إزالة تطبيق احتيالي لسرقة عبارات استرداد Ethereum (ETH) بعد عملية تفريغ تجريبية واحدة

أخبار العملات الرقمية

أبرز حدث أمني خلال الساعات الأربع والعشرين الماضية يتمحور حول تطبيق تحليلات مزيف استهدف المحافظ ذاتية الحفظ، بما في ذلك محافظ تحتفظ بعملة Ethereum (ETH). في 15 أغسطس 2026، كشف 0xngmi، المؤسس المجهول لمنصة DeFiLlama، علنًا عن كيفية تثبيته عمدًا تطبيقًا مزيفًا يحمل اسم DeFiLlama من متجر Apple App Store، وذلك بعد أشهر من شكاوى انتحال الهوية التي لم تُحل. قام بتمويل محفظة صغيرة بمبلغ ضئيل، وسمح للتطبيق بتفريغها بالكامل، ثم قدّم هذا العرض الحي إلى Apple كدليل قاطع على أن التطبيق المدرج خبيث. وبحسب رواية المؤسس، أزالت الشركة التطبيق في غضون أيام قليلة. الآلية الكامنة كانت بسيطة لكنها بالغة الخطورة: المنتج المزيف قدّم نفسه على أنه نسخة أساسية من DeFiLlama، وطلب من المستخدمين إدخال عبارة الاسترداد السرية الخاصة بهم. هذه العبارة هي المفتاح الرئيسي لأي محفظة ذاتية الحفظ، وتُمكّن من تفويض تحويلات Ether وأي رموز أخرى دون الحاجة إلى موافقة إضافية. وأوضح المؤسس أن الجهات نفسها كانت قد قدّمت مرارًا تطبيقات مشابهة لعلامات تجارية مشهورة في مجال العملات الرقمية، واجتازت التحقق من متجر App Store باستخدام هويات شركات خاملة. في حالة DeFiLlama تحديدًا، أشار الإفصاح إلى أن الجهات الفاعلة الخبيثة أكملت إجراءات التحقق من الهوية (اعرف عميلك) من خلال شركة صغيرة لتلميع الأحذية تأسست قبل نحو 40 عامًا ولم تعد تعمل. وأضاف الفريق أنه أخّر إطلاق تطبيقه الشرعي عدة أشهر حتى لا يقوم المستخدمون بتنزيل نسخة احتيالية عن طريق الخطأ خلال فترة التنظيف. وقال إنه نشر تسلسل الأحداث حتى لا تُهدر فرق العملات الرقمية الأخرى أشهرًا في التنقل عبر قنوات الإبلاغ نفسها. تحتفظ DeFiLlama أيضًا بخدمة LlamaSearch، وهي دليل للنطاقات الموثوقة في مجال العملات الرقمية، لأن نتائج البحث وقوائم متاجر التطبيقات تتعرض للتلاعب بشكل متكرر. هذا تحذير لكل مستخدم العملات البديلة: التوزيع عبر متجر تطبيقات رئيسي لا يضمن الأصالة، وأي واجهة تطلب عبارة الاسترداد يجب التعامل معها على أنها معادية. حتى المنتج المرتبط بسير عمل محفظة العملات الرقمية المدعومة بالذكاء الاصطناعي يمكن تقليده، لذلك يجب أن يتم التحقق قبل تعريض أي أموال للخطر.

الطبقة الثانية من هذه القصة تكشف أن انتحال الهوية لا يقتصر على متاجر التطبيقات. الجدول الزمني للحادثة نفسها يصف هجمات عبر الإعلانات المدفوعة ومواقع مستنسخة استهدفت مباشرةً مستخدمي منصات التداول اللامركزي. في 14 أغسطس 2026، خسر أحد مستخدمي Hyperliquid نحو 550,000 دولار بعملة USDC بعد أن وجّهه إعلان Google مدفوع إلى نسخة مزيفة من المنصة. وفي مايو 2026، استنزفت حملة إعلانات Google مزيفة منفصلة أكثر من 400,000 دولار من مستخدمي Uniswap، حيث أظهرت آثار السلسلة (on-chain) إرسال نحو 146 ETH إلى عنوانين يسيطر عليهما المهاجمون. هذه التدفقات توضح سبب بقاء Ethereum (ETH) في صميم هذا النقاش الأمني: عندما تتعرض عبارة الاسترداد أو تفاعل الموقع للاختراق، تكون التحويلات الناتجة مرئية على السلسلة وغالبًا ما تكون سريعة. وأشار إفصاح مؤسس DeFiLlama إلى أن الجهات التي تقف وراء التطبيقات المزيفة قلّدت أيضًا علامات تجارية بارزة أخرى في مجال العملات الرقمية واجتازت فحوصات الهوية باستخدام شركات منتهية الصلاحية، مما يوحي بجهود منظمة وليس مجرد إساءة استخدام فردية لقائمة واحدة. بالنسبة للمستخدمين، الدرس العملي هو أن المتجر الرسمي أو نتيجة البحث الممولة ليسا شهادة أمان. قبل ربط المحفظة، يجب التحقق من النطاق مقابل دليل موثوق، واستخدام الإشارات المرجعية للوجهات المتكررة، ورفض أي طلب لعبارة الاسترداد بشكل قاطع. الفرق التي تبني واجهات روبوت التداول بالذكاء الاصطناعي أو لوحات تحليلية تحتاج إلى معاملة حماية العلامة التجارية كجزء من سلامة المستخدم، وليس مجرد إجراء قانوني روتيني. التحذير يسري بغض النظر عما إذا كان الرمز يتداول قرب أعلى سعر تاريخي أو أدنى بكثير منه. تأخير إطلاق تطبيق DeFiLlama الأصلي يبرز التكلفة: حتى مزود تحليلات معروف اضطر لتأجيل تطبيقه لأشهر بينما كانت القوائم المزيفة تُلاحق. هذا النمط مهم أيضًا لنزاهة السوق، لأن الضحية التي تفقد أموالها عبر واجهة مزيفة قد تحمل أي عملة بديلة، لكن الرموز المبنية على Ethereum وتدفقات البورصات اللامركزية تبقى من بين الأهداف الأكثر وضوحًا.

تحليل COINOTAG يربط كلا الحادثتين بقوس واحد: مستخدمو العملات الرقمية يُهاجمون عبر قنوات توزيع موثوقة وليس عبر ثغرات في البروتوكولات نفسها. الدليل الأساسي مباشر: إفصاح مؤسس DeFiLlama في 15 أغسطس يوثّق تطبيقًا لجمع عبارات الاسترداد، ومحفظة اختبار مموّلة عمدًا، وإزالة Apple بعد إثبات السرقة. سجلات السلسلة المشار إليها في الجدول الزمني الأوسع للتصيد تُظهر نحو 146 ETH تتحرك إلى عنوانين في حالة Uniswap في مايو. لم يُنشر أي عنوان تجزئة للمهاجم أو تقرير ما بعد الحادثة الرسمي لعملية التفريغ التجريبية الخاصة بـDeFiLlama في الإفصاح المتاح، والمبلغ كان صغيرًا عمدًا. السبب الجذري هو الاستيلاء على بيانات الاعتماد، وليس استغلالًا لعقد ذكي. المعالجة تتمثل في إزالة القائمة المزيفة، وتأخير الإطلاق الرسمي، ورفض المستخدم إدخال عبارات الاسترداد من جانبه.