حصان طروادة في متجر التطبيقات: كيف نهب تطبيق ليدجر مزيف ملايين من الذهب الرقمي

كان من المفترض أن تكون مسألة ثقة: متجر تطبيقات آبل، السوق الرقمية المعروفة بإجراءات التدقيق، كان يُفترض أنه أرض آمنة لحاملي العملات الرقمية الباحثين عن أدوات لإدارة المحافظ. لكن في أوائل أبريل، تسلّل ظلّ - تطبيق Ledger Live خبيث يتنكر كالأصلي. وفي غضون أيام معدودة، استنزف مدخرات العمر لعشرات الأشخاص، كاشفًا عن عملية سطو عالية المخاطر أظهرت مدى هشاشة الثقة الرقمية.

تشريح خدعة رقمية

بالنسبة للمستخدمين غير المنتبهين، بدا تطبيق Ledger Live المزيّف مقنعًا - واجهة مصقولة، تحديثات منتظمة للإصدارات، ووجود على متجر تطبيقات آبل المحصّن عادةً. لكن خلف الواجهة كان هناك فخ: عند التثبيت، طُلب من المستخدمين إدخال عبارات البذرة أو الاسترداد، وهي تفصيلة أمنية حاسمة إن تم اختراقها تُسلّم مفاتيح المملكة.

تتبّع محقق البلوكتشين ZachXBT الأموال المسروقة بدقة وهي تتدفق عبر شبكة من المحافظ على بيتكوين وإيثريوم وترون وسولانا وريبل. وأظهر المهاجمون فهمًا متقدمًا لغسل العملات الرقمية، فوزّعوا الغنيمة عبر أكثر من 150 عنوان إيداع، يرتبط كثير منها بـ KuCoin وبخدمة خلط تُدعى “AudiA6”. هذه الخدمة، المعروفة بطمس مسارات الأصول مقابل رسوم باهظة، جعلت الأموال أصعب تتبعًا واستردادًا.

شملت ضحايا المخطط كلاً من متحمسي العملات الرقمية وأفرادًا بارزين - من بينهم الموسيقي G. Love الذي خسر ما يقارب ستة بيتكوين. ولم يكن لناشر التطبيق، “Leva Heal Limited”، أي صلة بفريق Ledger الحقيقي. ولإضفاء الشرعية، زوّر المحتالون سجل الإصدارات، ودفعوا “تحديثات كبرى” كل بضعة أيام، متسارعين من الإصدار 1.0 إلى 5.0 خلال أسبوعين.

نقطة عمياء لدى آبل

لم تُزل آبل التطبيق المارق إلا بعد تقارير متعددة وأضرار مالية كبيرة. واللافت أن تطبيق Ledger الشرعي على ماك متاح فقط عبر موقعها الإلكتروني، وليس عبر متجر التطبيقات - وهي فجوة استغلها المهاجمون من قبل. ففي عام 2023، أسفرت عملية احتيال مشابهة على متجر تطبيقات مايكروسوفت عن خسائر تجاوزت 750 ألف دولار.

وبينما جمّدت KuCoin الحسابات المتورطة، فإن التجميد مؤقت ما لم تتدخل جهات إنفاذ القانون. ويعيد الحادث إشعال الجدل حول مسؤوليات عمالقة التقنية والمنصات في مراقبة منصاتهم، وكذلك مخاطر الثقة في متاجر التطبيقات “الرسمية”.

دروس من الاختراق

هذه السرقة تذكير صارخ: في عالم الأصول الرقمية، حتى أكثر المنصات موثوقية ليست بمنأى عن التسلل. يجب على مستخدمي العملات الرقمية البقاء يقظين، والتحقق دائمًا من مصدر تطبيقات المحافظ، وعدم مشاركة عبارات الاسترداد خارج البيئات الرسمية المؤمّنة بالأجهزة. ومع انقشاع الغبار، يبقى السؤال معلّقًا - هل يمكن استعادة الثقة في الأسواق الرقمية بالكامل يومًا ما؟

WIKICROOK

• عبارة البذرة/الاسترداد: تسلسل من الكلمات يمنح وصولًا كاملًا إلى محفظة عملات رقمية وأصولها.
• خدمة الخلط: تمزج خدمة الخلط معاملات العملات الرقمية من مستخدمين مختلفين، ما يجعل تتبع المصدر الأصلي ووجهة الأموال أكثر صعوبة.
• متجر التطبيقات: متجر التطبيقات هو سوق إلكترونية يمكن للمستخدمين من خلالها تصفح التطبيقات وتنزيلها وتثبيتها بأمان على هواتفهم الذكية أو أجهزتهم اللوحية أو حواسيبهم.
• البلوكتشين: البلوكتشين دفتر أستاذ رقمي آمن وشفاف يسجل المعاملات في كتل مترابطة، ما يجعل البيانات شبه مستحيلة التعديل أو التزوير.
• عنوان المحفظة: عنوان المحفظة مُعرّف فريد يُستخدم لإرسال أو استلام العملات الرقمية على شبكة بلوكتشين، بما يضمن معاملات رقمية آمنة وقابلة للتتبع.