SlowMist تحذّر مستخدمي Ethereum (ETH) من هجوم سلاسل التوريد عبر Swarm على GitHub

برمجية خبيثة تسللت عبر قناة التحديث الرسمية

وصل هجوم سلاسل التوريد الذي استهدف مشروع التخزين اللامركزي Swarm إلى مستخدمي Ethereum (ETH) من الباب الذي اعتادوا الوثوق به تمامًا: تحديث البرمجيات الرسمي. رفعت شركة SlowMist المتخصصة في أمن البلوكتشين تنبيهًا عاجلًا يوم الثلاثاء بعد أن كشفت أن المهاجمين اخترقوا حسابات على GitHub واستغلوا مسار الإصدارات النظامية لنشر نسخ برمجية ملغومة، فثبّتت الضحايا البرمجية الخبيثة وكأنها تنزيل اعتيادي من Swarm. تعرّضت قطعتان برمجيتان لهذا الاختراق. الشيفرة المتأثرة تعود إلى Swarm، وهي شبكة تخزين لامركزية تعمل داخل منظومة إيثيريوم الأوسع، وتشتغل على نظامي Windows وmacOS ولينكس على حد سواء. وبمجرد وصولها إلى جهاز المستخدم، تجلب البرمجية الخبيثة شيفرة JavaScript من بنية تحتية يسيطر عليها المهاجمون وتنفذها، ما يحوّل مُثبِّتًا مسمومًا إلى إصابة حية ومستمرة لا إلى ملف خامل. الرهانات المترتبة على ذلك ملموسة: يمكن لهذه الإصدارات الخبيثة أن تخترق بيانات اعتماد محافظ العملات الرقمية، ولتسرق المفاتيح الخاصة، ولأن تفتح أبوابًا خلفية دائمة على الأنظمة المتأثرة. التحذير يخص أدوات إيثيريوم البرمجية لا سعر الإيثيريوم نفسه، ولا يتضمن التنبيه أي ادعاء بأن أموالًا على السلسلة سُحبت فعلًا. ما يثبته الإفصاح هو مسار التوصيل: الاستيلاء على حساب مطوّر عند المنبع، ودفعة بنية برمجية خبيثة عبر قنوات الإصدار الاعتيادية، ثم بقاء مستخدمين على ثلاثة أنظمة تشغيل ليتحقق كل منهم بعد الحدث مما إذا كانت نسخته المثبّتة نظيفة. تؤدي Swarm وظيفة البنية التحتية للتخزين في المنظومة، لذا يشمل التحذير جمهورًا واسعًا: كل من نزّل الإصدارات المتأثرة على أي من الأنظمة الثلاثة. ونشرت SlowMist التفصيل الكامل على X، متوضحة مسار التوصيل وخطوات التنظيف معًا.

عقد ذكي يعمل كخادم قيادة

آلية الهجوم تتجاوز حدود حصانة موحدة تُستخدم مرة واحدة. في تنبيهها المنشور على X، توضح SlowMist أن المشغّلين يعتمدون على عقد ذكي في إيثيريوم بوصفه مستودع تهيئة لامركزي للقيادة والسيطرة، أي مخزن تعليمات يقوم على السلسلة. ولأن الإعدادات تقبع داخل العقد، يستطيع المهاجمون تبديل عناوين الخوادم التي تدير البرمجية الخبيثة متى شاؤوا، دون الحاجة إلى دفع بنية برمجية جديدة إلى الأجهزة المصابة سلفًا؛ وبالتالي فإسقاط أي خادم منفرد لا يوقف الحملة. وتضيف SlowMist أن العقد ذاته ارتبط سابقًا بعمليتي برمجية خبيثة تحملان اسمي SleepyDuck وEtherDuck، حملتان استهدفتا المطوّرين عبر إضافات ملغومة وزّعت على متجر Open VSX. هذا الاستخدام المتكرر يرجّح أن حادثة Swarm جزء واحد من عملية أوسع تستهدف اختراق مطوّري ومستخدمي العملات الرقمية، لا حدثًا معزولًا بدافع واحد. وعلى صعيد مستقل عن SlowMist، توصل باحثو أمن مستقلون في شركتي Socket وSafeDep إلى برمجيات صُممت لسرقة ملفات محفظة Swarm ولنشر أدوات وصول عن بُعد دائمة على الأنظمة المصابة. وتتقاطع نتائجهما مع التنبيه في مسألة الاستمرارية: الأدوات بُنيت لتبقى على الجهاز، لا لتعمل مرة واحدة ثم تختفي. أما خطوات المعالجة فمحددة بدقة. تنصح SlowMist المستخدمين بإزالة الحزمة المتأثرة فورًا والعودة إلى النسخة النظيفة 13.2.0، بينما على مستخدمي Swarm Desktop بإصداره v0.56.2 التحديث إلى الإصدار النظيف v0.56.3. ولا يذكر التنبيه كم بقي من الوقت لبنى الإصدارات المخترقة في قناة التوزيع قبل رصدها، ولا كم جهازًا نزّلها في تلك النافذة الزمنية؛ إذ لم تُفصح تلك الأرقام عند نشر التقرير.

الحلقة التي تبقى بين يدي المستخدم

ما يبرز في هذا الإفصاح هو طبقة القيادة لا الحمولة نفسها. إن تثبيت تهيئة البرمجية الخبيثة داخل عقد ذكي على إيثيريوم، شبكة الطبقة الأولى التي يعمل عليها العقد، يمنح المشغّلين قدرة على تدوير البنية التحتية تنجو من حملات إسقاط الخوادم، فلا يجدي ضغط موجه نحو مزودي الاستضافة. والحلقة القابلة للمقاطعة في هذا التسلسل تقع على جهاز المستخدم ذاته: إزالة الحزمة والعودة إلى الإصدار 13.2.0، أو ترقية Swarm Desktop إلى v0.56.3، تقطعان الحمولة المثبّتة عن أداء أي ضرر إضافي. ولمن يشغّل برمجيات منظومة إيثيريوم، من عميل مكتبي إلى عقدة بلوكتشين، فإن قناة التحديث ذاتها هي السطح الذي يجب مراقبته. والقراء الذين يزنون جدوى تشغيل عقدة إيثيريوم في المنزل يواجهون صنف المخاطر نفسه. التنبيه لا يحدد عدد الضحايا، ولم يُنشر أي رقم حتى لحظة إعداد هذا التقرير.