Foundation تسحب جميع مفاتيح Cloudflare الخاصة بها بعد رسائل تصيّد من نطاقاتها الرسمية

رسائل استدعاء مزيفة تستهدف مالكي Passport

أوقفت Foundation صباح الاثنين عملية تصيّد موجّهة إلى عملائها، مؤكدة عبر منصة X أن رسائل البريد المزعج خرجت من نطاقاتها الرسمية نفسها، وأن الاختراق يعود إلى مفتاح أو أكثر من مفاتيح واجهة Cloudflare البرمجية المخترقة. يفتح إعلان الشركة على X بعبارة صريحة مفادها أن الرسائل المزعجة بدت وكأنها صادرة عن نطاقات Foundation الرسمية، ثم يسرد خطة الاستجابة: سُحبت جميع المفاتيح البرمجية فعليًا، وأُوقف النطاق الخبيث المذكور في الرسائل. وتضيف الشركة أن الأموال المحفوظة على محفظة Passport، وهي محفظة عتادية مخصصة للبيتكوين وحده، آمنة وأن العتاد نفسه لم يُخترق. تحتفظ Passport بالمفاتيح التي تسمح بتحريك العملات بعيدًا عن الاتصال، فالرسالة التي تدّعي أن الجهاز مخترق تضرب هذا الافتراض مباشرة. وصلت الرسائل إلى الملاك صباح الأحد 25 أكتوبر تحت شعار استدعاء عاجل، زعمت أن أحد الموردين عدّل وحدة عرض داخل الجهاز وأن المهاجمين يفرّغون أموال الأجهزة المتأثرة، وضغطت على المستلمين كي لا ينتظروا بديلًا. كانت رابط الرسالة يقود إلى foundation.support، موقع مزيف يقلّد تطبيق Envoy المرافق لمحافظ Foundation، وقد عرض صفحة محفظة فارغة مع زر إيداع، تصميم وُضع ليدفع الزائر إلى إرسال البيتكوين (BTC) إلى عنوان يتحكم فيه المهاجمون، وغالبًا عملات اشتها ملاكها ليكتنسوها بعيدًا عن المتناول لسنوات. غطّت القصة المفبركة جيدًا: فقد تداولت تقارير عن محافظ عتادية عبث بها طوال عام 2026، فبدا تنبيه سلسلة التوريد الصادر عن المصنّع نفسه أمرًا واردًا. تبني Foundation منتج Passport كجهاز لعملة واحدة بدقة، وفق تقليد التطرف للبيتكوين، فيقبع عملاؤها في جناح الحفظ الذاتي داخل منظومة البيتكوين الأوسع، وهو بالضبط الجمهور الذي صُمم الاستدعاء المزيف ليخيفه. فإنسان يمسك مدخراته بنفسه يقرأ إشعار الاستدعاء تهديدًا مباشرًا لمدخراته، لا ضجيجًا يمكن تجاهله. وظهر الإشعار صباح اليوم التالي لوصول الرسائل إلى المشترين.

سؤال بيانات العملاء الذي ما يزال بلا جواب

تفسّر المفاتيح المسحوبة كيف خرجت الرسائل، لكنها لا تشرح كيف عرف المرسل من يملك Passport. ردّ عدة مستلمين على الإعلان بأن المفاتيح المسروقة لا تكفي لتفسير التفاصيل الشخصية داخل النصوص: الأسماء وأرقام الهواتف وعناوين المنازل البريدية. ذكر مستخدم أن الرسالة وصلت من jobs@foundation.xyz، عنوان على نطاق Foundation الحقيقي، وفيها اسمه الكامل مع العنوان البريدي المرتبط بمحفظة اشتراها قبل عامين. وقال مستخدم آخر إن نسختين من الرسالة تداولتا: فالعملاء تلقوا نصوصًا تحمل تفاصيل الطلب كاملة، بينما رأى المتقدمون السابقون للوظائف أسماءهم وحدها. يزيد تاريخ Foundation نفسها من حدّة السؤال. ففي عام 2022 ذكرت الشركة في سلسلة على X أنها تستضيف محادثات الدعم وأداة التسويق عبر البريد بنفسها لتحديد مخاطر الأطراف الثالثة، وأضافت في السلسلة ذاتها أن بيانات العملاء تُحذف بعد 60 يومًا من شحن الطلب. يستقر هذان الادعاءان اليوم في قلب مشكلة مفتوحة، لأن رسائل الأحد حملت بيانات شحن مرتبطة بطلبات شُحنت قبل سنوات. لم تذكر Foundation حتى الآن ما إذا كان قاعدة بيانات عملائها قد اخترقت. وتقول الشركة إنها ستنشر تقريرًا كاملًا بأسرع ما يمكن. وتتجاوز مسألة الكشف حملة واحدة: فبعد اختراقات سابقة لبيانات العملاء، تلقى مشترو محافظ Ledger لاحقًا رسائل مزيفة بالبريد الورقي إلى منازلهم، ما نقل التهديد من صندوق الوارد إلى الباب الأمامي. وتتوقع CertiK أن هجمات الإكراه البدني على مالكي العملات قد تسجل مستوى قياسيًا في 2026، وقائمة بعناوين المنازل المرتبطة بملاك محافظ عتادية هي ورقة الهدف التي تتطلبها جرائم كهذه، سواء كان المالك من الحيتان في سوق العملات الرقمية أو مشتريًا عاديًا.

ما يظل مفتوحًا بعد الإشعار

قراءتنا للسجل الأولي، وهو تصريحات Foundation نفسها على X، أن الشركة أجابت عن سؤال إرسال الرسائل وتركت سؤال البيانات مفتوحًا. يشرح الإشعار كيف وصلت النصوص ويؤكد أن الموقع المزيف أُوقف. لكنه لا يذكر كيف طابق المهاجمون الأسماء وأرقام الهواتف والعناوين مع مالكي جهاز بعينه، ولا ما إذا كانت السجلات التي تقول الشركة إنها تحذفها بعد 60 يومًا من الشحن قد تجاوزت تلك النافذة فعلًا. لا شيء في السجل يشير إلى هجوم إعادة تشغيل أو إلى اختراق عتاد التوقيع في Passport؛ فالمخاطر المبلغ عنها تقع في بيانات الهوية، لا في الجهاز ذاته. ما انتهى يوم الاثنين هو موقع الاستدعاء المزيف. وما ظهر معه دليل على أن تفاصيل الشحن المرتبطة بطلبات قديمة لا تزال تتنقل بين الأيدي، والتقرير الكامل الذي وعدت به Foundation هو المرجعية القادمة التي ننتظرها.