اكتشاف أن محفظة عملات مشفرة قد اخترقت يثير نوعاً محدداً من الذعر، يزيده سوءاً أن معاملة بلوكتشين مؤكَّدة، على خلاف بطاقة ائتمان مسروقة، لا يمكن ببساطة عكسها بالاتصال بأحد. ما يحدث في الدقائق والساعات التي تعقب الاكتشاف يحدد فعلياً مقدار ما لا يزال بالإمكان احتواؤه، ويستحق الأمر أن يكون لديك تسلسل واضح ومرتَّب في ذهنك قبل أن تحتاج إليه على الإطلاق.
الاحتواء الفوري، بالترتيب
اقطع أي وصول إضافي أولاً
إذا كان الاختراق لا يزال نشطاً، أي أن الأموال لا تزال تتحرك أو أن المهاجم لا يزال يبدو أنه يملك شكلاً من أشكال الوصول، فالأولوية الأولى هي قطع ذلك الوصول بدلاً من تقييم النطاق الكامل لما حدث. افصل الجهاز المتأثر عن الإنترنت، وأغلق أي جلسات متصفح نشطة للمحفظة، وافصل المحفظة عن كل تطبيق لامركزي تملك وصول تصريح إليه.
انقل الأموال المتبقية إلى محفظة جديدة
أي أصول متبقية في المحفظة المخترقة ينبغي نقلها فوراً إلى محفظة جديدة تماماً، تُولَّد بعبارة استرداد أُنشئت حديثاً على جهاز منفصل وموثوق. لا تُعِد استخدام عبارة المحفظة المخترقة أو مفتاحها الخاص بأي شكل من الأشكال أبداً، حتى لو تأثر جزء فقط من حيازات المحفظة، إذ لا توجد طريقة موثوقة للتأكد من أن باقي العبارة لم يتعرض هو الآخر للكشف.
ألغِ التصاريح القائمة
بمجرد تأمين الأموال المتبقية، راجع وألغِ أي تصاريح رموز منحتها المحفظة المخترقة، إذ تعتمد بعض الهجمات على تصريح قائم يمكن ممارسته مرة أخرى لاحقاً بدلاً من تحويل فوري لمرة واحدة. يشرح دليلنا حول إلغاء تصاريح الرموز هذه العملية بالتفصيل.
إذا كان أكثر من شخص يملك وصولاً إلى المحفظة
عندما تكون المحفظة المخترقة مشتركة بين مؤسسين شركاء، أو فريق عمل، أو أفراد عائلة، يتضمن الاحتواء خطوة إضافية تتجاوز تأمين الوصول التقني: إبلاغ كل شخص آخر يملك وصولاً مشروعاً فوراً، إذ قد يحمل جزءاً من إعداد توقيع متعدد، أو عبارة نسخ احتياطي، أو تصريحاً على حساب متصل يحتاج هو الآخر إلى الإلغاء أو التجديد. وإلا فقد يمتد اختراق بدأ بجهاز شخص واحد بهدوء إلى كل شخص آخر لا يزال يثق ببنية المحفظة المشتركة نفسها. ينبغي أيضاً للشركات التي تتعامل مع اختراق من هذا النوع الحفاظ على سجلات تصلح لـتحقيق تجاري رسمي، إذ غالباً ما يكون معيار الإثبات المطلوب لخسارة تخص شركة أعلى منه بالنسبة لخسارة فردية.
لا يمكن جعل محفظة مخترقة آمنة مرة أخرى. لا يمكن سوى التخلي عنها لصالح محفظة جديدة. الاستمرار في استخدام محفظة مخترقة، حتى بحذر، يترك أي أصول متبقية معرَّضة للوصول نفسه الذي حصل عليه المهاجم بالفعل.
جدول زمني واقعي لاستجابة أُديرت بشكل جيد
- من الدقيقة صفر إلى الدقيقة الخامسة: يُلاحظ الاختراق، إما عبر تنبيه معاملة غير متوقعة أو رصيد محفظة لم يعد يطابق التوقعات، ويُفصَل الجهاز المتأثر فوراً عن الإنترنت.
- من الدقيقة الخامسة إلى العشرين: تُنقل الأموال المتبقية إلى محفظة جديدة تُولَّد على جهاز منفصل وموثوق، مع إعطاء الأولوية للأصول الأكثر قيمة أولاً إذا كان الوقت أو تكاليف الغاز تجعل نقل كل شيء دفعة واحدة غير عملي.
- من الدقيقة العشرين إلى الستين: تُراجَع وتُلغى كل صلة بتطبيق لامركزي وكل تصريح رمز مرتبط بالمحفظة المخترقة باستخدام أداة موثوقة لفحص التصاريح.
- من الساعة الأولى إلى الثالثة: تُوثَّق الحادثة بالتفصيل، بما في ذلك معرّفات المعاملات وعناوين الوجهة والطوابع الزمنية ولقطات الشاشة، بينما لا يزال تسلسل الأحداث حاضراً في الذهن ويسهل تذكره بدقة.
- من الساعة الثالثة إلى الرابعة والعشرين: تُقدَّم بلاغات إلى أي منصة تداول مرتبطة بعنوان الاستلام وإلى الجهة الوطنية المختصة بجرائم الإنترنت، ويُتخذ قرار بشأن ما إذا كان تحقيق تتبع احترافي يستحق المتابعة بالنظر إلى المبلغ المعني.
لن تمر كل حالة عبر هذا الجدول الزمني بالوتيرة نفسها تماماً، ومن الواضح أن اختراقاً اكتُشف بعد أيام من وقوعه لا يمكنه إعادة خلق الساعة الأولى بأثر رجعي. قيمة التفكير بمنطق الجدول الزمني هي أنه يرسّخ ترتيباً افتراضياً للإجراءات، بحيث لا تضطر ضحية في خضم حدث مرهق ومربك إلى ابتكار خطة استجابة من الصفر في الوقت الفعلي.
كيف يتغير الوضع مع مرور الوقت
في الساعة الأولى بعد الاختراق، تكون الأولوية شبه كاملة للاحتواء، أي وقف مزيد من الخسارة وتأمين ما تبقى. وخلال اليوم الأول، تتحول الأولوية نحو التوثيق والإبلاغ، إذ تميل المنصات التي قد لا تزال قادرة على تجميد الأموال إلى التحرك بشكل أسرع، إن تحركت أصلاً، كلما أُبلِغَت في وقت أبكر. وبحلول الأسبوع الأول، إذا لم تكن الأموال المسروقة قد جُمِّدت بالفعل لدى منصة تداول، يتحول التركيز الواقعي مرة أخرى نحو التتبع وبناء سجل موثَّق لجهات إنفاذ القانون أو لمطالبة مدنية، إذ تكون الأموال قد انتقلت عادة عبر عدد كافٍ من المحافظ الوسيطة بحلول تلك المرحلة بحيث يكون أي فرصة للتجميد عند الوجهة الأصلية قد فاتت على الأرجح. فهم أي مرحلة تنطبق على حالة معيَّنة يساعد على وضع توقعات واقعية. فالضحية التي تبلّغ عن سرقة بعد شهر من وقوعها ليست في الموقف نفسه الذي تكون فيه ضحية أبلغت خلال الساعة الأولى، وتختلف الخطوات التالية المناسبة تبعاً لذلك، مع أن الخسارة الأساسية وأثرها العاطفي يبقيان ذاتهما.
التوثيق، قبل أن تتلاشى الذاكرة
- معرّف كل معاملة غير مصرح بها وعناوين المحفظة في طرفي كل تحويل.
- الطوابع الزمنية الدقيقة لوقوع كل معاملة ووقت ملاحظة الاختراق لأول مرة.
- لقطات شاشة للمعاملات، وأي رسالة تصيد احتيالي أو موقع مزيف متورط، وأي إشعارات نشاط حساب ذات صلة.
- سرد مكتوب لما حدث مباشرة قبل الاختراق، بما في ذلك أي موقع تمت زيارته، أو رسالة وردت، أو برمجية ثُبِّتت في الأيام السابقة.
يهم هذا التوثيق أكثر بكثير مما يدرك معظم الضحايا في البداية. إنه الأساس لبلاغ يُقدَّم لجهات إنفاذ القانون، ولأي طلب يُوجَّه إلى منصة تداول لوسم عنوان استلام، ولجهد تتبع على البلوكتشين يحاول تحديد أين استقرت الأموال في نهاية المطاف. تصبح أدلة من هذا النوع أصعب بكثير على إعادة بنائها حتى بعد أيام قليلة، بمجرد أن تبدأ ذاكرة التسلسل الدقيق بالتلاشي.
الإبلاغ عن الحادثة
أبلغ عن السرقة إلى منصة التداول المرتبطة بعنوان المحفظة المستلمة، إن أمكن تحديدها، إذ يمكن لمنصات التداول أحياناً وسم أو تجميد أموال لم تُسحب أو تُحوَّل بعد. وبشكل منفصل، قدِّم بلاغاً إلى الجهة الوطنية المختصة بجرائم الإنترنت، كمركز شكاوى جرائم الإنترنت التابع لمكتب التحقيقات الفيدرالي في الولايات المتحدة، حتى وإن كان الاسترداد عبر جهات إنفاذ القانون وحدها غير مؤكد. كما يهم البلاغ الموثَّق لأي غرض تأميني أو ضريبي أو قانوني لاحق مرتبط بالخسارة.
- التاريخ والوقت والمنطقة الزمنية الدقيقة لوقوع المعاملة غير المصرح بها، إلى جانب شبكة البلوكتشين المعنية.
- تجزئة أو معرّف المعاملة الكامل لكل تحويل غير مصرح به، لا الأول فقط في حال وقوع أكثر من واحد.
- عنوان المحفظة التي أرسلت الأموال وكل عنوان وجهة انتقلت إليه، إن كان معروفاً.
- أي ملف أو رسالة أو بريد إلكتروني أو موقع يُعتقد أنه مرتبط بكيفية وقوع الاختراق، مُرفَقاً أو موصوفاً بأكبر قدر ممكن من التفصيل.
يستحق الأمر وضع توقعات واقعية بشأن ما يحققه بلاغ لجهات إنفاذ القانون في المدى القصير. تجمع وكالات مثل IC3 التابع لمكتب التحقيقات الفيدرالي البلاغات أساساً لتحديد الأنماط والعمليات الإجرامية الأكبر، وقد لا تحصل حالة فردية، خصوصاً إن كانت صغيرة، على محقق مخصَّص فوراً. هذا لا يجعل البلاغ عديم الجدوى. فالبيانات المجمَّعة من بلاغات فردية عديدة غالباً ما تدعم في نهاية المطاف مصادرة أو ملاحقة قضائية أكبر، ويظل البلاغ الموثَّق ضرورياً لأي مطالبة تأمينية أو ضريبية أو مدنية مستقبلية مرتبطة بالخسارة، بغض النظر عما إذا كان قد عُيِّن محقق فوراً أم لا.
تتبع وجهة الأموال
بما أن نشاط البلوكتشين يُسجَّل بشكل دائم، غالباً ما يكون بالإمكان تتبع وجهة انتقال الأموال المسروقة بدقة بعد السرقة الأولية، حتى عبر عدة قفزات أو عبر شبكات بلوكتشين مختلفة. لا يضمن ذلك التتبع استرداد الأموال، لكنه ينتج سرداً موثَّقاً لتدفق الأموال يمكن أن يدعم إحالة لجهات إنفاذ القانون أو طلب تجميد لدى منصة تداول. شرح عام لكيفية عمل هذه العملية متاح في دليلنا حول كيفية تتبع محققي البلوكتشين للأموال المسروقة، وشرح أكثر تحديداً لتتبع البيتكوين المسروق تحديداً متاح في دليلنا حول تتبع البيتكوين المسروق.
أخطاء شائعة تزيد الأمر سوءاً
- النشر العلني عن السرقة، بما في ذلك معرّف المعاملة أو عنوان المحفظة، على وسائل التواصل الاجتماعي قبل الإبلاغ عنها إلى منصة تداول أو محقق، إذ قد ينبّه ذلك المهاجم لتسريع غسل الأموال.
- محاولة التواصل أو التفاوض مباشرة مع المهاجم، سواء عبر رسالة على السلسلة أو عنوان بريد إلكتروني تُرك في موقع تصيد احتيالي، وهو ما نادراً ما ينتج عنه استرداد للأموال وقد يعرّض الضحية لاستهداف إضافي أحياناً.
- دفع رسم مقدَّم لشخص غريب يتواصل مع الضحية عارضاً ضمان استرداد الأموال بعد وقت قصير من ظهور السرقة على السلسلة، وهو نمط نتناوله بتعمق في دليلنا حول احتيال الاسترداد.
- الاستمرار في استخدام كلمات المرور أو عبارات الاسترداد أو الأجهزة نفسها المتورطة في الاختراق الأصلي لأي محفظة أو حساب جديد، على افتراض أن الثغرة المحددة قد عولجت بالفعل.
- الانتظار لجمع كل تفصيل بشكل مثالي قبل تقديم أي بلاغ على الإطلاق، في حين يمكن عادة تعديل بلاغ أولي أو استكماله لاحقاً كلما توفرت معلومات إضافية.
تجنّب الاحتيال الثاني
غالباً ما يُستهدف ضحايا اختراق المحفظة مرة أخرى بعد وقت قصير من قبل شخص يدّعي قدرته على استرداد الأموال المسروقة مقابل رسم مقدَّم، وأحياناً يتواصل مباشرة مع الضحية بتفاصيل تجعل العرض يبدو موثوقاً. لا يمكن لأي محقق مشروع أن يضمن نتيجة استرداد محددة، إذ لا يمكن لأي جهة، بما فيها جهات إنفاذ القانون، عكس معاملة على البلوكتشين. يتناول دليلنا حول احتيال الاسترداد الأنماط المحددة الواجب الانتباه إليها. تعمل الشركات التي تحقق في هذا النوع من السرقة، بما فيها Coin Trace، على أساس موثَّق وقائم على الحالة، وتوضح بصراحة أن الاسترداد يعتمد على وجهة انتقال الأموال وما إذا كان هناك مسار قابل للتنفيذ، لا على أي ضمان يُقدَّم مسبقاً.
الأسئلة الشائعة
يمكن أن يساعد أحياناً بتنبيه المجتمع الأوسع إلى عنوان خبيث، لكن النشر قبل الإبلاغ إلى منصة تداول أو محقق يحمل خطر تنبيه المهاجم لنقل الأموال أو غسلها بشكل أسرع. الإبلاغ عبر القنوات الرسمية أولاً هو عموماً التسلسل الأكثر أماناً.
أحياناً، لكن دون ضمان أبداً. يعتمد الاسترداد عموماً على مدى سرعة الإبلاغ عن السرقة، وما إذا كانت الأموال قد مرّت عبر منصة تداول منظَّمة قادرة على تجميدها، ومدى جودة توثيق مسار المعاملات. لا تنتهي كثير من الحالات باسترداد كامل.
لا حاجة لحذف برمجية المحفظة نفسها، لكن عبارة استرداد المحفظة وأي مفاتيح مشتقة منها لا ينبغي استخدامها مرة أخرى أبداً لأي أموال جديدة. تعامل مع بنية المحفظة بأكملها على أنها متقاعدة بشكل دائم.
بأسرع وقت ممكن. تضيق بسرعة النافذة الزمنية التي يمكن خلالها لمنصة التداول وسم أو تجميد الأموال الواردة بمجرد سحب تلك الأموال أو تحويلها، لذا فإن الإبلاغ خلال ساعات، لا أيام، يحسّن بشكل ملموس فرص أي تدخل.
نعم. يُنشئ البلاغ الرسمي سجلاً رسمياً للسرقة، يمكن أن يهم لمطالبات التأمين، والإبلاغ الضريبي، وأي إجراء مدني أو جنائي مستقبلي، كما يساهم في بيانات إنفاذ القانون الأوسع المستخدَمة لتحديد الجناة المتكررين والأنماط الأكبر.
المصادر وقراءات إضافية
- What To Know About Cryptocurrency and Scams · Federal Trade Commission
- New crypto payment scam alert · Federal Trade Commission
- Internet Crime Complaint Center · FBI Internet Crime Complaint Center (IC3)