تهديد محافظ Ethereum يكشف 1,640 ضحية عبر اختراق كوري شمالي

أخبار العملات الرقمية

كشفت عملية اختراق إلكتروني مرتبطة بكوريا الشمالية عن تهديد مباشر لأصول Ethereum (ETH)، بعدما تبيّن أن الجهات المنفذة كانت تستهدف مفاتيح المحافظ وصلاحيات الوصول إلى البلوكشين وبيانات اعتماد المطورين التي تتيح التحكم في الأموال الرقمية. الباحث الأمني اليوناني فانجيليس ستايكاس، الرئيس التنفيذي للتكنولوجيا في شركة الأمن السيبراني Kumio، أعلن خلال مؤتمر Black Hat في لاس فيغاس أنه ظلّ متصلاً بخوادم القيادة والتحكم الكورية الشمالية طوال 22 شهراً، وتمكن من تحديد 1,640 مؤسسة ضحية موزعة على 57 دولة. هذه الحصيلة مستخلصة من سجلات المهاجمين أنفسهم وليس من تقديرات خارجية، ما يمنحها دقة استثنائية مقارنة بالحوادث المشابهة. ستايكاس جمع نحو 5 تيرابايت من المواد، شملت مفاتيح مطورين وشيفرات مصدرية خاصة ورسائل داخلية على منصتي Slack وDiscord. وقدّر أن ما بين 700 و800 مؤسسة تعرضت لاختراقات خطيرة، بمعنى أن المهاجمين حصلوا على وصول جذري للخوادم أو صلاحيات إدارية على AWS أو مفاتيح محافظ العملات الرقمية. هذا الوصول يعرّض أي أصل مرتبط بالمفاتيح المخترقة للخطر، من Bitcoin إلى أرصدة واسعة من العملات البديلة تحتفظ بها منصات تداول أو صناديق أو مطورون. الإفصاح يوضح أيضاً كيف يمكن لسرقة كبرى أن تنتج عن خطأ بشري واحد: فبمجرد سيطرة المهاجم على جهاز يتمتع بصلاحيات مميزة، قد تظل طبقة البلوكشين آمنة بينما تنهار طبقة الحفظ. بالنسبة إلى Ethereum، يتضاعف القلق لأن موافقات العقود الذكية ومفاتيح التوقيع وحسابات البنية التحتية قابلة للاستغلال دون أي تغيير في البروتوكول الأساسي. النتائج التي عُرضت هذا الأسبوع تصف عملية استخباراتية مستمرة وليست اختراقاً لمرة واحدة، وتشير إلى احتمال اكتشاف ضحايا إضافيين مع مراجعة البيانات المضبوطة. كما تضمنت مجموعة البيانات أدوات فرق الهجوم واتصالاتها، ما يمنح المدافعين رؤية نادرة لكيفية تطور الاختراقات من التسلل الأولي إلى السيطرة المستدامة. وحذّر ستايكاس من أن عدداً كبيراً من المؤسسات لم يستجب بعد إخطاره، ما يجعل المجتمع الأمني يعتمد على تبادل معلومات التهديدات بدلاً من المعالجة الفردية وحدها، ويحوّل هذا الإفصاح إلى مسألة استجابة نشطة، لا سيما للفرق التي تحتفظ بمفاتيح توقيع أو بيانات اعتماد سحابية.

الطبقة الثانية من هذا الكشف تتمحور حول الأسلوب: عروض عمل وهمية بدلاً من ثغرات برمجية. كان المهاجمون يتواصلون مع مطورين بعروض لوظائف رفيعة المستوى برواتب مغرية، ثم يطلبون منهم إتمام اختبارات برمجية منزلية تُثبّت برمجيات خبيثة سراً. باحثو Palo Alto Networks أطلقوا على هذا النمط اسم Contagious Interview في نوفمبر 2023، بينما وصفت Microsoft لاحقاً حزم برمجية خبيثة زُرعت على GitHub وGitLab وBitbucket. عندما يفتح المطور إحدى هذه الحزم داخل Visual Studio Code ويقبل مطالبة الثقة، ينفّذ المحرر شيفرة المهاجمين. الأبواب الخلفية الناتجة تبحث عن رموز API وبيانات تسجيل الدخول السحابية ومفاتيح التوقيع وملفات المحافظ وبيانات مديري كلمات المرور. هذا يجعل التهديد خطيراً بشكل خاص على Ethereum (ETH)، لأن حساب مطور مخترق أو بيئة توقيع مُسيطر عليها يمكنها التفويض على معاملات وموافقات دون أي استغلال مرئي للبروتوكول. الخطر يمتد إلى أي نموذج حفظ، سواء كان حساباً قياسياً على منصة تداول، أو محفظة عملات رقمية تعمل بالذكاء الاصطناعي، أو بنية تحتية متصلة بـالعملات المستقرة الخوارزمية. جهاز حاسوب محمول واحد لمقاول مصاب يمكن أن يكشف بيانات اعتماد لما يصل إلى 30 شركة، محوّلاً نقطة نهاية واحدة إلى بوابات اختراق متعددة. مستشفى بوسطن للأطفال ارتبط بجهاز شخصي لمقاول سابق، Though المستشفى أكد أن بيانات الاعتماد أُلغيت خلال ساعات وأن أنظمته لم تُظهر أي دخول. في قطاع العملات الرقمية، كانت Coinbase وUniswap Labs من بين المؤسسات التي استجابت بعد تلقيها تحذيرات. كما عثرت Consensys على مطور كوري شمالي متخفٍّ عمل لنحو شهر على شيفرة MetaMask. حجم الخسائر المالية يؤكد إلحاح الموقف: فرق مرتبطة بكوريا الشمالية استولت على 2.02 مليار دولار من الأصول الرقمية في 2025، بزيادة سنوية بلغت 51%. خسارة بروتوكول Drift البالغة 285 مليون دولار في أبريل ارتبطت بلقاءات جسدية شملت وسطاء كوريين شماليين، بينما ولّد حادثان فقط 76% من خسائر 2026 من 3% فقط من الحالات. الرقم التراكمي للسرقات المنسوبة إلى هذا البلد تجاوز 6 مليارات دولار منذ 2017. بيانات استخبارات التهديدات رصدت مجموعة GOLDEN CHOLLIMA وهي تستخدم أساليب التوظيف الوهمي للوصول إلى بيئات سحابية في شركات التكنولوجيا المالية، ما يثبت أن ضوابط التوظيف أصبحت حدوداً أمنية بحد ذاتها.

تحليل COINOTAG يربط بين الكشفين في موضوع واحد: أضعف طبقة هي الحفظ البشري، وليس البلوكشين نفسه. سجلات السرقات على السلسلة، بما فيها خسارة بروتوكول Drift البالغة 285 مليون دولار المرئية على دفتر الأستاذ، والتصريحات المتاحة بعد الحوادث، تشير جميعها إلى وصول عبر الهندسة الاجتماعية، بينما تُظهر إفصاحات الشركات معالجةً عبر إلغاء بيانات الاعتماد وفحص الموظفين ومشاركة استخبارات التهديدات عبر Crypto ISAC. بالنسبة لحاملي Ethereum (ETH) أو Bitcoin أو أي عملة بديلة مرتبطة، الدرس العملي هو الفصل الصارم بين بيئات التوقيع والتحقق من الشيفرات المرتبطة بالتوظيف. الأدلة الأساسية لا تشير إلى فشل في البروتوكول؛ بل تشير إلى أشخاص وأجهزة مخترقة. حتى عندما تكون الأسواق بعيدة عن أعلى سعر تاريخي، تبقى الأمن التشغيلي هو أداة التحكم الحاسمة في إدارة المخاطر.