هجمات سلسلة التوريد: الحزم الخبيثة ومكتبات المحافظ المخترقة
يخفي هجوم سلسلة التوريد في الكريبتو شيفرة خبيثة داخل برامج تثق بها. تعرّف على طريقة عمل الحزم ومكتبات المحافظ المخترقة وكيف تحمي نفسك.
يحدث هجوم سلسلة التوريد في الكريبتو عندما يخترق المجرمون برنامجًا تعتمد عليه المحافظ أو التطبيقات أو المواقع، مثل حزمة مفتوحة المصدر أو إضافة متصفح أو خادم تحديثات، بحيث تصل الشيفرة الخبيثة إلى المستخدمين عبر قناة موثوقة. وعادةً ما تبدّل هذه الشيفرة عناوين الوجهة، أو تحقن أداة استنزاف للمحافظ (wallet drainer) في موقع ما، أو تسرق عبارات الاسترداد، وكثيرًا ما لا يرتكب الضحايا أي خطأ سوى استخدام منتج يثقون به أصلًا.
تهمّ هذه الهجمات كل من يتعامل مع الكريبتو، وليس المطورين وحدهم. فالمحافظ والتطبيقات اللامركزية الحديثة مبنية من مئات المكونات التابعة لجهات خارجية، وقد يؤثر مكوّن واحد مخترق على منتجات كثيرة في الوقت نفسه. يشرح هذا الدليل كيف تعمل هذه الهجمات، وما الذي ينبغي الانتباه إليه، وكيف تقلّل تعرّضك للخطر بصفتك مستخدمًا أو مطورًا.
كيف يعمل هجوم سلسلة التوريد
«سلسلة التوريد» لتطبيق كريبتو هي كل ما يدخل في تكوينه: مكتبات الشيفرة، وأدوات البناء، ومزودو الاستضافة، وشبكات توصيل المحتوى، وخوادم التحديث. ويسير الهجوم عادةً وفق الخطوات التالية:
- 1الحصول على الوصول. يستهدف المهاجم أحد مشرفي مكتبة شائعة بالتصيد الاحتيالي، أو يشتري حزمة مهجورة، أو يخمّن كلمة مرور ضعيفة، أو يستغل خادم بناء.
- 2إدراج شيفرة خبيثة. ينشر إصدارًا جديدًا يحتوي على شيفرة مخفية، غالبًا ما تكون مموّهة ومصممة لتعمل فقط في ظروف معيّنة، مثل وجود محفظة كريبتو.
- 3الانتشار عبر التحديثات. التطبيقات التي تجلب أحدث إصدار من المكتبة تلقائيًا تُدرج الشيفرة الخبيثة في عملية البناء التالية، أما المواقع فتتأثر فور تحميل السكربت.
- 4السرقة. قد تستبدل الشيفرة العناوين المنسوخة إلى الحافظة، أو تعرض طلب معاملة مزيفًا، أو تطلب عبارة الاسترداد، أو تحقن أداة استنزاف في الواجهة الأمامية لتطبيق لامركزي.
- 5الإخفاء. كثيرًا ما يزيل المهاجمون الشيفرة بسرعة بعد استخدامها، مما يصعّب التحقيق.
هناك حوادث حقيقية موثقة تتبع هذا النمط. ففي عام 2018، أُضيفت تبعية خبيثة إلى حزمة JavaScript شائعة صُممت لسرقة مستخدمي تطبيق محفظة bitcoin معيّن. وفي ديسمبر 2023، تسبب إصدار مخترق من مكتبة Connect Kit التابعة لـ Ledger لفترة وجيزة في عرض عدة تطبيقات لامركزية أداة استنزاف للمحافظ على مستخدميها. وتُظهر الحالتان أن نقطة الضعف كانت الشيفرة المشتركة، لا المستخدمين. وللتعمق أكثر، راجع مخاطر العناوين المخصّصة (Vanity) والعناوين المتشابهة.
نقاط الدخول الشائعة
| نقطة الدخول | كيف يُساء استخدامها | من يتأثر |
|---|---|---|
| الحزم مفتوحة المصدر (npm وPyPI وما شابهها) | نشر إصدار خبيث أو رفع حزمة باسم شبيه جدًا | التطبيقات والمطورون الذين يستخدمون الحزمة |
| سكربتات الواجهة الأمامية المحمّلة من جهات خارجية | تعديل السكربت لحقن أداة استنزاف | كل زائر للموقع |
| إضافات المتصفح | بيع الإضافة أو الاستيلاء عليها ثم تحديثها بشيفرة خبيثة | المستخدمون الذين ثبّتوا الإضافة |
| تحديثات التطبيقات | اختراق خادم التحديث أو مفاتيح التوقيع | المستخدمون الذين يثبّتون التحديث |
| أدوات المطورين والحزم التي يقترحها الذكاء الاصطناعي | أسماء حزم مزيفة تبدو معقولة | المطورون الذين يثبّتون دون تحقق |
ويُعد انتحال الأسماء المشابهة (typosquatting)، أي رفع حزمة باسم قريب جدًا من اسم حزمة شائعة، أمرًا شائعًا بشكل خاص. فالمطور الذي يخطئ في كتابة اسم حزمة قد يثبّت برمجية خبيثة دون أن يلاحظ.
مثال افتراضي
هذا مثال توضيحي مركّب، وليس حالة حقيقية. تخيّل منصة تداول لامركزية صغيرة تحمّل مكتبة شائعة لربط المحافظ من سجل حزم عام. في صباح أحد الأيام، يقع مشرف المكتبة ضحية للتصيد الاحتيالي، فينشر المهاجم إصدارًا جديدًا. ويحمّل موقع المنصة أحدث إصدار تلقائيًا.
لبضع ساعات، يرى كل مستخدم يربط محفظته ما يبدو طلب swap عاديًا. لكنه في الحقيقة طلب للموافقة على منح رموزه لعقد المهاجم. المستخدمون الذين يقرؤون شاشة الموافقة في محافظهم بعناية يلاحظون عقدًا غير مألوف فيتوقفون. أما من ينقرون دون قراءة فيخسرون رموزهم. ويكتشف فريق المنصة المشكلة عندما يبلّغ المستخدمون عن خسائر، فينشر تنبيهًا، لكن الشيفرة تكون قد أُزيلت بالفعل.
علامات تحذيرية للمستخدمين
- يطلب تطبيق مألوف فجأة عبارة الاسترداد أو خطوة «التحقق من المحفظة» لم يطلبها من قبل.
- يؤدي إجراء روتيني إلى طلب غير معتاد في المحفظة، مثل موافقة غير محدودة أو توقيع لعقد غير معروف.
- العنوان الظاهر على شاشة محفظة الأجهزة لا يطابق العنوان الذي قصدته.
- يُحدَّث أحد إضافات المتصفح ويطلب أذونات جديدة، خاصةً لقراءة البيانات وتغييرها على جميع المواقع.
- ينشر مشروع أو باحثو أمن تحذيرات عاجلة بعدم استخدام موقع أو تطبيق ما.
يتقاطع كثير من هذه العلامات مع برمجيات الحافظة الخبيثة وتطبيقات المحافظ المزيفة، التي تستخدم أساليب مشابهة. انظر أيضًا: تحديثات المتصفح المزيفة وبرمجيات captcha الخبيثة التي تستهدف مستخدمي الكريبتو.
كيف تحمي نفسك
بصفتك مستخدمًا
- 1استخدم محفظة أجهزة واقرأ العنوان والمبلغ والعقد على شاشتها قبل التأكيد.
- 2قلّل الإضافات إلى الحد الأدنى. احذف ما لا تستخدمه، وكن حذرًا عندما تنتقل ملكية إضافة ما أو تطلب أذونات جديدة.
- 3افصل أموالك. احتفظ بالأصول طويلة الأجل في محفظة نادرًا ما تتصل بالمواقع، واستخدم محفظة أخرى لـ DeFi اليومي.
- 4توقف بعد التنبيهات الأمنية. تجنّب استخدام التطبيق حتى يؤكد أن المشكلة قد حُلّت.
- 5ألغِ الموافقات غير الضرورية بشكل دوري.
بصفتك مطورًا أو مشروعًا
- ثبّت إصدارات التبعيات واستخدم ملفات القفل (lockfiles)؛ وراجع التغييرات قبل الترقية.
- تحقّق من أسماء الحزم بعناية وفضّل المكتبات التي تحظى بصيانة جيدة.
- اشترط المصادقة متعددة العوامل لحسابات سجلات الحزم واستضافة الشيفرة.
- استخدم إصدارات موقّعة، وعمليات بناء قابلة لإعادة الإنتاج حيثما أمكن، حتى يتمكن المستخدمون من التحقق من الملفات الثنائية.
- استخدم content security policy وsubresource integrity للسكربتات الخارجية.
ماذا تفعل إذا تأثرت
- 1توقف عن استخدام التطبيق أو الإضافة المتأثرة وافصل جميع المحافظ.
- 2راجع سجل معاملاتك بحثًا عن موافقات أو تحويلات خلال الفترة المتأثرة.
- 3ألغِ أي موافقات مشبوهة، وانقل الأموال المتبقية إلى محفظة جديدة بعبارة استرداد جديدة إذا كان من المحتمل أن عبارة الاسترداد الخاصة بك قد انكشفت.
- 4اجمع تجزئات المعاملات والعناوين، ثم أبلغ عن الحادثة عبر القنوات الرسمية للمشروع ومن خلال نموذج الإبلاغ عن الاحتيال لدينا.
اتبع قائمة التحقق الكاملة في ما يجب فعله فورًا إذا تعرّضت محفظتك للاختراق.
الخلاصة
تحوّل هجمات سلسلة التوريد البرامج الموثوقة إلى قناة لإيصال السرقة، لذا لا يمكنك الاعتماد فقط على تجنّب الروابط المشبوهة. اعتبر شاشة محفظة الأجهزة وطلبات المحفظة خط التحقق الأخير، وأبقِ البرامج التي تستخدمها في أضيق نطاق، واستجب بسرعة للتنبيهات الأمنية الرسمية. ويتحمّل المطورون الجزء الأكبر من المسؤولية: ثبّتوا الإصدارات وراجعوا ووقّعوا كل ما تنشرونه.
الأسئلة الشائعة
ما هو هجوم سلسلة التوريد في الكريبتو؟
هو هجوم يخترق فيه المجرمون برنامجًا تعتمد عليه منتجات أخرى، مثل مكتبة شيفرة أو إضافة متصفح أو تحديث تطبيق، بدلًا من مهاجمة المستخدمين مباشرة. وعندما يُحدَّث البرنامج الموثوق، تصل الشيفرة الخبيثة إلى كل تطبيق وكل مستخدم يعتمد عليه، وغالبًا ما يكون الهدف سرقة العملات المشفرة أو تبديل العناوين.
هل يمكن أن يؤثر هجوم سلسلة التوريد على محفظة الأجهزة؟
صُممت شاشة محفظة الأجهزة لحمايتك حتى لو كان حاسوبك أو أحد المواقع مخترقًا، لأنك تؤكد العنوان والمبلغ الحقيقيين على الجهاز نفسه. ومع ذلك، قد تخدعك الهجمات لتوافق على معاملة خبيثة إذا لم تقرأ الشاشة، لذا تحقّق دائمًا من التفاصيل على الجهاز نفسه.
كيف أعرف إن كان موقع استخدمته قد تأثر؟
عادةً ما تعرف ذلك من الإعلانات الرسمية للمشروع المتأثر أو من باحثي الأمن. إذا أعلن مشروع استخدمته عن اختراق مكتبة أو واجهة أمامية، فتحقّق مما إذا كنت قد وقّعت على أي شيء خلال الفترة المتأثرة، وألغِ الموافقات، وانقل أموالك إلى محفظة جديدة إن لزم الأمر.
هل المحافظ مفتوحة المصدر آمنة من هجمات سلسلة التوريد؟
يساعد المصدر المفتوح لأن عددًا أكبر من الناس يستطيع فحص الشيفرة، لكنه لا يجعل البرنامج محصنًا. فقد تدخل الشيفرة الخبيثة عبر التبعيات أو حسابات المشرفين المخترقة أو أنظمة البناء. وتقلّل عمليات البناء القابلة لإعادة الإنتاج والإصدارات الموقّعة والإدارة الدقيقة للتبعيات من هذا الخطر.