رسائل احتيال منتحلة باسم SafePal تستهدف عملاءها الإيطاليين في اختراق شمل 39,798 طلبًا

رسائل مزيفة تصل منازل العملاء الإيطاليين

بدأ المحتالون في إرسال رسائل بريدية منتخبة تحمل شعار SafePal إلى العناوين المنزلية للعملاء في إيطاليا، مستفيدين من بيانات شخصية سرقوها في حادثة بيانات التي أصابت شركة المحافظ المادية في أغسطس. تدّعي كل رسالة أن جهاز المستلم يحمل خللًا في البرنامج الثابت، أي عيبًا في البرنامج المدمج داخل المحفظة نفسها، وتطلب من صاحبه إصلاحه عبر مسح رمز استجابة سريعة مطبوع على الورقة. يفتح هذا الرمز موقعًا منتحلًا باسم SafePal مستضافًا على شبكة Arweave، وهي شبكة تخزين مصممة لإبقاء الملفات متاحة على الإنترنت بشكل دائم، وهو ما يجعل إسقاط الصفحة المزيفة أصعب من موقع مستضاف على خوادم عادية. تظهر الرسالة والموقع على حد سواء اسم العميل الحقيقي وعنوانه البريدي وتفاصيل طلبه، ودقة هذه البيانات هي تحديدًا ما يمنح الرسائل مظهر المصداقية. الهدف النهائي هو عبارة الاستعادة، أي مجموعة الكلمات الاحتياطية التي تعيد بناء المحفظة على أي جهاز، فمن يكتب هذه الكلمات في الموقع المزيف يسلم كل العملات التي تحتفظ بها المحفظة، لأن الكلمات وحدها تكفي لاستعادة الرصيد على جهاز المهاجم. رصد حساب مجتمعي إيطالي الحملة في منشور نُشر يوم 12 نوفمبر على X، ووصف رسائل وصلت إلى مشتري SafePal تحمل بيانات شخصية صحيحة ورابطًا مخصصًا لكل مستلم. وأكد فريق الدعم في SafePal الحملة في اليوم نفسه، وهو الخميس، وربطها مباشرة باختراق أغسطس. وكتب الفريق أن الرسائل “ليست من SafePal إطلاقًا”، مشددًا إلى أن البنية التحتية للمحافظ تظل آمنة وأن الشركة لن ترسل بريدًا ورقيًا ولن تطلب عبارة الاستعادة مهما كانت الظروف. وطلب الفريق من المستلمين الإبلاغ عن الرسائل عبر صفحة الحماية من الاحتيال على موقع الشركة مع إظهار رمز الاستجابة السريعة، حتى يمكن إغلاق الموقع المنتخل. وعلى عكس المحفظة الساخنة التي تبقى متصلة بالإنترنت، توقع المحفظة المادية المعاملات دون اتصال، وهذه بالضبط هي الحاجة التي تدفع المهاجمين إلى استهداف العبارة الاحتياطية بدل الجهاز نفسه.

اختراق أغسطس وسابقة Ledger

تعود قوائم العناوين التي يستند إليها البريد إلى إفصاح نشرته SafePal يوم الأحد 16 أغسطس. فقد كشف خلل في إضافة تتبع الطلبات تفاصيل الطلبات التي وضعها 39,798 عميلًا بين مارس 2025 وأبريل 2026، وفق التحديث الأمني الذي أصدرته الشركة. كانت هذه الإضافة مستقرة على المتجر الإلكتروني للشركة وتتولى تتبع الشحنات، دون أي صلة بالأمن الداخلي للمحافظ. وتسربت الأسماء وعناوين البريد الإلكتروني والعناوين البريدية وأرقام الهواتف وتفاصيل المشتريات، بينما لم تتسرب عبارات الاستعادة ولا المفاتيح الخاصة ولا أرقام البطاقات، بحسب ما تقوله الشركة. ولم تحدد SafePal عدد الرسائل التي أُرسلت حتى الآن، ولا ما إذا كانت رسائل وصلت إلى مستلمين خارج إيطاليا. والعناوين البريدية لا تنتهي صلاحيتها، ومجيء هذه الحملة بعد أشهر من التسريب الأصلي يرجح أن مجموعة البيانات ما زالت قيد التداول بين المحتالين. والنمط ليس جديدًا في القطاع: فقد كشف اختراق تعرض له Ledger عام 2020 عناوين نحو 272,000 مستخدم، وبدأت رسائل منتخبة باسم Ledger تصل إلى المنازل عام 2025، أي بعد خمس سنوات من الواقعة. كما سرب شريك الشحن التابع لـ Trezor سجلات 13,689 عميلًا في أغسطس من هذا العام، مضيفًا علامة ثالثة لمنتجات المحافظ المادية إلى القائمة. ولم تبلغ Trezor ولا SafePal عن اختراق طال المحافظ ذاتها؛ ففي الحالتين بقيت الأجهزة سليمة، وما تعرض للتسريب هو بيانات العملاء المحيطة بها. وللمستخدمين غير المتأكدين من الفرق بين هذه الأجهزة وحفظ الأصول لدى المنصات، يتناول دليل كيف تعمل المحافظ المادية ما يوقعه الجهاز فعلًا من توقيعات. ويظل الخط العملي بين المحفظة الباردة والحساب المتصل بالإنترنت ثابتًا بعد حوادث كهذه: الجهاز يحفظ المفتاح الخاص دون اتصال، وتسريب البيانات لا يغير إلا معرفة المهاجمين بمكان سكن المالك.

يرسم هذا السجل نقطة واحدة بوضوح: لم يُخترق أي جهاز، والحيلة لا تنجح إلا إذا أدخل المستلم عبارة الاستعادة بنفسه. ووفق بيان الشركة، وهي الوثيقة الأساسية في هذه القضية، تظل البنية التحتية للمحافظ آمنة ولن تطلب الشركة عبارة البذور عبر البريد أبدًا. ويبقى التسريب إذن حيث كان منذ أغسطس، في بيانات العناوين، ويبقى خط الدفاع حيث ينتهي دائمًا، عند المستخدم نفسه. فأي رسالة تطلب عبارة الاستعادة تكون احتيالًا بحكم التعريف، أيا كان الشعار الذي تحمله، وتظل أموال من يتجاهلها في مكانها تمامًا.