ميسابوار يحذر من خطر التوقيع الاجتماعي على أمان محافظ Dogecoin (DOGE)

ميسابوار يهاجم التوقيع الاجتماعي

في خطوة استباقية للحدث نفسه، وجّه صوت بارز في مجتمع Dogecoin (DOGE) انتقادًا لاذعًا إلى ميزة التوقيع الاجتماعي، وجاء تحذيره بعد أن كان مزوّد البنية الأساسية الرئيسي لهذا النوع من تسجيل الدخول قد أوقف خدمته بالفعل. فميسابوار، وهو معلّق عريق داخل منظومة Dogecoin، نشر على منصة X يوم السبت منشورًا يهاجم الميزة التي تتيح للمستخدمين إنشاء محفظة عملات مشفرة والوصول إليها عبر حساب Google أو معرّف Apple أو حساب Telegram أو بريد إلكتروني، بدلًا من إدارة عبارة الاسترداد يدويًا. وجاء في منشوره على X هذا النص جزئيًا: «التوقيع الاجتماعي، الميزة التي قد ترغب في إضافتها إلى محفظتك إذا كنت تكره مستخدميك». وقال ميسابوار إن الفئة الأكثر ميلاً لاختيار هذا الخيار بضغطة واحدة هي الوافدون الجدد إلى سوق العملات الرقمية لأول مرة، وهم أناس قد لا يدركون ما يتنازلون عنه حين تُربط حساباتهم الشخصية بخدمة محفظة. والخطر، بعبارته، يتجاوز الأموال المحفوظة في المحفظة: فتسريب بيانات عبر القناة نفسها قد يربط هوية حقيقية في الحياة العملية بالأصول المسجلة على السلسلة، وهو ما قد تكون عواقبه وخيمة. ويشمل تحذيره أيضًا المحافظ التي تنسخ المفاتيح احتياطيًا إلى «السحابة»، والتي تعني، على حد قوله، خادمًا يخص شخصًا آخر ببساطة. فالملاءمة التي تبدو ميزة هي بالضبط ما يجعل الميزة خطيرة في نظره، لأنها تلغي خطوة عبارة الاسترداد التي تُجبر المستخدم على إدراك أنه وحده من يحتفظ بالمفتاح. وقد وصل هذا التحذير إلى سوق منهك أصلًا: إذ أغلقت عملة دوغكوين شهر أكتوبر على هبوط بلغ 20.1%، في خسارة ثانية على التوالي في أكتوبر الصاعد، بما يجعل المجتمع أكثر حساسية من المعتاد لأي أمر قد يُفرق الوافدين الجدد من الأفراد الذين تعتمد عليهم العملة التذكارية.

Keplr تصعّد الحادث إلى Web3Auth

أكدت محفظة Keplr، وهي محفظة متعددة السلاسل تدعم Cosmos وBitcoin وEthereum وStarknet، وقوع الحادثة المباشرة التي يقوم عليها التحذير. ففي بيان رسمي أصدرته، قالت الشركة إنها تلقت تقارير عن معاملات غير مصرح بها على بعض حسابات Keplr التي أُنشئت عبر تسجيل الدخول بحساب Google أو Apple، وأنها تصعّدت بالأمر إلى فريق Web3Auth، مع تحقيق مشترك بين الطرفين. أما Web3Auth، وهي المزوّد الذي تعمل تسجيلات الدخول تلك على بنية محفظته المدمجة، فقد تحرك قبل أن يصبح الإفصاح علنيًا: إذ أفادت بأنها على علم بمشكلة أمنية تؤثر على خدماتها لدى بعض الأطراف الثالثة، وأنها أوقفت خدمة المحفظة المدمجة مؤقتًا ردًا على ذلك. وبعد تحقيق أولي، أعلنت الشركة أنه لم يُعثر على أي دليل على تأثر مستخدمي MetaMask. وتفسّر الآلية التقنية سبب هذه الحماسة تجاه التصميم: ففي نظام التوقيع الاجتماعي، تُولَّد المفاتيح التي يُفترض أن توجد لدى المستخدم وحده داخل بنية أساسية يسيطر عليها مزوّد، مع تحكم في الوصول تعتمد على أمان حساب يومي عادي. وهذا الترتيب يعمل أقرب إلى محفظة ساخنة تديرها جهة ثالثة منه إلى نموذج الحفظ الذاتي الذي يظن معظم المشترين أنهم يختارونه، ويركّز الخطر كله في الخدمة الواحدة التي تنجح عملية اختراقها. وتدفع الأصوات الأمنية منذ زمن طويل نحو البديل، وهو محفظة عتادية لا تغادر عبارة الاسترداد فيها يد المستخدم أبدًا، تحديدًا لأنها تستبعد المزوّد من سلسلة الحفظ. ويظل السجل العلني حتى الآن نحيلًا: فلا يوجد تدقيق أمني للبلوكتشين بعد الحادثة قد صدر، ولم تحدد Keplr عدد الحسابات المتأثرة ولا حجم الأموال المنقولة، ولم يذكر Web3Auth موعدًا لعودة الخدمة المتوقفة إلى العمل.

العدد الذي لم ينشره أي من المزوّدين

أما بالنسبة لمتاحفي دوغكوين، فالقراءة العملية ضيقة لكنها قاطعة. فالتوقيع الاجتماعي يستبدل بالسيطرة على المفتاح مسارًا أسرع لفتح الحساب، والمزوّد الذي يقدّم ذلك لا يتحمل الخسارة حين يتعطل الأمر؛ وخطاب ميسابوار حول ربط الهوية يظل صحيحًا حتى لو نجت الأموال من الاختراق دون مساس. وسجلّه السابق يمنع من تصنيف التحذير بوصفه مجرد تخويف: فقد سبق له أن نصح مشتري دوغكوين بنقل أموالهم بسبب شبهة غرسة برمجية في محفظة Trezor. ويبقى مطلًا هو الجزء الذي لم ينشره أحد: عدد الحسابات المتأثرة، والقائمة الكاملة للمحافظ التي تعتمد على الخدمة المتوقفة، وتاريخ عودتها. وحين يفد أحد المزوّدين بهذه المعلومات، يتعين معاملة حساب تسجيل الدخول نفسه بوصفه المفتاح.