دراسة جامعة لوفان الكاثوليكية: 36 محفظة بيتكوين (BTC) تسرّب بيانات المستخدمين قبل أي معاملة

دراسة لوفان ترصد تسرب 36 محفظة

قد تكشف عملية دفع بالبيتكوين (BTC) عن معلومات تفوق بكثير المبلغ الظاهر على الفاتورة، وتبدأ هذه التعرض للمعلومات قبل أن تُوقّع أي معاملة على الإطلاق. فالشركة التي تسوّد التزاماتها تجاه أحد الموردين من عنوان محفظة معاد استخدامه تترك للطرف المقابل مبلغ العملية وتوقيتها مكشوفين أمام أي شخص يستخدم مستكشف سلسلة الكتل، وبيانات بحثية جديدة تظهر أن التسرب يبدأ قبل ذلك حتى. ففي يوليو 2026، فحص باحثون من مجموعة DistriNet في جامعة لوفان الكاثوليكية (KU Leuven) 85 من أكثر محافظ امتدادات المتصفح انتشارًا — إذ تجاوزت تنزيلاتها مجتمعةً نحو 35 مليون تنزيل على متجر كروم الإلكتروني — وخلصوا إلى أن المحافظ نفسها تبث ما يكفي من البيانات لتكوين بصمة مميزة لمستخدميها وتتبعهم. ولا توجد هنا ثغرة استغلالية من أي نوع: فحين يتواصل امتداد مع خادم خارجي لعرض الرصيد، يحمل هذا الطلب عنوان المحفظة بشكل صريح، وهو ما يحدث تمامًا كما صُمِّم البرنامج ليعمل. وفي كامل العينة، يبلغ نطاق ثغرة التبصمة وحدها 36 محفظة، تمثل مجتمعةً نحو 82% من التنزيلات المدروسة. وداخل هذه المجموعة الفرعية، هناك 17 محفظة تغطي نحو 23 مليون تنزيل يمكنها أيضًا كشف الروابط بين العناوين المنفصلة التابعة للمستخدم ذاته، فيما استمرت 22 من أصل 36 محفظة في تسريب عنوان حتى بعد أن سحب المستخدم صلاحيات الوصول وأعاد تشغيل المتصفح، ويمكن لـ23 محفظة تمرير عنوان إلى موقع إلكتروني عبر محتوى من أطراف ثالثة دون نقرة واحدة. ولم تتعامل معظم الشركات المطورة مع النتائج بوصفها خللًا خطيرًا: فكلٌّ من Coinbase Wallet وCoin98 وHana أجرت تعديلات، بينما لم تفعل ذلك MetaMask وRabby وOKX، ومن بين 30 تطبيقًا لامركزيًا خضعت للاختبار، لم يسحب سوى 11 تطبيقًا صلاحيات الوصول إلى المحفظة بشكل سليم عند تسجيل الخروج. وبالنسبة لخزائن الشركات التي تدرس احتياطي بيتكوين استراتيجي أو الدفعات الدورية للموردين، فإن بيانات ما قبل المعاملة هذه تمثل خطر إفصاح دائم. ويمكن الرجوع إلى خلفية الأصل في دليلنا ما هي البيتكوين (BTC)، كما يتابع قسم البيتكوين لدينا التغطيات المرتبطة به.

التجميع العنقودي ومتطلبات KYC وسجل Helix

بمجرد ظهور العنوان على السطح، توفر السلسلة العامة بقية ملف التعريف. تبحث شركات تحليل البلوكتشين عن أنماط معينة — محافظ تتاجر ببعضها البعض بشكل متكرر أو تتصرف على نحو متشابه — ثم تجمعها في عنقود واحد يخضع لصاحب واحد، بحيث يكشف عنوان واحد مؤكد عن عناوين كثيرة أخرى. ويمتد النطاق إلى مستوى صناعي: فبحلول منتصف 2026، أفادت Chainalysis بأنها جمعت أكثر من 1 مليار عنوان بلوكتشين ضمن ما يزيد على 134,000 كيان محدد الهوية. ولا يقطع نقل الأموال عبر الجسور أو المبادلة على منصة تبادل لامركزية خيط التتبع، لأن كل عملية مبادلة تُسجل علنًا على السلسلة كما هي. وقد أثبت المحققون النهاية المحتومة مرات متكررة: فبعد هجوم برمجية الفدية على خط أنابيب Colonial عام 2021، تتبعت السلطات الأمريكية البيتكوين عبر عدة محافظ واستردت نحو 2.3 مليون دولار من فدية بلغت 4.4 مليون دولار. ولم تسلم الخلاطات من المصير ذاته. فقد أدار Larry Dean Harmon خدمة Helix، خلاطة شائعة في أسواق الويب المظلم، من 2014 إلى 2017، وتدفقت عبرها نحو 354,468 وحدة BTC — بما يعادل نحو 311 مليون دولار آنذاك. وكان يتقاضى عمولة 2.5% عن كل عملية مبادلة، وهذه العمولة سُجلت على السلسلة كأي عملة أخرى، محدقةً بشكل دائم بهوية مشغل خدمة بُنيت أساسًا لمحو الآثار. والخطوة الأخيرة هي الهوية: فحين تلامس الأموال المتتبعة منصة تبادل خاضعة للتنظيم، تربط سجلات التحقق من الهوية (KYC) المحفظة باسمٍ حقيقي، ويمتد التجميع العنقودي السابق هذا الاسم إلى مجموعة العناوين بأكملها. كما تنشر الشركات عناوينها على صفحات التبرعات وحسابات التواصل، مكشيةً بسنوات من السجل المختوم زمنيًا. غير أن التحليل ليس معصومًا من الخطأ — فالأنماط تنتج إنذارات كاذبة، وواحد من المشترين عبر النظراء P2P جُمد حسابه بسبب عملات مرت بخلاطة قبل أن يمتلكها، وفي أوائل 2025 خفّضت Chainalysis تقديرها لأموال الكريبتو المسروقة من كوريا الشمالية من 1 مليار دولار إلى 660.5 مليون دولار. كما طعنت فرق الدفاع في قضيتي Bitcoin Fog وTornado Cash في استنتاجات أدوات مغلقة لا يستطيع الغرباء فحصها، وتلقت Chainalysis، وهي مقاول حكومي أمريكي كبير، أكثر من 93.2 مليون دولار من التعاقدات الفيدرالية. والمنطق العنقودي ذاته الذي يرصد التدفقات غير المشروعة يرسم كذلك خريطة كل حائز كبير، من حوت الكريبتو إلى شركة عادية تدفع بالبيتكوين، على دفتر إثبات العمل غير القابل للتغيير.

الخصوصية صارت خطرًا على خزائن الشركات

قراءتنا في COINOTAG أن النتيجتين تشكلان قوسًا واحدًا: فشفافية البيتكوين ميزة على مستوى البروتوكول والتزام على مستوى الأعمال. فدراسة جامعة لوفان — الوثيقة الأساسية وراء نتائج المحافظ — تنص بوضوح على أن 36 من أصل 85 امتدادًا مُختبَرًا تسرّب بيانات معرِّفة قبل أي توقيع، يلحق بها بعد ذلك التجميع العنقودي على السلسلة وسجلات KYC لتكتمل الصورة. وتُظهر النزاعات الجنائية مثل دعوى تركت Celsius ضد BitMEX إلى أي مدى وصل تتبع المحافظ اليوم من تدخلها في النزاعات التجارية. ويتعين على الشركات التي تتعامل بالبيتكوين أن تنظر إلى نظافة العناوين بوصفها أمنًا تشغيليًا، لا خيارًا إضافيًا.