حادثة اختراق واسعة النطاق لملحق Trust Wallet، تظهر مطالبات كاذبة خلال مراجعة التعويضات | من بين حوالي 5000 طلب، تم اعتبار 2600 فقط ضررًا شرعيًا

مشكلة مصداقية طلبات التعويض تتكشف

واجهت محفظة “Trust Wallet” ذات الإدارة الذاتية تحديات جديدة في استجابتها للتعويضات، حيث تم الكشف عن فجوة كبيرة. وفقًا لإعلان الرئيس التنفيذي إيوان تشن، فيما يتعلق بحادث إدخال رمز خبيث في وظيفة التمديد للمتصفح الذي حدث في 25 ديسمبر، بلغ عدد طلبات التعويض التي تم استلامها حوالي 5000 طلب، في حين أن عدد المحافظ المتضررة الفعلي هو 2596 محفظة فقط.

وفيما يتعلق بهذا التباين الكبير، علق تشن قائلاً: “من المحتمل جدًا أن تكون هناك العديد من الطلبات الكاذبة أو المكررة.” وقد أعلنت الشركة عن اعتماد سياسة تفضيل الدقة على السرعة، وتطبيق عملية تحقق صارمة لضمان أن يتم تعويض الضحايا الشرعيين فقط، وتعمل على تنفيذ ذلك.

تحديد الضحايا من خلال التحليل الفني الجنائي

فريق Trust Wallet يقوم حاليًا بتنفيذ عمليات تحقق معقدة. تعتمد طريقة التعرف التي تستخدمها الشركة على دمج عدة نقاط بيانات، مثل سجل المعاملات، معلومات إصدار الوظيفة الإضافية، وإثبات ملكية المحفظة. وأشار تشن إلى أن هناك أدلة على أن المهاجمين كانوا على دراية عميقة بكود المصدر الخاص بـ Trust Wallet، ويتم إجراء تحقيقات فنية جنائية بشكل متزامن.

يُقدّر أن إجمالي الخسائر تبلغ حوالي 7 ملايين دولار (حوالي 11 مليار ين ياباني)، وأكدت الجهات المعنية من الشركة الأم، بما في ذلك تشانغ بونغ جيو، على تعهدها بتعويض كامل الضرر الشرعي. ومع ذلك، أوضحت الشركة أنها ستتابع عملية رد الأموال بشكل تدريجي، وتعمل على وضع نظام لمنع تدفق الأموال إلى المحتالين.

واقع التهديدات الأمنية

الهجوم الإلكتروني الذي حدث نجم عن رمز خبيث تم إدخاله في وظيفة التمديد لمتصفح Chrome (الإصدار 2.68). بعد تلقي ملاحظات من باحثي العملات الرقمية، أطلقت الشركة إصدارًا محدثًا (الإصدار 2.69) بشكل عاجل، ونصحت المستخدمين بتعطيل وظيفة التمديد.

ومن المهم أن نلاحظ أن التأثير لم يمتد إلى تطبيقات الهاتف المحمول أو إصدارات المتصفح الأخرى، وقد تم التأكد من ذلك. استجابت الشركة بسرعة لمنع توسع الضرر، وبدأت رسميًا في استقبال طلبات الضرر عبر بوابة الدعم الرسمية في 27 ديسمبر.

التحذير من عمليات الاحتيال عبر التصيد

مع بدء عمليات التعويض، ظهرت مخاطر جديدة. تم رصد محاولات تصيد احتيالية تدعو المستخدمين لإدخال بياناتهم في نماذج مشبوهة تحت ذريعة التعويض، وتحث Trust Wallet المستخدمين على عدم الاستجابة إلا من خلال صفحات الدعم الرسمية.

عند تقديم طلبات التعويض، يتعين على المستخدمين تقديم معلومات مثل عنوان البريد الإلكتروني، عنوان المحفظة، وعنوان المستلم للمهاجم عبر النموذج المخصص.

تحذير لصناعة المحافظ ذات الإدارة الذاتية

كشفت هذه الحادثة عن نقطة ضعف في محافظ الإدارة الذاتية. مع انتشار المحافظ التي تعتمد على التمديد للمتصفح، يُشار إلى أن مسار تحديث البرمجيات (سلسلة التوريد) قد يصبح مدخلًا جديدًا للهجمات.

ويقول خبراء الصناعة: “حتى في المحافظ التي يحتفظ فيها المستخدم بمفتاحه الخاص، لا تزال هناك اعتماد مركزي على توزيع التطبيقات وتحديثات البرمجيات.” ويؤكد الخبراء على أهمية استخدام بناءات قابلة لإعادة الإنتاج، وتعزيز فحوصات السلامة، وتوزيع التحديثات بشكل لامركزي، لتحسين الثقة والأمان. ويُعد إعادة النظر في معايير الأمان في الصناعة ضرورة ملحة.

ومن المتوقع أن تضع استجابة الشركة مثالًا هامًا على كيفية تنظيم نظام التعويضات وأساليب التحقق الأمني في صناعة محافظ العملات الرقمية.