى 293,281.64 دولاراً في وقت الهجوم.
وفي أعقاب انتشار الأنباء، حقّق آرثر بنفسه في عملية الاختراق ليكتشف أن المخترق قد تمكن من الوصول إلى محفظته عن طريق إرسال ما يعرف باسم رسائل التصيّد بالحربة. وكشف التحقيق كذلك أن رسائل البريد الإلكتروني المستلمة كانت تصدر طلبات وصول إلى محتوى مستندات جوجل الخاص بآثر بالكامل. وبدت تلك الطلبات أول الأمر على أنها من مصدرٍ “شرعي”. لكن المخترق حصل على ممرٍ غير مرخص إلى عبارات البذور الخاصة بمحفظته على الفور بعد أن فتح آرثر الملف الذي جرت مشاركته. ويمكن القول بعبارةٍ أخرى إن كلمة المرور الرئيسية للمحفظة الساخنة قد كُشِفَت على الفور، لتمنح اللص وصولاً كاملاً إلى كافة المحافظ المشفرة المرتبطة بمتصفح جوجل كروم، قبل أن يقوم بسحب الأصول التي كسبها آرثر بشق الأنفس أمام عينيه.
ولا تُعتبر الاختراقات والهجمات من هذا النوع أمراً جديداً في صناعة التشفير. ولكن من المؤسف أن نقول إنها أصبحت أشد تعقيداً وبمثابة حوادث كارثية تماماً يمكن أن تصيب حتى أكثر المستخدمين خبرة. ولا شك أن هذه المأساة هي خير دليلٍ على أن أي شخصٍ يمكنه أن يقع فريسةً لهجماتٍ سيبرانية من هذا النوع، وأن لا شيء يعتبر “آمناً بنسبة 100%” كما يزعم البعض.
بينما كتب ضحية الهجوم على تويتر لاحقاً: “لم أتوقع أن يحدث هذا الأمر معي مطلقاً”.
وفي أعقاب الاختراق، أوصى آرثر بوضع الأمنيات دائماً فوق كل اعتبار. وتضمنت الأمثلة استخدام مدير كلمات مرور موثوق، وتفعيل المصادقة الثنائية (ولكن ليس عبر أرقام الهواتف تجنباً لاختراق بطاقات sim أو مبادلتها)، واستخدام المحافظ الباردة مثل أجهزة محافظ ليدجر لضمان سلامة أموالك بشكلٍ كامل.
إخلاء المسؤولية: الآراء والتحليلات والأخبار الواردة لا تعكس رأي بت شين. لا ينبغي اعتبار أي من المعلومات التي تقرأها على موقع بت شين بمثابة نصيحة استثمارية، ولا تصادق بت شين على أي مشروع قد يتم ذكره أو ربطه في هذه المقالة. يجب اعتبار شراء وتداول العملات المشفرة نشاطًا عالي المخاطر. ويرجى بذل المجهود الواجب قبل اتخاذ أي إجراء يتعلق بالمحتوى المذكور ضمن هذا التقرير. لا تتحمل بت شين أي مسؤولية في حالة خسارة الأموال في تداول العملات المشفرة.