حقائق سريعة

• Crypto Copilot، إضافة كروم، أدرجت سراً تحويلات سولانا إضافية في مبادلات Raydium.
• تم تحويل ما لا يقل عن 0.0013 SOL أو 0.05% من كل مبادلة إلى محفظة المهاجم.
• تم إخفاء الشيفرة الخبيثة عبر التمويه واستخدمت خدمات عملات رقمية شرعية لتبدو موثوقة.
• ظلت الإضافة متاحة على متجر كروم حتى بعد اكتشافها.
• معظم المستخدمين لم يكونوا على علم بذلك، حيث لم تظهر الرسوم المخفية في واجهة المستخدم.

لص رقمي في وضح النهار

تخيل أنك تقوم بمبادلة عملات في سوق رقمية مزدحمة، لتكتشف أن يداً صامتة تمتد إلى محفظتك في كل مرة تتداول فيها. هذا بالضبط ما حدث لمستخدمي Crypto Copilot، إضافة كروم التي تظاهرت بأنها مساعد تداول بينما كانت تقتطع أجزاء صغيرة من كل مبادلة سولانا على Raydium، أحد أكبر منصات التداول اللامركزية.

الإضافة، التي نُشرت في مايو 2024 بواسطة مستخدم يُدعى “sjclark76”، ادعت أنها تقدم أدوات تداول العملات الرقمية مباشرة داخل X (تويتر سابقاً). لكن خلف واجهتها الأنيقة، كشف باحثو Socket Security عن نوايا أكثر خبثاً: في كل مرة ينفذ المستخدم مبادلة، كانت الإضافة تضيف تعليمات تحويل مخفية، لتقتطع جزءاً صغيراً - أحياناً 0.0013 SOL فقط، وأحياناً تصل إلى 0.05% من الصفقة. وتم إرسال الأموال المسروقة إلى محفظة مبرمجة مسبقاً يسيطر عليها المهاجم.

كيف تمت السرقة

على عكس هجمات التصيد التقليدية أو الاختراقات العنيفة، كان هذا الاحتيال خفياً: فقد دمجت Crypto Copilot شيفرتها الخبيثة باستخدام التمويه - أي إخفاء التعليمات بأسماء مشوشة ونصوص مصغرة، مما يصعب على المراجعين العاديين اكتشافها. التحمت الإضافة بعملية المبادلة، وأدرجت بهدوء تعليمات “SystemProgram.transfer” مخفية في كل معاملة. المستخدمون، الذين يرون فقط تفاصيل المبادلة الشرعية، كانوا يوافقون على الصفقات دون علمهم بالتحويل الإضافي.

ولإخفاء آثارها أكثر، تواصلت Crypto Copilot مع خادم خلفي واستعانت بأدوات تحليلات عملات رقمية شرعية، مما منحها مظهراً من الموثوقية. ويبدو أن بنيتها التحتية صُممت خصيصاً لتجاوز فحوصات أمان متجر كروم وإشعار المستخدمين بالأمان الزائف.

ديجا فو في الغرب المتوحش للتمويل اللامركزي

هذه ليست المرة الأولى التي تخون فيها إضافات المتصفح مستخدمي العملات الرقمية. في السابق، استهدفت إضافات خبيثة محافظ مثل MetaMask وBinance Chain Wallet، مستغلة أذونات المتصفح لاعتراض المفاتيح أو تحويل الأموال. لكن هجوم Crypto Copilot كان أكثر دهاءً: لم يسرق كل شيء دفعة واحدة، بل اكتفى باقتطاع ما يعادل الفكة الرقمية، آملاً أن يمر دون أن يلاحظه أحد.

ومع النمو السريع للتمويل اللامركزي، أصبحت محافظ وأدوات المتصفح أهدافاً رئيسية. جاذبية التداول السلس وميزة “نقرة واحدة” قد تخفي المخاطر - خاصة عندما تفشل مراجعات متجر كروم في اكتشاف التهديدات المتطورة. ومع توسع سوق العملات الرقمية وتباطؤ الرقابة التنظيمية، يبقى المستخدمون عرضة لسرقات مبتكرة ومنخفضة الحضور كهذه.

ويكي كروك

• سولانا: سولانا هي منصة بلوكتشين سريعة وقابلة للتوسع تُستخدم على نطاق واسع في التمويل اللامركزي (DeFi)، وتداول العملات الرقمية، وتطبيقات NFT.
• رايديوم: رايديوم هو منصة تداول لامركزية (DEX) على سولانا، تتيح مبادلات عملات رقمية سريعة ومباشرة وتوفير السيولة بدون تحكم مركزي.
• التمويه: التمويه هو ممارسة إخفاء الشيفرة أو البيانات لجعل فهمها أو تحليلها أو اكتشافها صعباً على البشر أو أدوات الأمان.
• إضافة متصفح: إضافة المتصفح هي أداة صغيرة تعزز ميزات المتصفح، لكنها قد تُستغل أيضاً من قبل القراصنة لسرقة البيانات أو التجسس على المستخدمين.
• SystemProgram.transfer: SystemProgram.transfer هو أمر في بلوكتشين سولانا لنقل الأموال بين المحافظ ويمكن استغلاله لتحويل الرسوم إلى المهاجمين.