أصابت ثغرة أمنية كبيرة محفظة Trust Wallet الشهيرة للعملات المشفرة، مما أدى إلى خسائر تتجاوز 6 ملايين دولار من حسابات مئات المستخدمين. وقع الحادث في 25 ديسمبر، بعد تحديث مخترق لإضافة المتصفح Chrome الخاصة بالمحفظة. ويؤكد خبراء الأمن السيبراني على المخاطر المتزايدة المرتبطة بامتدادات المتصفح، ويدعون المستخدمين إلى اتخاذ الاحتياطات اللازمة لحماية أصولهم الرقمية.
أفاد المحقق المتخصص في سلاسل الكتل (blockchain) ZachXBT عبر Telegram عن عمليات سحب غير مصرح بها من محافظ Trust Wallet. وذكر أن الخسائر تجاوزت 6 ملايين دولار، وتأثرت محافظ على شبكات Ethereum و Bitcoin و Solana. وقد شارك ZachXBT قائمة بعناوين محافظ العملات المشفرة المرتبطة بالهاكر.
اختراق محفظة Trust Wallet بعد تحديث إضافة Chrome
أشار ZachXBT إلى أن التحديث الجديد لإضافة Trust Wallet Chrome، الذي تم إصداره في 24 ديسمبر، تزامن مع بدء الحادث. ويُصنف هذا الاختراق على أنه اختراق لسلسلة التوريد، حيث يتم التلاعب ببرنامج موثوق به سراً أثناء التحديث. تم إدخال كود JavaScript ضار في التحديث.
يتفعل هذا الكود الضار عندما يقوم المستخدمون باستيراد عبارة الاسترداد السرية الخاصة بهم، وهي سلسلة من الكلمات الضرورية للوصول إلى الأموال. ثم يتم إرسال هذه البيانات الحساسة إلى موقع ويب مزيف مصمم ليبدو وكأنه البنية التحتية الرسمية لـ Trust Wallet. بمجرد حصول المهاجم على عبارات الاسترداد، يمكنه إفراغ المحافظ بسرعة، وتحويل الأموال عبر عناوين متعددة لإخفاء مساره.
(المصدر: Trust Wallet على X)
استجابت Trust Wallet رسميًا وأقرت بوقوع الحادث الأمني في 25 ديسمبر. أكدت الشركة أن المشكلة تقتصر على إصدار إضافة المتصفح 2.68، وأن مستخدمي تطبيق الهاتف المحمول والإصدارات الأخرى من الإضافات لم يتأثروا. وقد طلبت Trust Wallet من جميع المستخدمين تعطيل إضافة الإصدار 2.68 على الفور، ونصحتهم بالترقية مباشرة من متجر Chrome Web الرسمي إلى الإصدار المُصلح 2.68.
أعلنت الشركة أن فريقها يحقق بنشاط في الاختراق ووعد بتقديم المزيد من التحديثات. حتى الآن، لم تصدر Trust Wallet أي بيان بشأن تعويض المستخدمين المتضررين. تشير التقديرات الأولية، وفقًا لـ ZachXBT، إلى أن الخسائر لا تزال تتجاوز 6 ملايين دولار.
مخاطر امتدادات المتصفح
يسلط هذا الحادث الضوء على المخاطر المرتبطة بامتدادات المتصفح، والتي تعمل بمستويات عالية من الأذونات داخل متصفح الويب. يُنصح المستخدمون بإلغاء أي موافقات على الرموز المميزة (token approvals) التي تم منحها من خلال المحفظة المخترقة، ومراقبة سجل معاملاتهم باستخدام مستكشفي سلاسل الكتل، وفي حالة التأثر، نقل أصولهم إلى محفظة جديدة بعبارة استرداد تم إنشاؤها حديثًا.
ينصح خبراء الأمن السيبراني باستخدام محافظ الأجهزة (hardware wallets) أو التحول إلى التطبيقات الرسمية للهاتف المحمول حتى يتم حل الوضع بالكامل. تعتبر محافظ الأجهزة أكثر أمانًا لأنها تحتفظ بالمفاتيح الخاصة (private keys) في وضع عدم الاتصال، مما يجعلها أقل عرضة للاختراق.
محافظ العملات المشفرة تصبح هدفًا سهلاً للمهاجمين السيبرانيين
لطالما كانت محافظ العملات المشفرة هدفًا سهلاً للمحتالين لسنوات عديدة. نادراً ما تتضمن هذه الاختراقات اختراق برنامج المحفظة الرئيسي نفسه. بدلاً من ذلك، يستخدم المهاجمون أساليب مثل التصيد الاحتيالي (phishing)، والبرامج الضارة (malware)، واختراقات سلسلة التوريد لسرقة بيانات اعتماد المستخدم. تعتبر حماية الأصول الرقمية أمرًا بالغ الأهمية.
كانت MetaMask، المحفظة الرائدة لـ Ethereum، هدفًا متكررًا لحملات التصيد الاحتيالي. في عام 2021، استخدم المحتالون إعلانات Google المدفوعة للترويج لمواقع ويب مزيفة تحاكي MetaMask و Phantom، وهي محفظة أخرى شائعة. وقد خدعت هذه المواقع المزيفة المستخدمين لإدخال عبارات الاسترداد الخاصة بهم، مما أدى إلى خسائر فادحة.
كما أثرت هذه الهجمات السيبرانية على محافظ الأجهزة. في عام 2023، تورطت Ledger، المزود الرائد لمحافظ الأجهزة، في حادث كبير. في هذا الحادث، تم استخدام بيانات اعتماد موظف سابق مخترقة لإدخال كود ضار في مكتبة برامج مستخدمة على نطاق واسع تسمى Ledger Connect Kit. أثر هذا الاختراق على واجهات الويب للتطبيقات اللامركزية مثل Zapper و SushiSwap.
مع النمو السريع لقطاع العملات المشفرة، تتزايد الهجمات السيبرانية أيضًا. وفقًا لبيانات منتصف العام من شركة Chainalysis لتحليل سلاسل الكتل، فقد سُرقت أكثر من 2.17 مليار دولار في النصف الأول من العام فقط. لقد تجاوز هذا الرقم بالفعل إجمالي عام 2024.
من المتوقع أن تستمر الشركات العاملة في مجال العملات المشفرة في تعزيز تدابيرها الأمنية، وأن تزيد الجهود التنظيمية للحد من هذه المخاطر. يجب على المستخدمين أيضًا أن يكونوا يقظين وأن يتبعوا أفضل الممارسات الأمنية لحماية أصولهم الرقمية. ستكون التحديثات الإضافية من Trust Wallet حول التحقيق والتعويضات للمستخدمين المتضررين أمرًا بالغ الأهمية لمراقبتها في الأيام القادمة.