كيف تعمل هجمات تفريغ المحافظ

مُفرِّغ المحفظة هو برمجية تُباع وتُدار إلى حد كبير كمنتج تجاري، بُنيت لغرض واحد: تحويل لحظة ارتباك لدى المستخدم إلى نقل فوري وآلي للأصول. وخلافاً لأشكال سرقة العملات المشفرة الأقدم التي كانت تتطلب سرقة كلمة مرور أو عبارة استرداد مباشرة، تعمل أداة التفريغ عادة عبر دفع الضحية إلى توقيع شيء بنفسها، معاملة أو رسالة، يبدو روتينياً لكنه يُصرِّح فعلياً للمهاجم بالسيطرة على رموز أو على رصيد المحفظة بأكمله.

لا تُبنى هذه العُدد من قبل أفراد منعزلين. فقد شغّلت مجموعات تعمل تحت أسماء مثل Inferno Drainer وAngel Drainer وPink Drainer وعدة أسماء أخرى ما يصفه باحثو الأمن بعمليات الاحتيال كخدمة، حيث تُرخِّص برمجية التفريغ لشركاء تابعين مقابل حصة مما يُسرق. ويُقدَّر أن Inferno Drainer وحدها كانت مسؤولة عن أكثر من ثمانين مليون دولار من الخسائر خلال فترة نشاطها، منتحلة أكثر من مئة علامة عملات مشفرة مختلفة لجعل صفحات التصيد الخاصة بها مقنعة.

التركيب الثلاثي المراحل لهجوم التفريغ

المرحلة الأولى: الطُّعم

يبدأ كل هجوم تفريغ بجذب الهدف إلى صفحة خبيثة. ويتم ذلك عادة عبر إعلان توزيع مجاني مزيف، أو صفحة سك مزيفة لمجموعة NFT شهيرة، أو صفحة دعم منصة تداول أو محفظة مستنسخة، أو إعلان مدفوع يُوضع ليظهر فوق موقع المشروع الحقيقي في نتائج البحث. وغالباً ما تكون الصفحة نسخة بصرية دقيقة من موقع شرعي، وغالباً ما تُبنى باستخدام كود مصدري مسرَّب أو منسوخ، بحيث لا يوجد ما يميزها بصرياً عن الأصل.

المرحلة الثانية: الاتصال

بعد الوصول إلى الصفحة، تُطلب من الضحية توصيل محفظتها، وهو أمر غير خطير بحد ذاته ولا ينقل أي أموال. تستخدم أدوات التفريغ نصوصاً مصمَّمة لمحاكاة مكتبات اتصال Web3 المعروفة، مما يمنح التفاعل شعوراً بالشرعية والاعتيادية التقنية يُخفِّف من حذر الضحية لما يأتي بعد ذلك.

المرحلة الثالثة: التوقيع

هذه هي اللحظة التي يعتمد عليها الهجوم بأكمله. يعرض الموقع معاملة أو رسالة لتوقيع المحفظة عليها، مؤطَّرة على أنها مطالبة بجائزة، أو تحقق من الأهلية، أو خطوة روتينية. وفي الواقع، يكون الطلب إما تحويلاً مباشراً للرموز، أو موافقة إنفاق غير محدودة، أو رسالة إذن موقَّعة تُصرِّح لعقد أداة التفريغ بنقل الأموال لاحقاً دون أي إجراء إضافي من الضحية. وغالباً ما تُبنى برمجيات التفريغ لمسح المحفظة المتصلة أولاً وإعطاء الأولوية لأي أصل هو الأكثر قيمة والأسهل نقلاً، وتتجاهل غالباً الأرصدة الأقل من حد أدنى معيَّن لتجنب تنبيه الضحية عبر معاملة اختبارية منخفضة القيمة.

الآلية التقنية وراء عقد التفريغ

تُبنى معظم أدوات التفريغ الحديثة حول عقد ذكي واحد قابل لإعادة الاستخدام ينشره المشغّل، وتشير إليه ببساطة مواقع تصيد مختلفة كثيرة بدلاً من أن يكتب كل مهاجم كوداً مخصَّصاً من الصفر. ويعرض العقد عادة دالة تفحص أرصدة رموز المحفظة المتصلة والتصاريح القائمة وحيازات NFT في استدعاء واحد، بحيث تقرر صفحة التصيد فوراً أي توقيع واحد سيستخرج أكبر قيمة من تلك الضحية تحديداً. وبما أن العقد الأساسي نفسه يُعاد استخدامه عبر آلاف نطاقات التصيد المختلفة، يمكن أحياناً لباحثي الأمن الذين يحددون عنوان عقد أداة تفريغ ما وضع علامة على كل موقع يستدعيه، مع أن المشغّلين ينشرون بانتظام عناوين عقود جديدة تحديداً للبقاء متقدمين على هذا النوع من الحظر.

الاستدعاء المتعدد والتصاريح المُجمَّعة

غالباً ما يُطلق توقيع واحد مؤكَّد ضمن مسار تفريغ أكثر من إجراء تحت الغطاء. فوظيفة الاستدعاء المتعدد، وهي ميزة شرعية تُستخدم في كل أنحاء التمويل اللامركزي لتجميع عدة عمليات في معاملة واحدة وتوفير رسوم الشبكة، يُعاد توظيفها من قبل عقود التفريغ لدمج موافقة وتحويل وأحياناً مبادلة إلى أصل أسهل تصفية، تُنفَّذ جميعها في اللحظة التي يُبَث فيها توقيع الضحية الواحد. وهذا جزء من سبب اكتشاف الضحية غالباً لعدة أصول مختلفة مفقودة من محفظتها بعد ما شعرت أنه تفاعل واحد.

سرد واقعي لهجوم تفريغ

• ينشر حساب ينتحل صفة مشروع NFT حقيقي أو شخصية مؤثرة معروفة عن توزيع مجاني مفاجئ، مع عداد تنازلي، على منصة مثل X أو Discord، رابطاً بصفحة مطالبة تحاكي عن قرب هوية المشروع الحقيقية.
• تنقر الضحية على الرابط، تصل إلى صفحة المطالبة، وتوصّل محفظتها، وهو إجراء لا ينقل بحد ذاته شيئاً ويبدو روتينياً لأنه يشابه عشرات مطالبات التوزيع المجاني الشرعية التي أكملها الشخص نفسه من قبل.
• تفحص الصفحة المحفظة المتصلة في الخلفية وتحدد رصيداً من عملة مستقرة وقطعة NFT ثمينة كأعلى أصلين قيمة متاحين للنقل.
• يظهر إشعار محفظة واحد، موسوم ببساطة بـ«مطالبة بالجائزة» أو «تحقق من الأهلية» بدلاً من وصف تحويل رموز، وتؤكده الضحية تحت ضغط العداد التنازلي المرئي.
• خلال ثوانٍ، يُنقل رصيد العملة المستقرة وقطعة NFT كلاهما عبر وظيفة الاستدعاء المتعدد الخاصة بأداة التفريغ، وتبدأ الأموال بالتحرك عبر سلسلة من المحافظ الوسيطة المصمَّمة لتعقيد التتبع قبل أن تحدّث الضحية حتى الصفحة للتحقق من رصيدها.

كيف يختلف مُفرِّغ المحفظة عن التصيد الاحتيالي الكلاسيكي للحسابات

يتطلب التصيد الاحتيالي الكلاسيكي، من النوع المستخدم منذ زمن طويل ضد بيانات اعتماد البريد الإلكتروني والمصرفية، عموماً أن تُسلِّم الضحية كلمة مرور أو رمزاً لمرة واحدة، يستخدمه المهاجم بعد ذلك يدوياً للوصول إلى حساب. أما مُفرِّغ المحفظة فيتخطى هذه الخطوة الوسيطة تماماً. لا توجد كلمة مرور لسرقتها ولا تسجيل دخول منفصل يستخدمه المهاجم لاحقاً، لأن توقيع الضحية المؤكَّد نفسه هو السرقة. وهذا يجعل هجمات التفريغ أسرع وأكثر أتمتة من التصيد التقليدي، لكنه يعني أيضاً أن النصائح الدفاعية تختلف. فالنظافة الأمنية لكلمات المرور ومراقبة بيانات الاعتماد، المفيدتان ضد تصيد الحسابات، لا تفعلان شيئاً لإيقاف أداة تفريغ، إذ إن مالك المحفظة هو من صرَّح تقنياً بالتحويل. والدفاع الفعال الوحيد هو التدقيق فيما يقوله طلب التوقيع فعلياً قبل تأكيده.

لماذا يصعب عكس هذه الهجمات بمجرد تأكيدها

تُسوَّى معاملات البلوكتشين دون وجود سلطة مركزية قادرة على عكسها بمجرد تأكيدها. ويُبنى العقد الخلفي لأداة التفريغ عادة لنقل الأموال إلى عنوان وجهة جديد خلال ثوانٍ، وغالباً عبر عدة قفزات فور ذلك، تحديداً لتعقيد أي محاولة لتجميد الأصول أو استردادها قبل وصولها إلى منصة تداول أو خدمة خلط. لمزيد من التفاصيل حول الأدوات المستخدمة لإخفاء تلك الحركة، راجع دليلنا حول كيف يسرق التصيد الاحتيالي العملات المشفرة.

كيف تندرج التصاريح الخبيثة ضمن هجمات التفريغ

لا يُفرِّغ كل هجوم تفريغ المحفظة فوراً. فحصة كبيرة منها تحصل بدلاً من ذلك على تصريح إنفاق قائم، أحياناً بمبلغ غير محدود لرمز معين، يمكن للمهاجم استخدامه في أي وقت لاحق، حتى بعد أسابيع أو أشهر، دون الحاجة إلى أن تفعل الضحية أي شيء آخر. وهذا أحد أسباب ظهور محفظة سليمة لفترة طويلة بعد تفاعل تصيد احتيالي، لتُفرَّغ لاحقاً فقط عندما يقرر المهاجم التصرف. ويتناول دليلنا حول تصاريح الرموز الخبيثة آليات هذا التكتيك المحدد بتعمق.

تقليل التعرض لهجمات التفريغ

• اقرأ المحتوى الكامل لأي طلب توقيع من المحفظة قبل التأكيد، لا فقط الوصف الرئيسي الذي يقدمه الموقع، وكن حذراً بشكل خاص من الطلبات الموسومة ببساطة بأنها توقيع بدلاً من معاملة مُفصَّلة بوضوح.
• اعتبر الاستعجال علامة تحذير. فالعدادات التنازلية، ونوافذ المطالبة المحدودة، وعبارات مثل «الساعات الأخيرة» تكتيكات ضغط شائعة تُستخدم لدفع الضحية بعيداً عن المراجعة الحذرة.
• استخدم محفظة أو إضافة متصفح ترصد العقود الخبيثة المعروفة وبنية التفريغ التحتية، وحافظ على تحديثها، إذ يُغيِّر مشغّلو أدوات التفريغ النطاقات بانتظام للبقاء متقدمين على قوائم الحظر.
• احتفظ بمحفظة منفصلة برصيد منخفض للتفاعل مع المواقع الجديدة أو غير المألوفة، وصفحات السك، ومطالبات التوزيع المجاني، بدلاً من توصيل محفظة رئيسية تحمل أموالاً مهمة.
• راجع بشكل دوري تصاريح الرموز القائمة وألغِها باستخدام أداة فحص تصاريح موثوقة، حتى بالنسبة للمواقع التي بدت شرعية في حينها.

ما الذي يتغير بعد وقوع هجوم تفريغ بالفعل

بمجرد تنفيذ عقد تفريغ، تتغير علاقة المحفظة بأي أصل لا تزال تحتفظ به فوراً، حتى بالنسبة للرموز التي لم تمسها أداة التفريغ في المعاملة الأولى. فأي تصريح حصل عليه عقد أداة التفريغ ولم يمارسه بعد يبقى نشطاً وقابلاً للاستغلال حتى يُلغى يدوياً، لذا يمكن تفريغ محفظة مرة ثانية من التوقيع نفسه بعد أيام أو أسابيع من الحادثة الأولى إذا أُغفلت هذه الخطوة. ومن المفيد أيضاً التحقق مما إذا كان التوقيع نفسه قد منح وصولاً عبر أكثر من معيار رمز واحد، إذ تطلب بعض مسارات التفريغ موافقة تغطي مجموعة NFT كاملة عبر استدعاء واحد لـ setApprovalForAll بدلاً من قطعة واحدة محددة، تاركة كل قطعة NFT من تلك المجموعة في المحفظة معرَّضة للخطر حتى لو أُخذت قطعة واحدة فقط في البداية.

عندما ينجح هجوم تفريغ بالفعل، يكون المسار الواقعي للمضي قدماً هو التوثيق والتتبع لا الاسترجاع. ويمكن للمحققين، بمن فيهم شركات مثل Coin Trace، أحياناً متابعة حركة الأموال المفرَّغة عبر المحافظ ومنصات التداول لتحديد أين استقرت، وهو ما قد يدعم أحياناً جهد استرداد أو إحالة لجهات إنفاذ القانون، مع أنه لا يمكن لأي محقق مشروع أن يَعد باستعادة الأموال المسروقة في حالة بعينها.

الأسئلة الشائعة

المصادر وقراءات إضافية

• Inferno Drainer Scam: Crypto Wallet Draining Malware Explained · Group-IB
• How a 'crypto drainer' tricked people into handing over $80 million · The Record
• Inferno Drainer Spoofs Over 100 Crypto Brands to Steal $80m+ · Infosecurity Magazine

مقالات ذات صلة