AhnLab ترصد 12 موقعًا مزيفًا لتحصيل USDT بأسماء علامات كورية

ASEC ترصد 12 موقعًا منسوخًا لشركات

حدد باحثو مركز AhnLab لأمن المعلومات (ASEC) اثني عشر موقعًا مشبوهًا تنتحل صفة شركات جنوب كورية معروفة لاستقطاب تحويلات الأصول الرقمية، ومن الأسماء المتضررة شركة الروبوتات Doosan Robotics وعلامة السوجو الكورية Chum-Churum. جاء الاكتشاف بينما كان محللو ASEC يتتبعون البنية التحتية للخوادم خلف ValleyRAT، وهو حصان طروادة للوصول عن بُعد يمنح المهاجمين السيطرة على الحاسوب المصاب. أعلنت شركة الأمن عن النتائج في 28 أكتوبر. صُممت الصفحات المنسوخة لتمرّ بوصفها مواقع رسمية للشركات؛ فقد وجدت مراجعة ASEC أنها تنسخ شعارات الشركات المستهدفة ومقاطعها الترويجية ومقدماتها التعريفية بالكامل، وتتجاوز العملية مجرد صفحة ترويجية ثابتة. يدير كل موقع تسجيل عضوية ودخولًا، وتشغّل عدة مواقع نظام رموز دعوة مقترنًا بنظام رتب VIP يمنح المستخدمين المسجلين مستوى من الحالة. تصنع هذه الرتب مصداقية زائفة فتبدو للزائر وكأنه ينضم إلى برنامج منظّم لا إلى صفحة دفع مجهولة. والتسجيل ليس استعراضًا فارغًا: الحساب المرتبط برتبة يجعل طلب الدفع اللاحق يبدو خطوة روتينية داخل برنامج يوثق به المستخدم أصلًا. ويقوم التعرف على العلامة التجارية ببقية العمل بخفض الحذر الذي يثيره موقع مجهول فورًا. وكل هذا البناء للثقة يصب في طلب دفع واحد. فخلال محادثات الاستشارة المدمجة في المواقع، وجّه المشغلون الزوار نحو إرسال عملة Tether (USDT)، وهي عملة مستقرة مربوطة بالدولار، إلى محافظ على شبكة TRON. ويُظهر تسجيل تدفق الاستشارة تسليم المشاركين عناوين TRON مع توجيههم بتقديم لقطة شاشة للتحويل المكتمل بوصفه إثبات دفع. واختيار هذه الوسيلة متعمد: لأن العملة المستقرة مثل USDT مربوطة بالدولار لا ينحرف المبلغ المطلوب، ولأن التحويل على الشبكة الرئيسية لـTRON يُسوَّى خلال ثوانٍ ولا يمكن استرجاعه. وهذه الإثنيات مجتمعة تلغي عن المخادع مخاطر السعر ومخاطر التراجع في خطوة واحدة.

خمس إيداعات وثلاثة سحوبات على TRON

تُظهر سجلات البلوكتشين أن المخطط حوّل فعليًا جزءًا من الأموال. فعندما حللت ASEC محفظة TRON المرتبطة بالموقع المنتحل لعلامة الفودكا Chum-Churum، السجل على السلسلة خمس عمليات تحويل USDT واردة وثلاث صادرة. وجاءت الإيداعات الخمس جميعها من محفظة خارجية واحدة، وهو تركّز يرجّح مصدر تمويل واحدًا لا قاعدة ضحايا واسعة، وإن كانت الشركة لم تستخلص أي استنتاج حول من يسيطر على هذا العنوان. أما التحويلات الصادرة الثلاث فتبيّن أن العنوان يُدار بفاعلية لا أنه مُهمل. ويتجاوز التاريخ التراكمي لتلك المحفظة الخارجية بكثير ما تظهره العمليات الخمس المرئية؛ فقدّرت دراسة ASEC حجم ما استلمته عبر عمرها بنحو 13 مليون USDT. ويحدد مركز الأمن بدقة ما يكونه هذا الرقم وما لا يكونه: إنه يمثل إجمالي حجم الاستلام التراكمي للمحفظة، لا حجم معاملات الموقع المنتحل، ولا حصيلة مؤكدة لخسائر الاحتيال. ولم تُثبَت خسائر الضحايا الفعلية المرتبطة بالنطاقات المنسوخة، ويظل عدد المستخدمين الذين أكملوا تحويلًا مجهولًا. ويضيف خيط البرمجيات الخبيثة طبقة ثانية من عدم اليقين؛ إذ ذكرت ASEC أنه لم يُؤكد حتى الآن أي صلة تشغيلية مباشرة بين عملية ValleyRAT والمواقع المنتحلة والمحافظ المحددة. فقد ظهرت النطاقات خلال التحقيق نفسه، وأثر البنية التحتية المشتركة هو ما ألقي بها على رادار فريق البحث، لكن تزامن التوقيت لا يثبت ملكية مشتركة. فإما أن الجماعة التي تشغّل حصان طروادة بنت المواقع المزيفة، وإما أن فريقًا غير ذي صلة أنشأ صفحات دفع صادف أنها تتقاطع مع بصمة خوادم البرمجية الخبيثة. ويترك التحليل هذا السؤال مفتوحًا. أما دور TRON هنا فهو بنيوي، لأن التحويلات تُسوَّى سريعًا وبتكلفة زهيدة على سلسلة تشرحها أدلة مثل Where to Buy Tron (TRX) للمبتدئين؛ وللضحايا في هذه القضية فإن الخاصية الحاسمة هي النهائية. ويأتي هذا الحادث ضمن مسار نشط للاحتيال القائم على Tether، يشمل اختراق CoinDCX بقيمة 15.99 مليون USDT وتصريفًا بقيمة 4.85 مليون USDT من مشروع Ethereum المسمى X100.

ما لا يُظهره سجل المحفظة

الميكانيزمات هي جوهر هذه القضية. فبخلاف تحويل مصرفي، أو عملة رقمية للبنك المركزي افتراضية مزودة بقدرة استرداد مدمجة، فإن دفعة USDT على TRON نهائية لحظة توقيع الضحية، لذا فإن الاحتكاك الوحيد الذي يتعين على المشغلين تجاوزه هو الثقة. والشعارات المستعارة ودعم المحادثة ورتب VIP توفر ذلك بالضبط. والمبالغ المؤكدة متواضعة قياسًا إلى الإمداد المتداول العام للعملة: فحتى المحفظة التي استلمت نحو 13 مليون USDT عبر عمرها تظل صغيرة أمام تقلص القيمة السوقية لـUSDT البالغ مليار دولار خلال خمسة أيام. وما يبقى مفتوحًا أضيق نطاقًا: خمس إيداعات وثلاثة سحوبات هي التدفقات المؤكدة، و13 مليون USDT هي حجم تراكمي دون إثبات لصلتها بالمواقع المزيفة، ولا صلة تشغيلية بـValleyRAT قُدّست بعد. والملف يبقى بيد ASEC التي لم تسمِّ بعد مشغلًا ولا حصيلة ضحايا مؤكدة.