تحذير أمني لبيتكوين (BTC): 72 موقعاً مزيفاً يستهدف مؤسسات وول ستريت

أخبار العملات الرقمية

أصبح بيتكوين (BTC) محور تحذير واسع النطاق في مجال الأمن التشغيلي، بعد كشف حملة تصيّد احتيالي طالبت بفدية واستخدمت 72 عنواناً إلكترونياً مزيفاً لاستهداف كبرى المؤسسات المالية. يصف تقرير استخبارات التهديدات الرسمي مجموعة تُتبع تحت الرمز UNC6671، حيث كانت تتصل بالموظفين عبر هواتفهم المحمولة الشخصية متظاهرة بأنها فرق الدعم الفني الداخلي التي تدّعي الحاجة إلى تحديثات أمنية عاجلة. وجّهت تلك المكالمات الموظفين إلى صفحات تسجيل دخول مقلّدة، حيث اعترضت أنظمة هجوم من نوع "الخصم في المنتصف" (Adversary-in-the-Middle) أسماء المستخدمين وكلمات المرور ورموز المصادقة متعددة العوامل ذات الاستخدام الواحد. وبعد الحصول على جلسات صالحة، نشر المتسللون نصوصاً برمجية آلية لاستخراج البيانات من خدمات السحابة المؤسسية، بما في ذلك Microsoft 365 وOkta. لم يحدّد التقرير جميع الضحايا، ولا يزال من غير المؤكد أي المؤسسات تعرّضت لاختراق كامل. تكتسب هذه التقنية أهمية خاصة لبيتكوين لأن المشاركين المؤسسيين يعتمدون غالباً على نفس ضوابط الهوية والوصول والسحابة التي استهدفتها الحملة. مكالمة واحدة ناجحة كفيلة بكشف إجراءات الحفظ أو اتصالات الخزينة أو سجلات الامتثال، حتى عندما تكون المفاتيح الخاصة مخزّنة خارج الاتصال بالإنترنت. يُظهر وصف التقرير لنصوص الدعم الفني المصمّمة خصيصاً ولوحات حصاد بيانات الاعتماد وسرقة البيانات من تطبيقات البرمجيات كخدمة (SaaS) مدى سرعة تحويل الهندسة الاجتماعية لخطأ بشري واحد إلى حادث على مستوى المؤسسة. بالنسبة لفرق الأصول الرقمية التي تحتفظ بعملة بديلة (Altcoin) أو تدير حسابات مرتبطة بمنصات التداول، ينطبق التحذير ذاته: ضوابط الأجهزة وسياسات الشبكة لا تكفي إذا أمكن اعتراض تدفقات تسجيل الدخول عبر مكالمة هاتفية مقنعة. يواصل الباحثون الأمنيون مراقبة البنية التحتية لأن الفاعلين تنقلوا بسرعة بين القطاعات، وتوفر القائمة المنشورة التي تضم 72 عنواناً للمدافعين مجموعة ملموسة من المؤشرات لحظرها قبل وقوع مزيد من الحوادث. تؤكد الحملة أيضاً أن هيكل السوق لا يكون أقوى من ضوابط الوصول فيه، لا سيما حيث تتشارك فرق التداول والتسوية والحفظ في مزودي هوية سحابيين. ويتيح نشر المؤشرات في التقرير لفرق الأمن مقارنة سجلات الوكلاء وبوابات البريد الإلكتروني وتنبيهات منصات الهوية بالنطاقات الضارة المعروفة.

السمة الثانية البارزة في هذه الحملة هي تحوّلها نحو المؤسسات المالية والقانونية عالية القيمة خلال أشهر الصيف. حتى يونيو، كانت البنية التحتية المتتبعة موجّهة بشكل رئيسي نحو مؤسسات التكنولوجيا والنقل والضيافة، بهدف واضح هو سرقة الأسرار التجارية والرموز البرمجية المملوكة ومعلومات العملاء. بحلول الشهر التالي، انتقل التركيز إلى مديري الأصول والمكاتب القانونية ووكالات التصنيف المالي. ربط تحليل النطاقات نطاقات فرعية مزيفة بمؤسسات من بينها Moody's وCME Group وKKR وBlackstone، إلى جانب Bridgewater Associates وApollo Global Management وBain Capital وTPG وClearlake Capital، من بين أسماء أخرى. يشير التقرير الرسمي إلى أن بعض المؤسسات دفعت فدية، لكنه لا يحدد أي الكيانات تعرضت فعلياً للاختراق. هذا الغموض مهم لأسواق بيتكوين والأصول الرقمية الأوسع، لأن حملات الابتزاز يمكن أن تبقى غير معلنة بينما يقيّم الضحايا حجم التعرض ويخطرون العملاء ويعززون الضوابط. تُظهر قائمة الشركات المستهدفة أن المهاجمين يسعون للوصول إلى تدفق الصفقات واتصالات لجان الاستثمار والمعلومات المتعلقة بالتصنيف، وكلها قادرة على تحريك الأسواق إذا سُرّبت أو تسرّبت. بالنسبة للفرق التي تبني حول منتجات مالية مرمّزة أو صانع سوق آلي (AMM)، فإن الدرس المستفاد هو أن مزودي الهوية الخارجيين والأجهزة المحمولة الشخصية ومنصات SaaS التابعة لأطراف ثالثة يمكن أن تصبح أسطح هجوم حتى عندما تكون الأنظمة الأساسية محصّنة. لم يحتج المهاجمون إلى ثغرة برمجية غير مكتشفة (Zero-Day)؛ بل استخدموا مكالمات هاتفية مقنعة وبوابات مزيفة وجمعاً آلياً للبيانات. يلاحظ التقرير أيضاً أن العناوين المنشورة حُللت عبر أدوات البحث في النطاقات، كاشفة عن نطاقات فرعية مطابقة لكل مؤسسة. هذا يمنح موظفي الأمن مساراً ملموساً لإزالة النطاقات وقواعد الحظر وإحاطات الموظفين. ويعزز ذلك أيضاً أن مخاطر الهندسة الاجتماعية أصبحت قضية على مستوى مجالس الإدارة للشركات التي تتعامل مع أسواق رأس المال، سواء كانت تحتفظ بأصول رقمية مباشرة أم لا. يمكن إعادة استخدام نفس أسلوب سرقة بيانات الاعتماد ضد مشغلي منصات التداول أو مكاتب التداول خارج البورصة أو مديري الصناديق الذين يدعمون التعرض للأصول الرقمية. ولأن الهواتف الشخصية استُخدمت كقناة أولى، قد لا ترصد الدفاعات المحيطية التقليدية أول اتصال، مما يجعل إجراءات التحقق من هوية المستخدم وإجراءات إعادة الاتصال أمراً ضرورياً.

تربط تحليلات COINOTAG كلا التطورين بموضوع واحد: الهوية البشرية هي الآن الحلقة الأضعف في البنية التحتية المالية، وهذا الخطر يمتد إلى أسواق بيتكوين (BTC). ينص سجل استخبارات التهديدات الأساسي على أن العمليات جمعت باستمرار بين المكالمات الصوتية للدعم الفني وحصاد بيانات الاعتماد عبر هجوم الخصم في المنتصف وسرقة بيانات SaaS، بدلاً من الاعتماد على ثغرة برمجية جديدة. للمستثمرين، الخلاصة العملية هي أن مراجعات الحفظ والوصول لا تقل أهمية عن مستويات الأسعار القريبة من أعلى سعر تاريخي. ينبغي للمؤسسات اختبار إجراءات الدعم الفني وتقييد تدفقات إعادة تعيين المصادقة متعددة العوامل ومراقبة النطاقات المزيفة. يواجه مستخدمو الحفظ الذاتي خطراً موازياً من الواجهات المخادعة، حيث يمكن لموافقة واحدة على طلب أن تُحبط تصميماً أمنياً سليماً بخلاف ذلك.