أفادت التقارير أن مستثمرًا في العملات الرقمية فقد 783 بيتكوين، بقيمة تزيد عن 91 مليون دولار، في واحدة من أكبر عمليات الاحتيال الهندسي الاجتماعي في التاريخ الحديث. الحادث الذي وقع في 19 أغسطس، وكشف عنه المحقق في السلسلة زاك إكس بي تي، يبرز الضعف البشري المستمر في أمان العملات الرقمية - حتى بين المستخدمين ذوي الخبرة.
بينما تركز معظم عناوين العملات الرقمية على استغلال العقود الذكية وانتهاكات التبادل، يعد هذا الهجوم الأخير مثالاً عاملاً على كيفية تجاوز المحتالين للأنظمة المعقدة من خلال التلاعب بالثقة.
في هذه الحالة، يُزعَم أن الجاني تظاهر بأنه دعم العملاء لكل من تبادل العملات الرقمية وموفر المحفظة المادية، حيث أقنع الضحية بتسليم معلومات حساسة بحجة المساعدة الفنية.
الهجوم بهذا الحجم - وهو أحد أكبر السرقات الهندسية الاجتماعية المعروفة حتى الآن - يعد بمثابة تذكير صارخ بأن أضعف نقطة في سلسلة الأمان غالبًا ما تكون ليست في الكود، بل في السلوك البشري.
سرقة بقيمة 91 مليون دولار: ما نعرفه حتى الآن
برزت الحادثة عندما أبلغ المحقق في البلوكشين المجهول الهوية زاك إكس بي تي عن الحركة المفاجئة لكمية كبيرة من البيتكوين. وفقًا لبيانات السلسلة وتغريدة زاك إكس بي تي في 21 أغسطس، تم نقل الـ 783 بيتكوين المسروقة بعد الاختراق بوقت قصير، وتم توجيه العديد من الأموال إلى محفظة وسابي، وهي خدمة خلط البيتكوين المعروفة بخصائص تعزيز الخصوصية.
كتب زاك إكس بي تي على X (تويتر سابقًا): "خسر ضحية مؤخرًا 783 بيتكوين (~91 مليون دولار) في احتيال هندسي اجتماعي. تم نقل الأموال هذا الأسبوع عبر وسابي".
على الرغم من عدم الكشف عن هوية الضحية، فإن حجم السرقة يشير إلى أن الهدف كان على الأرجح فردًا ذو صافي ثروة عالية أو مستثمرًا مؤسسيًا. ويبدو أن نهج المهاجم، الذي تمثل في تقمص شخصية ممثل التبادل وفني محفظة، مصمم بعناية لاستغلال الثقة والارتباك.
يُزعَم أن الاحتيال تضمن انتحالاً متعدد المستويات وتكتيكات التصيد، حيث بدأ المهاجم الاتصال وأقنع الضحية تدريجيًا بإفشاء بيانات اعتماد حيوية، بما في ذلك احتمالية المفاتيح الخاصة أو عبارات البذور.
ما هو الهندسة الاجتماعية - ولماذا هي خطيرة جدًا؟
تعتمد الهجمات الهندسية الاجتماعية على عدم اختراق الأنظمة، ولكن على التلاعب بالأشخاص لجعلهم يتنازلون عن الوصول بأنفسهم. في عالم العملات الرقمية، غالبًا ما تتخذ هذا الشكل:
- دعم تقني مزيف يتصل بالمستخدمين للمساعدة في "مشاكل الحساب"
- منتحلون على ديسكورد أو تيليجرام أو البريد الإلكتروني يتظاهرون بأنهم أعضاء فريق أو مقدمي محافظ
- روابط أو تنزيلات خبيثة ترسل من جهات تبدو موثوقة
- محاكاة عميقة أو تصيد صوتي (فيشنغ) لتقليد موظفين حقيقيين
على عكس الاختراقات القاسية أو استغلال العقود الذكية، لا تتطلب الهندسة الاجتماعية خرقًا تقنيًا، مما يجعل من الصعب للغاية اكتشافها حتى يصبح الوقت متأخرًا جدًا.
ومع معاملات العملات الرقمية غير القابلة للاسترداد، بمجرد نقل الأموال، يصبح من شبه المستحيل استردادها - خاصةً عند معالجتها عبر أدوات الخصوصية مثل وسابي أو الميكسيرات مثل شيب ميكسر وتورنادو كاش.
التاريخ يعيد نفسه: صدى اختراق جينيسيس لعام 2024
تأتي سرقة الأسبوع بقيمة 91 مليون دولار أيضًا بعد مرور عام تقريبًا على احتيال مماثل ضخم، حيث سرق مهاجم 243 مليون دولار من دائني جينيسيس باستخدام طرق الهندسة الاجتماعية. في تلك الحالة، تظاهر المهاجمون بأنهم مشرفون موثوقون وأقنعوا المستخدمين بتوقيع صفقات خبيثة أو تسليم عبارات البذور.
التوقيت أثار تساؤلات بين بعض المحللين الأمنيين، الذين يقترحون أن عمليات الاحتيال واسعة النطاق قد تكون موقوتة استراتيجيًا لتتزامن مع تواريخ رئيسية - ذكرى الهجمات السابقة، أو أحداث السوق الرئيسية، أو ترقيات البروتوكول - عندما يمكن لتشتت الانتباه والحمل الإدراكي تقليل اليقظة.
بينما حققت صناعة العملات الرقمية تقدمًا كبيرًا في التخزين البارد، والمحافظ متعددة التوقيعات، والأجهزة المادية، والوصول البيومتري، لا يمكن لأي من هذه الأدوات حماية كاملة ضد الطبقة البشرية. ووفقًا لبيانات من تشين أناليسيس وسيرتيك، شكلت الهندسة الاجتماعية أكثر من 25% من خسائر العملات الرقمية الكبرى في عام 2024، وجاءت في المرتبة الثانية بعد أخطاء العقود الذكية.
والضحايا ليسوا فقط مبتدئين. قال خبير الأمن السيبراني كريس بليك: "نرى مستثمرين ذوي خبرة يقعون ضحية لهذا الاحتيال". "غالبًا ما يكون المتنكرون صبورين، مطلعين، وماهرين في التلاعب النفسي. إنهم لا يخمنون كلمات المرور - إنهم يكسبون الثقة."
علامات تحذير ودروس للمستثمرين
تعتبر هذه الحادثة الأخيرة دراسة حالة مرعبة في الحاجة إلى اليقظة، والشك، وبروتوكولات التحقق. يوصي الخبراء بالممارسات الفضلى التالية:
- لا تشارك عبارات البذور أو المفاتيح الخاصة - لن تطلب خدمة موثوقة ذلك.
- تحقق من جهات الاتصال الداعمة بشكل مستقل - استخدم المواقع الرسمية، وليس الروابط المرسلة عبر الرسائل المباشرة أو البريد الإلكتروني.
- فعل قوائم المعاملات البيضاء ومطالبة المحافظ المادية لجميع المعاملات الصادرة.
- استخدم إعدادات متعددة التوقيعات حيث لا يمكن لطرف واحد نقل الأموال وحده.
- توعية أعضاء الفريق والعائلة - خاصة أولئك المشاركين في إدارة المحافظ المشتركة أو المؤسسية.
تتحمل مقدمي المحافظ، والتبادلات، ومنصات التمويل اللامركزي أيضًا المسؤولية. قام العديد منها الآن بتطبيق تحذيرات من انتحال الدعم، وتنبيهات الاحتيال في الوقت الفعلي، وحملات توعية للمستخدم لمنع هذه الحوادث. ومع ذلك، كما تظهر هذه الحالة، هناك حاجة لمزيد من العمل.
لماذا تعقّد أدوات الخصوصية جهود الاسترداد
واحدة من أكبر التحديات في استرداد العملات الرقمية المسروقة هي التعتيم عبر محافظ الخصوصية والميكسيرات. في هذه الحالة، تم إرسال جزء كبير من البيتكوين المسروق إلى محفظة وسابي، وهي منصة تستخدم كوين جوين - وهو بروتوكول خلط يقوم بدمج معاملات المستخدمين المختلفين لكسر التتبع.
بينما تخدم أدوات الخصوصية أغراضًا مشروعة، مثل حماية أموال النشطاء وحماية هوية المستخدم من الرقابة، يمكن أيضًا استخدامها لغسل الأموال غير المشروعة وتعقيد التحليلات الجنائية البلوكتشين.
نتيجة لذلك، تواجه إنفاذ القانون قيودًا شديدة في تتبع أو تجميد العملات الرقمية المسروقة، ما لم يرتكب المهاجم خطأً أو يحاول صرفها عبر تبادل خاضع للتنظيم.
قد يساعد المراقبة المستمرة لزاك إكس بي تي في تتبع التحركات اللاحقة، لكن بدون هويات العالم الحقيقي أو مشاركة التبادل في إجراءات معرفة العميل، تبقى احتمالات الاسترداد ضعيفة.
استجابة الصناعة: التعليم وتجربة المستخدم واكتشاف الاحتيال المدعوم بالذكاء الاصطناعي
في أعقاب الهجوم، يدعو الخبراء الأمنيون مرة أخرى إلى تحسين توجيه المستخدم، بما في ذلك محاكاة التصيد، البرامج التفاعلية التعليمية، وأنظمة اكتشاف الاحتيال المدعومة بالذكاء الاصطناعي التي تشير إلى السلوك المشبوه قبل تعريض الأموال للخطر.
بدأت شركات مثل ليدجر، وتريزور، وكوينباس، وميتا ماسك في دمج تنبيهات الاحتيال في الوقت الفعلي، والتكاملات مع قوائم الحظر الخاصة بالتصيد، والتحقق من الدعم داخل المحافظ. ومع ذلك، تظل معظم هذه الأنظمة اختيارية - ولم تكن حتى الآن خالية من العيوب.
يقترح البعض بناء طبقات هوية لامركزية وسمعة لمحافظ في البروتوكولات المستقبلية، مما يتيح للمستخدمين التحقق من وكلاء الدعم الرسميين أو إنشاء درجات ثقة لعناوين المحافظ. لكن هذه لا تزال في مراحلها الأولى من التطوير.
الخاتمة
فقدان 783 بيتكوين لهجوم الهندسة الاجتماعية هو واحد من أكبر التذكيرات وأكثرها إيلامًا أن أمان العملات الرقمية ليس فقط تقنيًا - إنه إنساني بعمق. مع نمو اعتماد الويب 3، تتطور أيضًا تعقيدات الاحتيالات موازاة.
على الرغم من أن تدقيق الأكواد، وإعدادات متعددة التوقيعات، وطبقات الخصوصية مهمة، تبقى الدفاع الأكثر أهمية هو التعليم والشك. في نظام مالي إذن¯ لا يتطلب إذنًا، وغير قابل للإلغاء، يمكن خطأ واحد في الحكم أن يمحو مدخرات العمر.
حتى تجد الصناعة طرقًا أفضل لحماية المستخدمين من أخطائهم، ستظل الهندسة الاجتماعية أخطر تهديد للعملات الرقمية.