إنذار أمني لبيتكوين بعد اختراق 1,640 شركة في 57 دولة

أخبار العملات الرقمية

تتعرّض منظومة حيازة بيتكوين (BTC) والبنية التحتية الأوسع للأصول الرقمية لمراجعة أمنية عاجلة، بعدما كشف تحقيق استمر 22 شهرًا عن حملة اختراق نُسبت إلى جهات مرتبطة بكوريا الشمالية، استهدفت 1,640 شركة موزّعة على 57 دولة عبر عروض توظيف وهمية. الباحث فانجيليس ستايكاس، كبير مسؤولي التكنولوجيا في شركة الأمن السيبراني Kumio، أوضح أن المهاجمين أرسلوا إلى مطوّرين ومتعاقدين تقنيين يعملون عن بُعد عروض عمل مقنعة، واختبارات فنية، ومشاريع تجريبية. وبمجرد فتح الملفات المُرسَلة أو تشغيلها، زُرعت برمجية خبيثة أنشأت موطئ قدم أوليًا داخل بيئة الضحية. شدّد ستايكاس على أن العملية لم تكن تصيّدًا عشوائيًا يستهدف قوائم بريدية واسعة، بل كانت عملية هندسة اجتماعية مركّزة استغلّت الثقة التي تُمنح عادةً لعمليات التوظيف. وبمجرد الدخول، سعى المهاجمون وراء أكثر البيانات حساسيةً لفرق الأصول الرقمية: صلاحيات المسؤول على الخوادم، وأذونات خدمات Amazon Web Services، والمفاتيح الخاصة التي تتحكم في بيتكوين (BTC) أو أي عملة بديلة أو محفظة عملات رقمية مدعومة بالذكاء الاصطناعي. وخلص التحقيق إلى أن نحو 700 إلى 800 منظمة تعرّضت لاختراقات حادّة، تمكّن فيها المتسللون من التنقّل بين الأنظمة، وفحص البنية السحابية، وربما توجيه الأموال. وبالنسبة لبيتكوين (BTC)، فإن الخطورة مضاعفة لأن المعاملات لا يمكن عكسها بعد تأكيدها على الشبكة. فإذا انكشف مفتاح خاص، يمكن نقل العملات المرتبطة به دون أي إمكانية للاسترداد، ما يجعل ضوابط الحفظ الوقائية أهم بكثير من محاولات التعافي اللاحقة. وأشار التحقيق كذلك إلى أن الإفراط في منح المتعاقدين صلاحيات واسعة كان ثغرة متكررة؛ إذ غالبًا ما كان المطوّرون الخارجيون يحملون صلاحيات أوسع مما تتطلبه مهامهم، ما سمح لحساب واحد مصاب بأن يصبح بوابة إلى أنظمة حيوية. ويجب التعامل مع قنوات التوظيف — رسائل الشبكات المهنية، ودعوات مستودعات الأكواد، وملفات المقابلات — بوصفها مدخلات غير موثوقة. وينبغي للشركات اعتماد المصادقة متعددة العوامل، وعزل أجهزة المتعاقدين عن بيئة الإنتاج، وإجراء تدقيقات دورية للصلاحيات قبل منح الوصول إلى المفاتيح أو الأدوار السحابية. والدرس العملي للمنصات والجهات الحاضنة وشركات البلوكتشين الناشئة هو أن مراجعات الأمن يجب أن تشمل سير عمل التوظيف، ونظافة نقاط النهاية، وتطبيق مبدأ أقل الامتيازات، وليس طبقة البلوكتشين وحدها.

وأضاف كشف مؤتمر Black Hat طبقة ثانية من القلق، إذ بيّن كيف تُسهّل أدوات الذكاء الاصطناعي التجارية على المهاجمين الأقل خبرة. قال ستايكاس إنه تمكّن من فحص العملية بعد أن أصاب المتسللون أحد أنظمته عن طريق الخطأ، ما منحه منفذًا إلى خوادم القيادة والسيطرة الخاصة بهم، وقنواتهم الخاصة على Slack وDiscord، ونحو 5 تيرابايت من المواد الداخلية. كشفت هذه النظرة أن المجموعة استخدمت خدمات ذكاء اصطناعي سائدة لكتابة أكواد خبيثة، وتزييف مواقع توظيف، وأتمتة أجزاء من دورة الاختراق، على غرار ما يفعله روبوت التداول الآلي في أتمتة قرارات السوق. وأشارت عناصر مرئية — مثل تعليقات بالإنجليزية ورموز تعبيرية مُضمّنة في الأكواد الخبيثة — إلى نصوص مُولّدة آليًا، بينما وثّقت أبحاث استخبارات التهديدات حول مجموعة تُعرف باسم UNC2970 استخدام نموذج Gemini لدراسة الأهداف وتحديد الوظائف عالية الأجر في قطاعات الدفاع والتكنولوجيا. شملت قائمة الجهات المتأثرة أسماء بارزة في قطاع العملات الرقمية. أفادت Coinbase بأن الأمر تعلّق بمتعاقد واحد، وتم التحقيق فيه وإنهاؤه خلال 30 يومًا دون تعريض بيانات العملاء للخطر. كما سُمّيت Uniswap Labs، فيما أوضح مستشفى بوسطن للأطفال أن المشكلة ارتبطت بجهاز شخصي لمتعاقد سابق وليس بأنظمة المستشفى الأساسية. وضاعف نموذج العمل الحر من حجم الضرر: مطوّر واحد يعمل مع عدة عملاء يمكن أن يصبح نقطة فشل واحدة عبر عشرات المؤسسات. وحدّد الباحث أفرادًا وفّرت أجهزتهم المخترقة عن غير قصد وصولًا إلى ما يصل إلى 30 شركة في وقت واحد. وقدّرت تحليلات على السلسلة عُرضت مع النتائج أن الجهات المرتبطة بكوريا الشمالية كانت مسؤولة عن نحو 76% من قيمة العملات الرقمية المسروقة في أبريل، أي نحو 577 مليون دولار، عبر عمليتَي سرقة رئيسيتَين. ومنذ عام 2017، يُقدَّر إجمالي السرقات المنسوبة إلى عمليات كوريا الشمالية في مجال العملات الرقمية بأكثر من 6 مليارات دولار. هذه الأرقام تحوّل الحادث من مجرد إنذار بحثي إلى تحذير هيكلي لكل فريق يحتفظ بمخزون من بيتكوين (BTC) أو عملات بديلة أو عملات مستقرة.

يقدّر فريق COINOTAG أن السبب الجذري هو فشل في الهوية وإدارة الوصول وليس خللًا في بروتوكول بيتكوين (BTC) أو أي بلوكتشين أساسي. أقرب ما يتوفر من تحليل لاحق يتكوّن من بيانات الشركات المتأثرة وتحليلات على السلسلة، وليس إفصاحًا على مستوى البروتوكول. ولم تُنشر في هذا البحث أي تجزئات معاملات للمهاجمين أو تفصيل للعناوين المستنزفة، ما يحدّ من إمكانية التتبع النهائي للأموال. حتى عندما لا تلاحق الأسواق أعلى سعر تاريخي، تبقى نظافة الحفظ هي المتغير الحاسم. مسار المعالجة واضح: التعامل مع ملفات التوظيف بوصفها مدخلات غير موثوقة، وتطبيق مبدأ أقل الامتيازات، وعزل نقاط نهاية المتعاقدين، واشتراط المصادقة متعددة العوامل، وتدقيق أحداث الوصول إلى المفاتيح بشكل مستمر. التسوية غير القابلة للعكس تعني أن الوقاية، وليس التعافي، تبقى الدفاع الوحيد الموثوق.