التحذيرات الرسمية يمكن أن تتحول إلى أدوات لنقل الأصول، وهذا أمر غريب جدًا في هذا الزمن. في يوم عيد الميلاد، شاهد عدد من مستخدمي Trust Wallet كيف تم سرقة بيتكوين وإيثيريوم وسولانا من محافظهم خلال دقائق، وكأن شخصًا ما نقل أشيائهم مباشرة من باب منزلك. الخسائر الناتجة عن هذا الاختراق بلغت حوالي 7 ملايين دولار، لكن الأمر الأكثر إيلامًا هو أن ما يُسمى بحماية أمان المحافظ غير الخاضعة للسيطرة يعتمد في الواقع على وعود وهمية.

كيف حدثت الحادثة

في 24 ديسمبر، أصدرت Trust Wallet تحديثًا لنسخة Chrome الإضافية رقم v2.68 للمستخدمين. بدا الأمر كصيانة عادية، لكن المخترقين أدخلوا داخل التحديث سكربت خبيث يُسمى "4482.js". بمجرد أن يقوم المستخدم باستيراد عبارة الاسترداد داخل الإضافة، يقوم هذا السكربت بسرقة معلومات المفتاح الخاص وإرسالها سرًا إلى النطاق الزائف api.metrics-trustwallet.com الذي يسيطر عليه المخترقون.

عملية الهجوم كانت دقيقة جدًا:

- في 8 ديسمبر، قام المخترقون بتسجيل النطاق المزيف
- في 22 ديسمبر، أطلقوا نسخة مصابة بشكل سري
- في 24-25 ديسمبر، تم مسح محافظ مئات المستخدمين فور فتحها أو استيراد عبارة الاسترداد

أحد المستخدمين عبر وسائل التواصل الاجتماعي قال: "لقد استوردت عبارة قصيرة، وخلال أقل من 10 دقائق، فقدت 300,000 دولار!" الأمر لم يعد مجرد مشكلة تقنية، بل هو إهانة علنية لنظام أمان المحافظ بأكمله.

لماذا أصبحت القنوات الرسمية نقطة اختراق

وهذا هو الجزء الأكثر سخرية. يثق المستخدمون في التحديثات الرسمية لأنها تأتي من المصدر الرسمي. لكن بالضبط، تم استغلال هذا الثقة. إذا قمت بتنزيل الإضافة الملوثة من متجر Chrome الرسمي، فالأمر يكاد يكون لا مفر منه. حتى أقوى منطق المحافظ لن ينقذك، لأن المشكلة تكمن في سلسلة التوريد.

كل حادثة من هذا النوع تذكرنا بمشكلة قديمة متجذرة في مجال الأصول المشفرة: التوزيع اللامركزي لا يساوي الأمان، وعدم السيطرة على المحافظ ليس حلاً سحريًا. عوامل بشرية، عوامل نظامية، وحتى القنوات الرسمية نفسها يمكن أن تكون نقاط ضعف. الحفاظ على مفتاحك الخاص وعبارة الاسترداد هو الأولوية، لكن متى يمكن أن نحقق ذلك بدون مخاطر على الإطلاق؟