CERT-In تحذر: قراصنة يعتمدون على الذكاء الاصطناعي سرقوا مفاتيح محافظ منصات التداول

تحذير حرج يضع منصات التداول في دائرة الخطر

رفعت وكالة الأمن السيبراني الهندية مستوى استجابتها لجماعة قرصنة تعتمد على الذكاء الاصطناعي وتسرق مفاتيح محافظ العملات الرقمية قبل تصفية أرصدة منصات التداول والشركات المالية. فقد أدرج فريق الاستجابة للطوارئ الحاسوبية الهندية (CERT-In) نشرة التحذير الخاصة بهذه الجماعة، التي تُتتبع تحت اسم CRAFTY FALCON، ضمن الفئة الحرجة، ونشرها يوم الأربعاء 4 نوفمبر، في تحديث لحملة كانت الوكالة قد أطلقت عليها أول إنذاراتها في أكتوبر. والأهم أن الإشعار يضيف صراحةً منصات تداول العملات الرقمية ومزودي خدمات الأصول الافتراضية إلى قائمة الأهداف التي شملت سابقًا المقرضين غير المصرفيين ومنصات الإقراض الرقمي وشركات التكنولوجيا المالية وجامعي المدفوعات ومقدمي الخدمات. وتشير النشرة إلى أن التهديد نشط ومستمر، وأن وحدة القطاع المالي التابعة للوكالة، CSIRT-Fin، تواصل تلقي تقارير عن هجمات ناجحة، بعضها من شركات سبق أن تلقت تحذيرات مقيدة مبكرة وأنجزت معالجة الثغرات. وتصف الوثيقة جهةً معادية «تستكشف أهدافها بذكاء آلي» وتنفيذ الضربات عبر تفعيل تحويلات من خلال واجهات برمجة التطبيقات الخاصة بالمدفوعات والصرف لدى الضحية نفسها. تبدأ سلسلة الهجوم باستغلال تطبيقات هشة وبيئات اختبار مكشوفة، ثم تتسلل بيانات الاعتماد المشتركة ورموز الوصول إلى أنظمة الإنتاج، بينما تُستخدم البنية السحابية لنشر ملفات خبيثة. وبعد اختراق الأنظمة، تُجري الجماعة هندسة عكسية لشيفرات التطبيقات لبناء استغلالات مخصصة، وتسرق مفاتيح المحافظ التي تؤمّن أموال المنصات، قبل نقل الأرصدة خارج المحافظ الرقمية. فهذه المفاتيح تمثل بيانات الاعتماد الجذرية في الترتيبات المخصصة للأموال، بما فيها بنى المحفظة الهرمية التي تُشتق عناوين متعددة من عبارة بذرة واحدة. لم تُسمِّ النشرة أي منصة تداول متأثرة، ولم تضع رقمًا للخسائر. غير أن تأكيدًا خارجيًا موجود: فقد أفادت شركة الأمن السيبراني CrowdStrike في أكتوبر بأن مهاجمًا مجهولًا استخدم أداة ARTEX، وهي أداة اختبار اختراق بالذكاء الاصطناعي ترد اسمها أيضًا في النشرة، إلى جانب Claude Code ونماذج أخرى، ضد شركات مالية في كوريا الجنوبية.

مدفوعات اختبارية بروبية وأدوات ذكاء اصطناعي

تقوم خطة CRAFTY FALCON على ثلاثة أعمدة: مدفوعات تحقق صغيرة، وأدوات ذكاء اصطناعي متاحة للعامة، وتوقيت مدروس للعطلات. فقبل تنفيذ تحويلات غير مصرح بها بقيم أكبر، يرسل المهاجمون مدفوعات تجريبية للتأكد من أن مسار التحويل عبر واجهات البرمجة الخاصة بالضحية يعمل، وقد بلغت قيمة بعضها روبية واحدة فقط. ووجدت الوكالة أدوات ذكاء اصطناعي معلنة داخل الهجمات، أبرزها PentAGI وCyberStrikeAI، وقالت إن هذه الأدوات تُشغّل سلاسل هجوم كاملة من تلقاء نفسها وتكيّف الأحمال الخبيثة وفق استجابة الأهداف. أما التوقيت فمتعمّد: جُدولت الغارات في عطلات نهاية الأسبوع والأيام الرسمية حين يقل عدد موظفي المراقبة، وعادت الجماعة إلى الشركات المالية غير المصرفية وشركات التكنولوجيا المالية التي سبق أنها استجابت لتحذيرات مقيدة أقدم. لا تذكر النشرة عيد ديوالي، غير أن العيد يوافق الأحد 8 نوفمبر، وهو ما يخلق فجوة تغطية تجمع بين العطلة الرسمية وعطلة نهاية الأسبوع. وتطالب CERT-In الشركات بإضافة موظفين وخفض عتبات التنبيه خلال مثل هذه الفترات. وتوصيات الحماية محددة: يجب أن تُحفظ مفاتيح المحافظ في وحدات أمان عتادية أو تخزين بارد، وأن تتطلب عمليات سحب العملات الرقمية موافقة متعددة التواقيع، وأن تُطبق فترات انتظار على المستفيدين المضافين حديثًا في جميع أنظمة الدفع. تضيف هذه الضوابط مراجعة بشرية قبل تحرك الأموال، وهو ما قد يبطئ بعض عمليات السحب والمدفوعات المشروعة. ويوضح سجل الخسائر ما تعنيه التصفية الناجحة عمليًا: في يوليو 2024، سرق قراصنة أكثر من 230 مليون دولار من منصة WazirX الهندية، ثم أعادت المنصة إطلاق عملها في أكتوبر 2025 بموجب إعادة هيكلة وافقت عليها محكمة في سنغافورة، وتلقى المستخدمون المؤهلون نحو 85% من مطالباتهم المعتمدة. وعلى النقيض، أعلنت Binance في 29 أكتوبر أنها غطت نحو 95% من خسارتها البالغة 6.3 مليار دولار من احتياطياتها الخاصة. وشُوهدت مؤشرات الاختراق الكاملة مع الشركات المالية وحدها في نسخة مقيدة من التحذير، لذا يظل نطاق الاختراقات الناجحة مفتوحًا في النشرة العامة. والإفصاحات من المقرضين أو المنصات المتأثرة هي التي ستحسم هذا السؤال.

إن التصريح الصريح بأسماء منصات تداول العملات الرقمية يحوّل ما بدأ تحذيرًا للقطاع المالي إلى اختبار حفظ أمني أمام المنصات الهندية، ومنها منصات التداول الفوري التي تحتفظ بمفاتيح العملاء على مدار الساعة. وتشير قائمة الضوابط في النشرة، من وحدات أمان عتادية وسحب متعدد التواقيع وفترات انتظار للمستفيدين الجدد، إلى تدفقات صرف أبطأ لكن أفضل تدقيقًا بمجرد امتثال الشركات. أما من سيتحمل عبء أي تصفية فيتحدد حسب الميزانية العمومية: فقد أرسلت إعادة هيكلة WazirX ودعم احتياطيات Binance قالبين مختلفين تمامًا للتعافي أمام القطاع. وتسكت النشرة عن مسارات غسل الأموال ولا تشير إلى ما إذا كانت العائدات قد مرت عبر خلاط عملات رقمية، ما يجعل إفصاحات الشركات المتأثرة هو الكاشف الحقيقي للكلفة الفعلية للحملة.