محتالون يقذفون محفظة جينيسيس في Ethereum (ETH) بغبار من ثلاثة عناوين مزيّفة

محفظة جينيسيس تنقل 2,154.94 عملة بعد 11.3 سنة من السكون

نجح مالك محفظة من محفظة عملات رقمية راكدة ترجع إلى كتلة الجينيسيس لشبكة Ethereum (ETH) عام 2015 في نقل رصيده كاملًا إلى العنوان الصحيح، ذلك أن محتالين أطلقوا إليه مدفوعات غبار بعد ثلاث دقائق فقط من أول عملية صرف له منذ 11 سنة. تُظهر بيانات السلسلة أن العنوان استلم أول إيثر له في كتلة الجينيسيس للبلوكتشين في يوليو 2015، ثم أضاف 755 عملة إضافية في مارس 2016، وبقي صامتًا حتى مساء يوم الاثنين الأخير. عند الساعة 22:04 بتوقيت غرينتش في 9 نوفمبر أرسل دفعة تجريبية قيمتها 0.05 عملة، أي نحو 106 دولار بسعر السوق آنذاك، إلى عنوان مستلم جديد يبدأ بـ0x1321beb8 وينتهي بـ1A44. كانت هذه أول عملية صرف مسجلة للمحفظة على الإطلاق، وحجمها المتواضع يشير إلى أنها مجرد اختبار للتأكد من العنوان ولسنا دفعة فعلية. خلال ثلاث دقائق، بدأ عنوانان مزيّفان يبدوان كثيرًا بالعنوان الأصلي في إرسال مبالغ صغيرة من الإيثر إلى المحفظة القديمة: أحدهما يبدأ بـ0x13211f والآخر بـ0x1321FB، وكلاهما ينتهي أيضًا بـ1A44. وقد لفتت المحفظة الراكدة الانتباه قبل ذلك في المساء نفسه، حين أطلقت منصة مراقبة على السلسلة تنبيهًا يصنفها كعنوان من فترة ما قبل التعدين عاد للنشاط بعد 11.3 سنة، كما نُشر مساء 9 نوفمبر. تصنف منصة Etherscan الحسابات التي مولت العنوانين المزيّفين بالوسم "Fake_Phishing"، وأطلق الحساب الأكثر نشاطًا منها 43 دفعة غبار منفصلة نحو عنوان الجينيسيس. عند الساعة 22:20 بتوقيت غرينتش أرسلت المحفظة الجديدة 0.01 عملة، عاد معظمها بعد ثلاث دقائق تقريبًا. ثم بعد 38 دقيقة من الاختبار الأول، وتحديدًا عند 22:42 بتوقيت غرينتش، حوّلت المحفظة القديمة كامل الرصيد البالغ 2,154.94 عملة، بقيمة تقارب 4.6 مليون دولار بحسب سعر Ethereum في تلك اللحظة، إلى المستلم الحقيقي، وفق سجل العملية على السلسلة. تجاهل المالك مداخلة العناوين المزيّفة طوال الوقت، وترك في محفظة الجينيسيس نحو 0.0004 عملة فقط، بينما انتقل كامل الرصيد، أي ما يقارب 2,155 عملة، إلى العنوان الصحيح. غير أن العنوان المزيّف 0x1321FB أعاد الإرسال عند الساعة 23:03 بتوقيت غرينتش، مواصلًا الضغط على عنوان أفرغ أصلاً من محتواه.

كيف يستغل تلويث العناوين اختصار العناوين الطويلة

النمط الكامن خلف هذه المدفوعات هو تلويث العناوين، أسلوب يحوّل طريقة المحافظ في اختصار السلاسل الطويلة إلى سطح هجوم فعلي. فبدلاً من عرض الأحرف الـ42 كاملة في عنوان محفظة، تعرض أغلب الواجهات صيغة مختصرة مثل 0x6D90...2E48، لأن السلسلة الكاملة لا تُقرأ بنظرة واحدة. يولّد المهاجمون ملايين العناوين حتى يصطدوا بواحد يطابق الأحرف الأولى والأخيرة من عنوان الجهة المستلمة الحقيقية لدى الضحية، ثم يرسلون غبارًا أو عملية قيمتها صفر لإدخال العنوان المزيّف في سجل المعاملات الأخيرة لدى الضحية. وبمجرد أن يلتصق السمّ، يصبح العنوان المزيّف على بُعد أمر نسخ واحد من حافظة المستخدم، إضافة إلى أن عمليات التحويل صفرية القيمة تكلف المهاجم شبه لا شيء، وهنا يكمن سر قابلية الأسلوب للتوسع. فإذا نسخ المستخدم ذلك العنوان في عملية الدفع التالية، تتجه الأموال إلى المهاجم مباشرة، وعمليات التحويل على Ethereum (ETH) لا يمكن التراجع عنها. تكشف الحالات الأخيرة حجم الخسارة عندما يخطئ المستخدم في خطوة النسخ: ففي ديسمبر 2025 خسر متداول نحو 50 مليون دولار من عملات USDT بعد أن سمّ سكربتٌ سجل معاملاته مباشرة إثر دفعة اختبارية قدرها 50 دولارًا. وفي يناير 2026 أرسلت ضحية 4,556 عملة، بقيمة نحو 12.25 مليون دولار، إلى عنوان تحت سيطرة مهاجم، وخسر مستخدم آخر 600,000 دولار في فبراير. وقد بلغ حجم هذه العمليات مستوى كافيًا لتشويه إحصاءات الشبكة: تضع أرقام المراقبة محاولات التلويث على شبكة Ethereum فوق مليون محاولة يوميًا، وقد حذّر بنك Citi في يناير من أن البريد المزيف يضخّم أعداد عمليات الشبكة المسجلة، مع أن معظم عمليات الإضافة الإضافية تقل قيمتها عن 1 دولار. وخيارات التخزين لا تحسم الملف أيضًا: فقد بقي رصيد الجينيسيس دون مساس لأكثر من عقد كامل، في صورة أقرب إلى ممتلكات المحفظة الباردة، ومع ذلك لم يظهر الخطر إلا لحظة التحويل، حين يلزم تأكيد العنوان المستلم حرفًا بحرف. ويغطي دليل COINOTAG حول طريقة استخدام Ethereum خطوة التحقق من المستلم قبل توقيع أي عملية.

رد الفعل خلال ثلاث دقائق هو التفصيلة الحاسمة هنا: فقد استهدفت مدفوعات الغبار دفعة الاختبار البالغة 0.05 عملة مباشرة، وهي الخطوة التي ينفذها كبار الملاك للتأكد من عنوان المستلم، ما يعني أن عمليات التلويث تراقب السلسلة لحظة بلحظة. اجتاز هذا المالك الاختبار بنجاح، لكن سجل السلسلة ما زال يترك الفجوة مفتوحة أمام غيره. فالعنوان المزيّف الثالث، المنتهي بـ1A44 كذلك، أطلق عمليات صفرية القيمة عند الساعة 03:36 و03:49 بتوقيت غرينتش يوم الثلاثاء، تجاه عنوانًا لا يحمل الآن سوى نحو 0.0004 عملة. والمحفظة المادية لا تعالج هذا الصنف من المخاطر، لأن العنوان الملغوم يلغي فائدة تخزين المفاتيح دون اتصال عند شاشة التأكيد؛ والضابط الوحيد الفعّال هو مراجعة العنوان الكامل قبل الإرسال. ويأتي هذا الحادث أسابيع بعد تحذير SlowMist لمستخدمي Ethereum (ETH) من هجوم على سلسلة التوريد في مشروع Swarm انتشر عبر GitHub.