$50 مليون USDT سرقت عبر عناوين وهمية: داخل هجوم تسميم على السلسلة المعقد

خطأ كارثي لمستخدم واحد للعملات الرقمية — نسخ عنوان محفظة من سجل المعاملات — أدى إلى فقدان ما يقرب من 50 مليون دولار من USDT. لم يستغل المهاجم أي ثغرة في العقود الذكية أو يختطف مفاتيح خاصة. بدلاً من ذلك، نفذ هجوم هندسة اجتماعية بسيط بشكل مخادع لكنه فعال بشكل مدمر: إنشاء عناوين وهمية تبدو متطابقة تقريبًا مع عنوان المستلم الشرعي. تؤكد هذه الحادثة حقيقة حاسمة في أمان العملات الرقمية: أقوى تشفير لا قيمة له عندما يكون أضعف حلقة هو السلوك البشري.

كيف تصبح العناوين المزيفة السلاح المثالي في عمليات تسميم العناوين

وفقًا لشركة أمن Web3 “Antivirus”، وقع الهجوم في تسلسل منسق بعناية. بدأ الضحية بما يعتبره معظم المتداولين إدارة مخاطر حكيمة: إرسال معاملة اختبارية بقيمة 50 USDT لتأكيد عنوان الوجهة قبل نقل الرصيد الرئيسي. كان من المفترض أن يحميهم هذا القرار، لكنه لم يفعل.

خلال دقائق من اكتشاف المعاملة الاختبارية، بدأ المهاجم في تنفيذ خطته. أنشأ عنوان محفظة مصمم خصيصًا ليحاكي عنوان المستلم الشرعي، مع التركيز بشكل خاص على مطابقة الحرف الأول والأخير. هنا تصبح العناوين المزيفة خطيرة جدًا: معظم مستكشفات البلوكتشين وواجهات المحافظ تعرض العناوين بشكل مختصر (تظهر فقط البادئة واللاحقة). عنوان يبدأ بـ “0x1234…” وينتهي بـ “…9XyZ” يبدو متطابقًا تقريبًا مع عنوان وهمي بنفس البداية والنهاية، حتى لو كانت الجزء الأوسط مختلفًا تمامًا.

لتعزيز الخداع، أرسل المهاجم كمية صغيرة جدًا من الرموز — “الغبار” — من هذا العنوان الوهمي مباشرة إلى محفظة الضحية. كانت هذه المعاملة الغبارية ذات هدف حاسم: تلوث سجل المعاملات الخاص بالضحية بسجل من العنوان المزيف. عندما استعد الضحية لاحقًا لنقل الـ 49,999,950 USDT المتبقية، اتبع الطريق الآمن الظاهر — نسخ العنوان مباشرة من سجل معاملاته الأخير، حيث ظهرت معاملة الغبار الآن كسجل مؤكد. دون علم، اختار عنوان المهاجم المماثل، وبدأ في نقل المبلغ الضخم مباشرة إلى محفظة المحتال.

لماذا تعتبر العناوين المزيفة والمعاملات الغبارية مستحيلة تقريبًا للدفاع ضدها

هجمات تسميم العناوين — خاصة تلك التي تستغل العناوين المزيفة — لا تستهدف البنية التحتية التقنية. إنها تستهدف النفسية البشرية والعادات المعتمدة للمستخدمين:

سلوك النسخ واللصق: معظم المستخدمين ينسخون عناوين المحافظ بدلاً من كتابتها يدويًا، مما يجعلهم عرضة لسجلات معاملات ملوثة.

التحقق من العنوان المختصر: أصبح التحقق من أول وأخير عدة أحرف هو الممارسة القياسية، لكن هذا يترك الجزء الأوسط — الذي غالبًا ما يكون أكثر من 30 حرفًا — غير موثوق به.

الثقة في سجلات المعاملات: يفترض المستخدمون بشكل طبيعي أنه إذا ظهر عنوان في سجل معاملاتهم المؤكد، فهو شرعي. يصبح هذا الافتراض عبئًا عندما يتم زرع عناوين وهمية عمدًا في ذلك السجل.

الاستهداف الآلي: تتفقد شبكات الروبوتات المتطورة باستمرار البلوكتشين بحثًا عن محافظ ذات رصيد عالٍ. بمجرد تحديدها، يتم قصف هذه الحسابات على الفور بمعاملات غبار من عناوين مزيفة. يلعب المهاجمون لعبة الأرقام: يرسلون آلاف المعاملات الغبارية يوميًا وينتظرون خطأ واحدًا مربحًا.

في هذه الحالة، بعد شهور أو سنوات من الصبر، أثمرت استراتيجية الروبوت بشكل كارثي. أدت لحظة تهاون واحدة لمستخدم إلى خسارة 50 مليون دولار.

تتبع المال: من العناوين المزيفة إلى التعتيم

كشفت التحليلات على السلسلة عن استراتيجية المهاجم بعد السرقة. بدلاً من الاحتفاظ بـ USDT المسروق، قام الجاني على الفور بـ:

1. تحويل USDT إلى ETH (إيثريوم)، لتحويل الأصول إلى رمز مختلف لتعقيد التتبع
2. تجزئة الأرصدة عبر محافظ وسيطة متعددة، مما يقسم مسار المعاملة إلى أجزاء أصغر
3. توجيه أجزاء عبر Tornado Cash، خدمة خلط العملات المشفرة المعتمدة المصممة لإخفاء مصدر الأموال

تقنيات غسيل الأموال المتطورة هذه تقلل بشكل كبير من فرص الاسترداد. فدمج تبادل الرموز، وتجزئة المحافظ، واستخدام خدمات الخلط يخلق مسارًا شبه مستحيل تتبعه — حتى مع الشفافية الكاملة على السلسلة.

نداء يائس من الضحية على السلسلة يظل بلا رد

في محاولة غير عادية لاسترداد الأموال، نشر الضحية رسالة مباشرة على السلسلة للمهاجم، يتفاوض من خلالها عبر البلوكتشين نفسه. عرضت الرسالة على المهاجم “مكافأة القبعة البيضاء” بقيمة مليون دولار إذا أعاد 98% من الأموال المسروقة خلال 48 ساعة. أضاف الضحية وزنًا قانونيًا للإنذار، محذرًا من تدخل سلطات إنفاذ القانون الدولية إذا رفض الهاكر.

“هذه فرصتك الأخيرة لحل الأمر سلميًا،” قرأت الرسالة. “الفشل في التعاون سيؤدي إلى إجراءات جنائية.”

حتى نشر التقرير، لم يتم استرداد أي أموال، وظل المهاجم صامتًا.

حماية أساسية: بناء دفاعك ضد العناوين المزيفة

تعد هذه الحادثة درسًا قاسيًا في أمان العملات الرقمية. الضعف ليس في تقنية البلوكتشين — بل في سلوك المستخدم النهائي. لحماية نفسك:

لا تعتمد على سجل المعاملات كمصدر وحيد للعناوين. حتى لو ظهر عنوان في معاملاتك المؤكدة، اعتبره غير موثوق حتى تؤكده بشكل مستقل عبر قنوات متعددة (التواصل المباشر مع المستلم، التحقق من خلال مستكشف البلوكتشين، إلخ).

تحقق من العنوان بالكامل، وليس فقط أجزاء منه. بدلاً من التحقق من أول وأخير الأحرف، قم بمراجعة العنوان بالكامل. استخدم أدوات مقارنة العناوين أو تحقق يدويًا من 50% على الأقل من الجزء الأوسط.

قم بتفعيل قائمة العناوين المسموح بها حيث يدعم محفظتك أو منصتك ذلك. تتيح قوائم السماح إنشاء قائمة مغلقة لعناوين السحب المعتمدة، مما يمنع التحويلات العرضية إلى محافظ غير معروفة — سواء كانت أخطاء مطبعية شرعية أو عناوين وهمية يسيطر عليها المهاجمون.

اعتبر المعاملات الغبارية غير المرغوب فيها علامات حمراء. إذا تلقيت تحويلات غير متوقعة من رموز في محفظتك — خاصة من عناوين غير مألوفة — تحقق قبل استخدام ذلك العنوان لأي تحويلات. غالبًا ما يتم زرع المعاملات الغبارية عمدًا من قبل المهاجمين بهدف تلويث سجل عنوانك.

استخدم محافظ أجهزة مع شاشات تحقق من العنوان. تعرض محافظ الأجهزة الممتازة عنوان الوجهة الكامل على شاشاتها الآمنة أثناء تأكيد المعاملة، متجاوزة الحاجة إلى الاعتماد على واجهات البرامج أو عرض العناوين المختصرة.

الدرس الصعب: نقرة واحدة، 50 مليون دولار ضاعت

تُظهر هذه الحالة حقيقة أساسية في عالم العملات الرقمية: أقوى أمان تشفير يصبح غير ذي جدوى عندما يغفل الإنسان. العناوين المزيفة، والمعاملات الغبارية، وخطط تسميم العناوين تمثل فئة من الهجمات التي لا يمكن لأي ابتكار في البلوكتشين حلها بالكامل. الحل يتطلب اليقظة، والاحتياط، ودرجة عالية من الشك في صحة العناوين.