FTX أعلنت خطة تعويض بعد تداولات غير مصرح بها في أكتوبر 2022

في أكتوبر 2022، أعلن سام بانكمان-فريد، الذي كان يدير FTX آنذاك، على تويتر خطة لتعويض حسابات تضررت من تداولات غير مصرح بها بنحو ستة ملايين دولار. وُصفت الخطة بأنها استثنائية وتخص حسابات FTX المعنية. الإعلان وحده لا يثبت سداد جميع التعويضات، ولا يمثل سياسة حالية لاسترداد الأموال.

هجمات عام 2022

تعلق الحادث باستخدام مفاتيح واجهات برمجة التطبيقات (API) في تداولات غير مصرح بها، ضمن خدمات منها 3Commas. وطلب بانكمان-فريد من المهاجمين إعادة نحو 5.7 ملايين دولار، أي 95% من المبلغ البالغ نحو ستة ملايين، خلال أربع وعشرين ساعة. وأشار أيضًا إلى معيار سماه «5-5»، يتناول خمسة ملايين دولار أو 5% في نقاش أوسع عن إعادة الأموال. أما وعده بعدم ملاحقة المهاجمين فلا يمنحهم حصانة جنائية؛ فقرار السلطات ليس بيده.

وفي بيان نشرته في أكتوبر 2022، نفت 3Commas تسرب المفاتيح من أنظمتها وقالت إن أنظمة أمن الحسابات وتشفير واجهات API لديها ولدى منصات التداول الشريكة لم تُخترق. كان ذلك موقف الشركة في حينه. لكنها أكدت في إشعار بتاريخ 29 ديسمبر 2022 كشف بيانات API تخص بعض المستخدمين، وأقرت بأنها رجحت سابقًا فرضية التصيد. لذلك لا ينبغي عرض النفي الأول بوصفه نتيجة نهائية للتحقيق.

شهد عام 2022 هجمات على منصات تداول وبروتوكولات تمويل لامركزي وجسور بين سلاسل الكتل ومجمعات سيولة. وتختلف الآليات بين ثغرة برمجية والتلاعب بالسوق وسرقة بيانات الدخول. ذكر المقال سرقة ETH وUSDC بقيمة تجاوزت 600 مليون دولار من جسر Ronin وفق التقديرات التاريخية، وحادث Wormhole البالغ نحو 320 مليون دولار في فبراير، والهجمات التي كانت حديثة آنذاك على BSC Token Hub وMango. أوضحت BNB Chain سحب مليوني BNB بسبب استغلال الثغرة. ولا يصح اعتبار رقم الخسارة الذي تجاوز 600 مليون دولار في المقال القديم صافي أموال خرجت نهائيًا من الشبكة؛ فقد ظل جزء كبير تحت السيطرة. أما Mango فارتبط بمبلغ تجاوز 100 مليون دولار في تقارير ذلك الوقت. بعض الهجمات استهدف كلمات المرور ومفاتيح API والمفاتيح الخاصة وعبارات الاسترداد مباشرة.

ما التصيد الاحتيالي؟

التصيد الاحتيالي نوع من الخداع ينتحل فيه المهاجم صفة جهة موثوقة للحصول على معلومات حساسة أو دفع المستخدم إلى إجراء خطر. قد يستخدم بريدًا إلكترونيًا مزيفًا أو صفحة دخول مقلدة أو تنزيلًا ضارًا. ويمكن لاسم نطاق قريب من الاسم الأصلي أن يساعد على خداع المستخدم غير المنتبه.
قد يجمع المحتال معلومات منشورة على شبكات التواصل ليجعل رسالته مقنعة ويستهدف شخصًا بعينه.

أبرز أنواع التصيد الاحتيالي

تختلف أساليب التصيد بحسب وسيلة الاتصال والجهة المستهدفة. وفيما يلي أمثلة شائعة.

• التصيد عبر البريد الإلكتروني: قد تتضمن الرسالة تهديدًا أو مهلة قصيرة تدفع المتلقي إلى التصرف دون تحقق. وقد تقوده إلى صفحة دخول مزيفة أو تنزيل ضار. لكن غياب الإلحاح أو الأخطاء لا يثبت سلامة الرسالة.

• التصيد الموجّه: يخصص المهاجم الرسالة باستخدام معلومات مثل اسم الضحية أو وظيفتها أو مسؤولياتها. معرفة هذه التفاصيل لا تثبت هوية المرسل.

• انتحال حسابات الدعم على شبكات التواصل: ينشئ المهاجم حسابًا يشبه حساب جهة أو شخص معروف. وحتى شارة التوثيق لا تكفي وحدها لإثبات سلامة الرسالة. من الطعوم توزيعات رموز أو هدايا مزيفة ووعود بمضاعفة العملات. وقد يتواصل موظف دعم مزعوم مع من يطلب المساعدة علنًا ليستدرجه إلى كشف معلومات حساسة.

• التصيد الذي يستهدف القيادات العليا: يُعرف هذا الأسلوب باسم Whaling ويستهدف المديرين برسائل مخصصة أو مستندات تتضمن روابط ضارة. وقد يؤدي نجاحه إلى كشف بيانات المؤسسة السرية أو تعريض أموالها للخطر.

مخاطر مرتبطة بالويب3

قد تستخدم حسابات متعددة في مجموعات Telegram وDiscord وشبكات التواصل للترويج لتوزيع رموز مزيف وإظهاره كأنه يحظى بشعبية. وربما يطلب الموقع المفتاح الخاص أو عبارة الاسترداد، أو توقيع إذن خطر. لا يتطلب توزيع مشروع للرموز تسليم عبارة الاسترداد.
قد يقود رابط في بريد أو رسالة خاصة إلى برمجية ضارة. وبحسب طريقة الإصابة، يمكنها مراقبة الحافظة واستبدال عنوان المحفظة المنسوخ بعنوان المهاجم. لا يعني النقر وحده أن كل برنامج يُثبت تلقائيًا، لكن يجب فحص العنوان النهائي والأذونات المطلوبة.

علامات التحذير وسبل تقليل المخاطر

ينبغي أن يدفعك طلب عاجل، مثل تحديث المحفظة قبل منتصف الليل لتجنب الحظر، إلى التحقق من الرسالة عبر قناة مستقلة. مع ذلك، لا تعتمد كل محاولات التصيد على الاستعجال.

قد تثير الأخطاء اللغوية أو النبرة غير المعتادة الشك، لكن الرسائل السليمة لغويًا قد تكون احتيالية أيضًا. لا تجعل جودة الكتابة أو الود وحدهما أساس الثقة.

افحص اسم النطاق كاملًا. قد يشبه المحتال اسمًا معروفًا بإضافة شرطة أو استبدال حرف برقم، مثل «meta-mask.io» بدل «metamask.io»، أو «b1nance.com» بدل «binance.com». هذه أمثلة على التشابه وليست روابط لزيارتها. ووجود شرطة في الاسم ليس دليلًا كافيًا على الاحتيال.

تحقق من العنوان من مصدر موثوق، وافتح الخدمة من علامة محفوظة تعرفها. لا تسلم كلمات المرور أو المفاتيح الخاصة أو عبارات الاسترداد إلى أي دعم مزعوم. احمِ مفاتيح API وصلاحياتها، وفعّل المصادقة الثنائية حيث تتوافر، وافحص التوقيعات وعناوين المستلمين والأذونات. تقلل هذه الخطوات المخاطر ولا تلغيها تمامًا.