GoPlus Security تكشف سرقة 561,000 دولار من محافظ iOS مستخدمي Trust Wallet

مستخدمو Trust Wallet في مقدمة المتضررين

خسر مستخدمو هواتف iOS الذين يحتفظون بأموالهم في محفظة العملات المشفرة ذاتية الإدارة نحو 561,000 دولار خلال أسبوعين من اقتحام الأجهزة، وربط فريق GoPlus Security هذه الموجة بهواتف آيفون لم تتلقَ تحديثات أمنية. نُشرت الحصيلة يوم الخميس 5 نوفمبر، واستندت إلى ملفات الحالات التي جمعتها تحالف SEAL، وهو ائتلاف تطوعي من محققي السلسلة، إذ غطت إحصاءاته الأسبوعية الأخيرة الفترة من الأربعاء 28 أكتوبر حتى الثلاثاء 3 نوفمبر. أضاف ذلك الأسبوع وحده ستة بلاغات جديدة باختراق محافظ على iOS بقيمة تقارب 127,000 دولار. احتفظ معظم المتضررين بأصولهم في Trust Wallet، وسجّل العد الأسبوعي نفسه حالة واحدة أيضا لمحفظة Uniswap Wallet. يضع تقرير SEAL غالبية الضحايا في روسيا وأوكرانيا وكازاخستان.

ربط تنبيه GoPlus الموجة بحملات إجرامية تستهدف إصدارات iOS القديمة: يستغل المهاجمون ثغرات لم تعد تلك النسخ تتلقى ترقيعًا لها، فيجمعون بيانات الجهاز وصلاحياته، ثم ينقلون الأموال عبر السلسلة. لا يتطلب هذا النمط من الضحية التوقيع على معاملة أو إفشاء عبارة الاستعادة. فالمحفظة الساخنة تحتفظ بالمفاتيح الخاصة على الهاتف نفسه، وهو ما يعني أن المهاجم الذي يحصل على صلاحيات رفيعة يمكنه تصريفها بصمت في الخلفية. لهذا تراكمت الخسائر حتى لدى مستخدمين لم يزوروا موقعًا مشبوهًا إطلاقًا، ولذلك دعت GoPlus كل من يحتفظ بأصول على آيفون إلى تحديث النظام فورًا وتدقيق التطبيقات المثبتة. وأُوصي من ثبّتوا برمجيات مجهولة بمعاملة الجهاز باعتباره مخترقًا ونقل الأصول المتبقية، وهي نصيحة تكررت في العدّين الأسبوعيين. وقد ظهرت البلاغات في تقريرين أسبوعيين متتاليين لـSEAL، وجمعت GoPlus صورة الأسبوعين من ملفات الحالات تلك لا من حادثة واحدة.

تحذير GoPlus Security من سرقة المحافظ على مدى أسبوعين عبر X

أدوات الاختراق DarkSword وCoruna

خلف هذه الإجماليات تقف حزمة أدوات محددة. استشهد التقرير الأسبوعي لـSEAL بملاحظات فحص من Censys سُجلت في أكتوبر، وأظهرت أن حزم استغلال معروفة باسم DarkSword وCoruna كانت موجهة أصلًا إلى تطبيقات المحافظ. ويمكن للسلسلتين اختراق إصدارات iOS القديمة عبر Safari أو عبر تطبيقات خبيثة، وكلتاهما تستهدف المفاتيح وعبارات الاستعادة التي تحتفظ بها المحافظ الشائعة على الجهاز. شددت GoPlus على أن الحملات تعتمد على أنظمة غير مرقّعة، فالهاتف الذي يبقى داخل نطاق الإصدارات القابلة للاستغلال يمكن تفريغه حتى لو لم يُصدّر مالكه عبارة الاستعادة أو وافق على عملية تحويل. وكان الاتجاه واضحًا قبل أسبوع: أشار تقرير SEAL السابق إلى ارتفاع حاد في بلاغات Trust Wallet على iOS واشتبه في ترويج DarkSword عبر إعلانات خبيثة، وهو ما يطابق ما يظهره أحدث عدّ. وهذا التقاطع مهم لأنه يؤرّخ الحملة: فقد بدأ تصاعد بلاغات Trust Wallet قبل الحالات الست المسجلة بين 28 أكتوبر و3 نوفمبر، وآخر عدّ هو التقرير الأسبوعي المتتالي الثاني الذي يحمل النمط ذاته.

جاءت التوصيات المصاحبة للأرقام محددة. طلبت GoPlus من المستخدمين الانتقال إلى أحدث نسخة من iOS لتقليص المدة التي يقضيها الجهاز داخل نطاق الاستغلال المعروف، ومراجعة التطبيقات المثبتة بحثًا عن أي شيء مجهول أو حديث الإضافة، ولا سيما أدوات تُروَّج على منصات التواصل وتطلب بقاء الهاتف نشطًا لفترات طويلة قبل صرف مكافأة. أما التعليمات بإعادة بناء المحفظة على جهاز نظيف ونقل الأصول المتبقية، فتعامل أي مفتاح لامس هاتفًا مخترقًا كأنه محروق نهائيًا. ومن يريد أن يحكم بنفسه على مثل هذه الإفصاحات يمكنه البدء بدليلنا إلى تدقيقات أمن البلوكتشين. وتأتي هذه الموجة بعد سلسلة إنذارات أمنية أخرى حول المحفظة هذا العام، بينها ثغرات PHP حرجة قال الفريق إنها لم تتطلب أي إجراء من المستخدم، وتحذيرات من موقع Trust Wallet مزيف انتشر في وقت سابق.

النمط الذي وصفه SEAL وGoPlus هو اختراق للجهاز لا عيب في كود إحدى المحفظتين. وترد أسما Trust Wallet وUniswap Wallet في التقارير لأنهما مثبتتان على نطاق واسع على هواتف آيفون، بينما تسري آلية الاقتحام عبر نظام التشغيل نفسه. وعلى حاملي الأصول عمليًا تقليص المدة التي يقضيها جهازهم على نسخة iOS قديمة، ومعاملة التطبيقات غير المألوفة كعدوة، وحفظ المدخرات طويلة الأجل في محفظة أجهزة لا تخزن المفاتيح أبدًا على هاتف متصل بالإنترنت. وقد غطى آخر عدّ لـSEAL الفترة حتى 3 نوفمبر، وجاء تحذير GoPlus بعد يومين فقط، أي أن الفجوة بين نافذة السرقة الأخيرة المسجلة والتنبيه العلني قصيرة بما يكفي ليظل الحملة مستمرة حتى الآن.