تضليل社工盯上某المنصة用户：黑暗森林里的"客服"

مؤخراً، أصبحت هجمات الهندسة الاجتماعية في مجال الأصول المشفرة تهديداً كبيراً لأمان أموال المستخدمين. منذ عام 2025، تكررت حوادث الاحتيال الهندسي الاجتماعي ضد مستخدمي منصة تداول معروفة، مما أثار اهتماماً واسعاً في المجتمع. هذه الحوادث ليست حالات معزولة، بل هي نوع من أنواع التضليل التي تتميز بالاستمرارية والتنظيم.

في 15 مايو، أصدرت المنصة إعلانًا تؤكد فيه الشائعات السابقة حول وجود "دخيل" داخل المنصة. وذكرت التقارير أن وزارة العدل الأمريكية قد بدأت تحقيقًا في حادثة تسرب البيانات هذه.

ستكشف هذه المقالة عن الأساليب الرئيسية التي يستخدمها المحتالون من خلال تنظيم المعلومات التي قدمها العديد من الباحثين في الأمن والضحايا، وستستكشف كيفية التصدي بفعالية لهذه التضليل من وجهتي نظر المنصة والمستخدم.

التحليل التاريخي

قال زاك، المحقق في سلسلة الكتل، في تحديثه على المنصة الاجتماعية في 7 مايو، إنه في الأسبوع الماضي فقط، تم سرقة أكثر من 45 مليون دولار من مستخدمي هذه المنصة بسبب الاحتيال الهندسي الاجتماعي.

في العام الماضي، كشف زاك عدة مرات عن حوادث سرقة مستخدمي المنصة، حيث بلغت خسائر بعض الضحايا عشرات الملايين من الدولارات. في فبراير 2025، نشر تحقيقًا مفصلًا أفاد بأن إجمالي الأموال المسروقة بسبب عمليات الاحتيال المماثلة بين ديسمبر 2024 ويناير 2025 تجاوز 65 مليون دولار، وكشف أن المنصة تواجه أزمة خطيرة من "تضليل" اجتماعي، حيث تواصل هذه الهجمات الإضرار بأمان أصول المستخدمين بمعدل سنوي يبلغ 300 مليون دولار. وأشار أيضًا إلى:

• يتم تقسيم العصابات التي تقود هذا النوع من التضليل إلى فئتين: الفئة الأولى هي المهاجمون ذوو المستوى المنخفض من دائرة Com، بينما الفئة الأخرى هي المنظمات الإجرامية الإلكترونية الموجودة في الهند؛
• تستهدف عصابات الاحتيال بشكل أساسي المستخدمين الأمريكيين، وتتميز طرق تنفيذ الجرائم بالتوحيد وبلوغ مراحل ناضجة في أساليب الحوار؛
• قد تكون قيمة الخسائر الفعلية أعلى بكثير من الإحصائيات المرئية على السلسلة، لأنها لا تشمل المعلومات غير المعلنة مثل تذاكر خدمة العملاء وسجلات الشكاوى المقدمة للشرطة التي لا يمكن الحصول عليها.

تضليل手法

في هذه الحادثة، لم يتم اختراق النظام الفني للمنصة، بل استغل المحتالون صلاحيات موظفيها الداخليين للحصول على بعض المعلومات الحساسة للمستخدمين. تشمل هذه المعلومات: الاسم، العنوان، معلومات الاتصال، بيانات الحساب، صور الهوية، وغيرها. الهدف النهائي للمحتالين هو استخدام أساليب الهندسة الاجتماعية لتوجيه المستخدمين لإجراء التحويلات.

تغيرت طريقة الهجوم من الأسلوب التقليدي "الصيد بالشبكة" إلى "الضرب الدقيق"، مما يجعلها تُعتبر خدعة اجتماعية "مخصصة تمامًا". المسار النموذجي للجريمة هو كما يلي:

1. الاتصال بالمستخدم بصفة "خدمة العملاء الرسمية"

يستخدم المحتالون أنظمة هاتف مزيفة لانتحال صفة خدمة العملاء للمنصة، ويتصلون بالمستخدمين ليقولوا إن "حسابهم تعرض لتسجيل دخول غير قانوني"، أو "تم اكتشاف استبعاد غير عادي"، مما يخلق أجواء من الطوارئ. ثم يقومون بإرسال رسائل بريد إلكتروني أو رسائل نصية مزيفة تحتوي على أرقام تذاكر زائفة أو روابط "استعادة"، ويوجهون المستخدمين للعمل. قد تشير هذه الروابط إلى واجهة منصة مقلدة، وحتى إرسال رسائل بريد إلكتروني تبدو وكأنها تأتي من نطاق رسمي، حيث تستخدم بعض الرسائل تقنيات إعادة التوجيه لتجاوز الحماية الأمنية.

2. توجيه المستخدمين لتنزيل محفظة ذاتية الاستضافة

سوف يقوم المحتالون بإقناع المستخدمين بتحويل الأموال إلى "محفظة آمنة" تحت ذريعة "حماية الأصول"، وسيقومون أيضًا بمساعدة المستخدمين على تثبيت محفظة ذاتية الحفظ، وإرشادهم لنقل الأصول التي كانت محفوظة على المنصة إلى محفظة جديدة تم إنشاؤها.

3. تحفيز المستخدمين على استخدام الكلمات المساعدة التي يقدمها المحتالون

على عكس "تضليل" التقليدي "للحصول على كلمات المرور"، يقوم المحتالون بتقديم مجموعة من كلمات المرور التي أنشأوها بأنفسهم، مما يغرر المستخدمين لاستخدامها كـ "محفظة جديدة رسمية".

4.تضليل者进行资金盗取

عندما يكون الضحايا في حالة من التوتر والقلق ويثقون في "خدمة العملاء"، فإنهم يسهل عليهم الوقوع في الفخ - من وجهة نظرهم، فإن المحفظة "التي تقدمها الرسمية" ستكون بالطبع أكثر أمانًا من المحفظة القديمة "التي يُشتبه في أنها تعرضت للاختراق". والنتيجة هي أنه بمجرد تحويل الأموال إلى هذه المحفظة الجديدة، يمكن للمحتالين على الفور تحويلها بعيدًا. Not your keys, not your coins. - في هجمات الهندسة الاجتماعية، تم التحقق من هذه الفكرة مرة أخرى بشكل صارم.

بالإضافة إلى ذلك، تدعي بعض رسائل البريد الإلكتروني الاحتيالية "بسبب حكم الدعوى الجماعية، ستقوم المنصة بالانتقال بالكامل إلى المحافظ الذاتية"، وتطلب من المستخدمين إكمال نقل الأصول قبل 1 أبريل. تحت الضغط الزمني الملح والتلميحات النفسية لـ"التوجيهات الرسمية"، يصبح المستخدمون أكثر استعدادًا للتعاون في الإجراءات.

وفقًا للباحثين في مجال الأمن، فإن هذه الهجمات غالبًا ما تُخطط وتُنفذ بشكل منظم.

• أدوات الاحتيال مكتملة: يستخدم المحتالون نظام PBX لتزوير أرقام المتصلين، مما يحاكي مكالمات خدمة العملاء الرسمية. عند إرسال رسائل البريد الإلكتروني الاحتيالية، يتم استخدام الروبوتات على منصات التواصل الاجتماعي لتقليد البريد الإلكتروني الرسمي، مرفقًا بـ "دليل استعادة الحساب" لتوجيه التحويل.
• هدف دقيق: يعتمد المحتالون على بيانات المستخدمين المسروقة المشتراة من قنوات المنصات الاجتماعية والويب المظلم لاستهداف المستخدمين في المنطقة الأمريكية كهدف رئيسي، وقد يستخدمون الذكاء الاصطناعي لمعالجة البيانات المسروقة، وتجزئة وإعادة تنظيم أرقام الهواتف، وتوليد ملفات TXT بكميات كبيرة، ثم إرسال رسائل نصية احتيالية باستخدام برامج الاختراق.
• عملية الخداع سلسة: من الهاتف، الرسائل النصية إلى البريد الإلكتروني، غالبًا ما تكون مسارات الاحتيال متصلة بسلاسة، تشمل العبارات الشائعة في الصيد "تم استلام طلب سحب من الحساب"، "تم إعادة تعيين كلمة المرور"، "ظهر تسجيل دخول غير عادي للحساب" وما إلى ذلك، مما يستمر في تحفيز الضحية لإجراء "تحقق من الأمان"، حتى يتم الانتهاء من نقل المحفظة.

التحليل على السلسلة

بعد تحليل نظام مكافحة غسيل الأموال والتتبع على السلسلة، فإن هؤلاء المحتالين يتمتعون بقدرة تشغيل قوية على السلسلة، فيما يلي بعض المعلومات الأساسية:

تغطي أهداف هجمات المحتالين مجموعة متنوعة من الأصول التي يمتلكها المستخدمون، حيث تتركز أوقات نشاط هذه العناوين بين ديسمبر 2024 ومايو 2025، والأصول المستهدفة الرئيسية هي BTC وETH. تعد BTC هي الهدف الرئيسي الحالي للاحتال، حيث تصل الأرباح من عدة عناوين في وقت واحد إلى مئات من BTC، بقيمة فردية تصل إلى ملايين الدولارات.

بعد الحصول على الأموال، يقوم المحتالون بسرعة باستخدام مجموعة من العمليات لغسل الأصول وتحويلها، والنموذج الرئيسي هو كما يلي:

• يتم غالبًا تبادل الأصول من نوع ETH بسرعة من خلال DEX إلى DAI أو USDT، ثم يتم نقلها بشكل متفرق إلى عدة عناوين جديدة، حيث تدخل بعض الأصول إلى المنصة المركزية؛

• يتم نقل BTC بشكل رئيسي عبر جسر عبر السلاسل إلى الإيثيريوم، ثم يتم تحويله إلى DAI أو USDT لتجنب مخاطر التتبع.

تظل العديد من عناوين التضليل في حالة "سكون" بعد استلام DAI أو USDT ولم يتم تحويلها بعد.

لتجنب التفاعل مع عناوين مشبوهة مما يؤدي إلى مخاطر تجميد الأصول، يُنصح المستخدمون باستخدام نظام مكافحة غسيل الأموال وتتبع العناوين على السلسلة قبل إجراء المعاملات لإجراء اختبار مخاطر على العنوان المستهدف، وذلك لتجنب التهديدات المحتملة.

تدابير المواجهة

المنصة

تتمثل وسائل الأمان السائدة حالياً بشكل أكبر في "الطبقة التقنية"، بينما غالباً ما تتجاوز عمليات الاحتيال الاجتماعي هذه الآليات، وتستهدف نقاط الضعف النفسية والسلوكية لدى المستخدمين. لذلك، يُنصح بأن تقوم المنصة بدمج التعليم المستخدم، التدريب الأمني، وتصميم قابلية الاستخدام، لإنشاء مجموعة من "خط الدفاع الأمني الموجه نحو الإنسان".

• إرسال محتوى تعليم مكافحة التضليل بشكل دوري: تعزيز قدرة المستخدمين على مواجهة الاحتيال من خلال نافذة التطبيق، واجهة تأكيد المعاملات، والبريد الإلكتروني، وغيرها من الوسائل؛
• تحسين نموذج إدارة المخاطر، وإدخال "التعرف على السلوكيات الشاذة التفاعلية": معظم عمليات الاحتيال عبر الشبكات الاجتماعية تحث المستخدمين على إتمام سلسلة من العمليات في فترة زمنية قصيرة (مثل التحويلات، تغييرات القوائم البيضاء، ربط الأجهزة، إلخ). يجب على المنصة التعرف على التفاعلات المشبوهة بناءً على نموذج سلسلة السلوك (مثل "تفاعل متكرر + عنوان جديد + سحب كبير")، وتفعيل فترة هدوء أو آلية مراجعة يدوية.
• تنظيم قنوات خدمة العملاء وآلية التحقق: غالبًا ما يتظاهر المحتالون بأنهم خدمة العملاء لإرباك المستخدمين، يجب على المنصة توحيد نماذج الهاتف والرسائل القصيرة والبريد الإلكتروني، وتوفير "مدخل التحقق من خدمة العملاء"، وتوضيح قناة الاتصال الرسمية الوحيدة، لتجنب الالتباس.

مستخدم

• تنفيذ سياسة عزل الهوية: تجنب استخدام نفس البريد الإلكتروني، رقم الهاتف على منصات متعددة للحد من مخاطر التبعية، يمكن استخدام أدوات فحص التسريبات للتحقق بانتظام مما إذا كان البريد الإلكتروني قد تم تسريبه.

• تفعيل قائمة بيضاء للتحويل وآلية تبريد السحب: تحديد عناوين موثوقة مسبقًا، لتقليل مخاطر فقدان الأموال في حالات الطوارئ.

• متابعة المعلومات الأمنية باستمرار: من خلال شركات الأمن، وسائل الإعلام، المنصة، وغيرها من القنوات، تعرف على أحدث أساليب الهجوم وابقَ يقظًا. حاليًا، سيتم إطلاق منصة تدريب على الصيد الاحتيالي في Web3 تم تطويرها من قبل عدة وكالات أمنية، حيث ستحاكي المنصة مجموعة متنوعة من أساليب الصيد الاحتيالي النموذجية، بما في ذلك هجمات الهندسة الاجتماعية، وصيد التوقيع، والتفاعل مع العقود الضارة، بالإضافة إلى تحديث محتوى السيناريوهات باستمرار من خلال جمع حالات حقيقية خلال المناقشات التاريخية. مما يُمكن المستخدمين من تعزيز قدرتهم على التعرف والتعامل في بيئة خالية من المخاطر.

• انتبه للمخاطر على الأرض وحماية الخصوصية: قد يؤدي تسرب المعلومات الشخصية أيضًا إلى مشاكل تتعلق بالسلامة الشخصية.

هذا ليس مجرد قلق غير مبرر، فمنذ بداية هذا العام، تعرض العاملون في مجال التشفير/المستخدمون لعدة أحداث تهدد سلامتهم الشخصية. نظرًا لأن البيانات المسربة تتضمن أسماء، عناوين، معلومات الاتصال، بيانات الحساب، صور بطاقات الهوية، يجب على المستخدمين المعنيين أن يكونوا أكثر حذرًا في الحياة الواقعية وأن ينتبهوا لسلامتهم.

بشكل عام، يجب أن تبقى مشككاً وتواصل التحقق. في حالة وجود عمليات عاجلة، يجب عليك التأكد من هوية الطرف الآخر، والتحقق بشكل مستقل من خلال القنوات الرسمية، وتجنب اتخاذ قرارات لا يمكن التراجع عنها تحت الضغط.

ملخص

تظهر هذه الحادثة مرة أخرى وجود نقص واضح في حماية بيانات العملاء والأصول في الصناعة، في مواجهة أساليب هجوم الهندسة الاجتماعية التي أصبحت أكثر نضجًا. ومن الجدير بالتحذير أنه حتى إذا كانت المناصب ذات الصلة في المنصة لا تمتلك صلاحيات مالية، فإن نقص الوعي الأمني الكافي والقدرة يمكن أن يؤدي أيضًا إلى عواقب وخيمة بسبب التسرب غير المقصود أو التجنيد. مع توسع حجم المنصة، تزداد تعقيدات إدارة الأمان البشري، مما أصبح واحدًا من أصعب المخاطر التي تواجه الصناعة. لذلك، يجب على المنصة، أثناء تعزيز آليات الأمان على السلسلة، أن تبني أيضًا نظام "دفاع ضد الهندسة الاجتماعية" بشكل منهجي يغطي الموظفين الداخليين والخدمات الخارجية، ودمج المخاطر البشرية في الاستراتيجية الأمنية الشاملة.

علاوة على ذلك، بمجرد اكتشاف أن الهجوم ليس حادثًا معزولًا، بل هو تهديد مستمر منظم وذو نطاق، يجب على المنصة الاستجابة في أقرب وقت ممكن، والتحقق من الثغرات المحتملة، وتنبيه المستخدمين لاتخاذ الاحتياطات، والسيطرة على نطاق الأضرار. فقط من خلال الاستجابة المزدوجة على المستوى الفني والتنظيمي، يمكن الحفاظ على الثقة والحدود الحقيقية في بيئة أمان تتزايد تعقيدًا.