نصائح أساسية للمطورين لحماية أجهزتهم ومحافظهم

مقابلة عمل، ملف لفتحه، خزينة فارغة. تنشر تحالف الأمان (SEAL)، وهي منظمة غير ربحية للأمان في مجال العملات المشفرة تأسست في أعقاب الباحث samczsun، مستودعًا مخصصًا للاختراقات التي تستهدف بشكل خاص المطورين. لا يأتي هذا المستند من مختبر: بل يجمع أنماط الهجمات التي تم رصدها خلال التدخلات الطارئة التي قامت بها فرق الاستجابة للحوادث. نقطة البداية غير مريحة لأي شخص في الصناعة. الحلقة الأضعف في بروتوكول لم تعد في كوده، بل أمام شاشة الشخص الذي يكتبه.

النقاط الرئيسية {#h-points-cles}

• SEAL، تحالف الأمان في مجال العملات المشفرة الذي تأسس في أعقاب samczsun، ينشر مستودعًا للاختراقات التي تستهدف المطورين، مبنيًا على حالات الاستجابة للحوادث الحقيقية.
• لم تعد الهجمات تستهدف العقود الذكية ولكن محطات العمل: تعرضت Bybit (1.5 مليار دولار) وRadiant Capital (50 مليون) للاختراق من خلال أجهزة مطورين تم اختراقها.
• تتكون معظم سلاسل الهجوم الموثقة من مجندين مزيفين، تمارين تقنية محاصرة، تحديثات زوم مزيفة، تقنية ClickFix وحزم npm مخترقة.
• تشمل التدابير المضادة الموصى بها عزل أجهزة التوقيع، تثبيت الاعتماديات، التوقيع الواضح والتحقق من الهوية خارج القناة.

عندما يصبح جهاز الكمبيوتر الخاص بالمطور هو المدخل {#h-quand-l-ordinateur-du-developpeur-devient-la-porte-d-entree}

تجعل عمليات التدقيق، وبرامج المكافآت، والتحقق من الكود بعض الهجمات ضد العقود الذكية أكثر صعوبة. لذلك، يبحث القراصنة عن طرق أخرى. يستهدفون بشكل خاص الأشخاص القادرين على تعديل موقع، نشر تحديث، أو توقيع معاملة مهمة.

تظل سرقة 1.5 مليار دولار التي تعرضت لها Bybit في فبراير 2025 المثال الأكثر دراماتيكية. لم يتم اختراق العقود الخاصة بمحفظة متعددة التوقيعات مباشرة. كان المهاجم قد اختراق جهاز كمبيوتر مطور من Safe{Wallet}، الخدمة المستخدمة لإعداد المعاملات.

ثم عدل كود خبيث الواجهة المعروضة على الموقعين في Bybit. اعتقدوا أنهم يوافقون على تحويل عادي، بينما كانت المعاملة الموقعة بالفعل تعطي المهاجم السيطرة على المحفظة الباردة. وقد نسب مكتب التحقيقات الفيدرالي العملية إلى مجموعة كورية شمالية تُدعى TraderTraitor.

تعرضت Radiant Capital لهجوم مماثل قبل عدة أشهر، بقيمة حوالي 50 مليون دولار. تلقى العديد من المطورين على تيليجرام أرشيفًا تم تقديمه كوثيقة PDF، أُرسل من حساب مزود سابق يُعتبر موثوقًا. وقد ثبت الملف برنامجًا خبيثًا على أجهزتهم.

ثم عرضت الواجهة معاملات تبدو طبيعية، بينما كانت المحافظ المادية تتلقى شيئًا آخر للتوقيع عليه. بمعنى آخر، كانت الحمايات التشفيرية لا تزال تعمل، لكن المعلومات المعروضة للمستخدمين كانت مزورة.

من التوظيف المزيف إلى البرنامج المحاصر {#h-du-faux-recrutement-au-programme-piege}

عادة ما يأخذ الاتصال الأول شكلًا عاديًا: عرض عمل، مهمة مدفوعة، طلب مساعدة أو تقرير يشير إلى ثغرة مزعومة. تنتهي المحادثة بدعوة لتحميل ملف، فتح مشروع أو تنفيذ أمر.

تحدد SEAL عدة خطوات شائعة في مستندها المرجعي:

• الاتصال الأول: يقوم مُحتال مزيف أو رائد أعمال بالتواصل مع هدفه عبر LinkedIn أو Telegram أو Discord.
• تسليم الفخ: تتلقى الضحية ملفًا من GitHub، أو أرشيفًا، أو إضافة، أو تمرينًا تقنيًا.
• التثبيت: يتم تشغيل الكود عند بدء اختبار، أو تثبيت تبعية، أو تحديث مزيف لـ Zoom أو Teams.
• السرقة: يسترد البرنامج كلمات المرور، والجلسات المفتوحة، والوصول إلى خدمات السحابة، أو المعلومات التي تسمح بإجراء معاملة احتيالية.

تدفع التقنية المعروفة باسم ClickFix الضحية حتى تقوم بتثبيت البرنامج بنفسها. تطلب منها رسالة خطأ مزيفة نسخ أمر إلى الطرفية الخاصة بها لحل مشكلة وهمية.

تعتبر المكتبات التي يستخدمها المطورون هدفًا آخر. في سبتمبر 2025، تم اختراق حساب أحد مشرفي عدة حزم npm شهيرة جدًا، بما في ذلك chalk و debug، من خلال بريد إلكتروني مزيف لإعادة تعيين المصادقة الثنائية. ثم تم إضافة كود مخصص لتحويل المعاملات المشفرة إلى 18 حزمة، بلغ مجموعها أكثر من ملياري تحميل أسبوعيًا.

عزل الكود قبل الوثوق به {#h-isoler-le-code-avant-de-lui-faire-confiance}

التوصية الرئيسية من SEAL هي اعتبار أي كود خارجي خطيرًا قبل مراجعته. حتى مشروع تم تمريره من قبل شخص معروف قد يكون قد تم تعديله، بينما قد يكون حساب هذا الشخص قد تم اختراقه.

لذا يجب فتح ملف أو مستودع غير معروف في آلة افتراضية أو بيئة مؤقتة لا تحتوي على أي كلمات مرور أو محافظ أو وصول إلى أنظمة الإنتاج. بمجرد الانتهاء من التحليل، يمكن حذف هذه البيئة.

توصي SEAL أيضًا بتخصيص جهاز كمبيوتر للتوقيعات الحساسة، وتجميد إصدارات التبعيات، والانتظار قبل تثبيت تحديث تم نشره مؤخرًا. يجب التحقق من هوية شخص غير متوقع عبر قناة أخرى، مثل الاتصال برقم معروف مسبقًا.

تتعلق هذه الاحتياطات أيضًا بمساعدي البرمجة المعتمدين على الذكاء الاصطناعي. يجب وضع وكيل قادر على قراءة مشروع ثم تنفيذ تعليماته تلقائيًا في نفس البيئة المعزولة التي يتم تحليل الكود فيها.

أخيرًا، يجب على الفرق تحضير إجراءات الطوارئ قبل الحادث: معرفة من يمكنه تعليق خدمة، وإخطار منصات التبادل، أو التواصل علنًا. يوفر SEAL 911 مساعدة مجانية، متاحة على مدار الساعة، بفضل شبكة من الباحثين المتطوعين.

تتجسد رسالة الدليل في قاعدة واحدة: فتح مشروع غير معروف ليس دائمًا عملية سلبية. بمجرد أن يقوم أداة بتثبيت أو تفسير أو تنفيذ محتواه، يمكن أن يصبح هذا الملف البسيط بابًا مفتوحًا على كل البنية التحتية. أكثر من أي وقت مضى داخل شركة أو مشروع، تعتمد أمان الجميع على سلوك كل فرد.

يُقدَّم هذا المحتوى لأغراض معلوماتية عامة فقط، ولا يُشكل مشورة مالية أو استثمارية أو قانونية أو ضريبية. ولا ينبغي اعتبار أي فعاليات أو مكافآت أو عروض ترويجية عبر الإنترنت أو أي معلومات ذات صلة واردة فيه توصيةً أو طلبًا أو دعوةً لشراء الأصول المشفرة أو بيعها أو تداولها أو إجراء أي معاملات أخرى عليها. تتميز الأصول المشفرة بتقلبات سعرية مرتفعة وقد تؤدي إلى خسائر. وقد يختلف مدى توفر خدمات WEEX ومنتجاتها والفعاليات المرتبطة بها حسب المنطقة. وتقع على عاتقك مسؤولية التأكد من أن مشاركتك تتوافق مع القوانين واللوائح المحلية المعمول بها.