فقد مستخدم لإيثيريوم ما يُزعم أنه 1,010 إيثيريوم (ETH) بعد متابعة إشارة مرجعية (bookmark) قديمة لـ Tornado Cash يُزعم أنها أعادت توجيهه إلى واجهة أمامية خبيثة يسيطر عليها مهاجمو التصيد الاحتيالي.
قالت روايات المجتمع إن الحادثة تكشفت على مدار 12 ساعة تقريبًا. وزعموا أن المهاجمين حصلوا على بيانات اعتماد إيداع Tornado Cash الخاصة بالضحية وسحبوا الأموال قبل تحويلها إلى عدة عناوين.
توفر سجلات السلسلة تأكيدًا جزئيًا. استقبلت المحفظة المذكورة 810 إيثيريوم عبر تسع معاملات في 18 أغسطس. حملت ثمانية تحويلات 100 إيثيريوم لكل منها، بينما حمل التحويل الأخير 10 إيثيريوم.
وقعت المعاملات بين الساعة 5:56 صباحًا و 6:05 صباحًا بالتوقيت العالمي المنسق. احتفظ العنوان بحوالي 810 إيثيريوم، قيمتها Etherscan بحوالي 1.86 مليون دولار عند فحصها في 20 أغسطس.
تترك المعاملات المؤكدة فجوة قدرها 200 إيثيريوم بين خسارة 1,010 إيثيريوم التي أبلغ عنها مستخدمو المجتمع و 810 إيثيريوم التي تحتفظ بها المحفظة المذكورة. قد يكون المبلغ المتبقي قد وصل إلى عنوان آخر، ولكن لم يتم تضمين أي وجهة إضافية في الأدلة المقدمة.
لم يؤكد أي بيان عام من Tornado Cash، أو شركة أمن بلوكتشين راسخة، أو الضحية المبلغ عنها بشكل مستقل المبلغ الكامل عند إعداد هذا المقال.
زعمت روايات المجتمع أن الضحية تتبع خسارة إجمالية قدرها 1,010 إيثيريوم، لكن العنوان المقدم يؤكد بشكل مستقل 810 إيثيريوم فقط.
سجلت المحفظة المذكورة تسع معاملات ولم تسجل أي تحويلات صادرة وقت المراجعة. وبالتالي فإن رصيدها يدعم الادعاء بأن معظم الأموال المبلغ عنها بقيت تحت سيطرة المهاجم المشتبه به.
بسعر إيثر البالغ حوالي 2,295 دولارًا، بلغت قيمة الـ 810 إيثيريوم المؤكدة حوالي 1.86 مليون دولار. وستكون قيمة الخسارة المبلغ عنها البالغة 1,010 إيثيريوم حوالي 2.32 مليون دولار بنفس السعر.
ألقت التقارير اللوم في السرقة على نطاق tornado.cash، مدعية أنه انتهت صلاحيته بعد فشل فريق المشروع في تجديده خلال الاضطراب الناجم عن العقوبات الأمريكية. ووفقًا للروايات، قام مهاجم لاحقًا بتسجيل العنوان وتثبيت واجهة مستخدم وهمية.
لا يمكن التحقق من هذا الحساب بالكامل. كان النطاق متاحًا ويعرض واجهة Tornado Cash عند الفحص. لم يتم العثور على أي سجل نطاق موثوق أو تحذير رسمي من Tornado Cash أو باحث أمني معروف يؤكد أن العنوان قد انتهت صلاحيته وتغيرت ملكيته.
لذلك، تظل المزاعم بأن النطاق الرسمي قد تم الاستيلاء عليه من قبل مهاجم غير مؤكدة ويجب عدم تقديمها كسبب ثابت.
لا يثبت تحميل موقع ويب بشكل صحيح وقت الفحص أنه كان آمنًا في وقت سابق. يمكن للمهاجمين إزالة التعليمات البرمجية الخبيثة، أو إعادة توجيه زوار محددين فقط، أو استعادة واجهة شرعية بعد جمع بيانات الاعتماد.
واجه Tornado Cash مشاكل أمنية سابقة في الواجهة الأمامية. في عام 2024، اكتشف الباحث Gas404 أنه تم إدخال JavaScript خبيث في واجهة مفتوحة المصدر وقد يعرض ملاحظات الإيداع الخاصة للخطر. وثقت Checkmarx لاحقًا اختراق سلسلة التوريد، على الرغم من عدم وجود دليل حاليًا يربط تلك الحادثة بالمعاملات الأخيرة.
يستخدم Tornado Cash ملاحظات إيداع خاصة للسماح للمستخدمين بسحب الأصول من مجمعاته. يمكن لأي شخص يحصل على ملاحظة صالحة أن يبدأ عادةً السحب المقابل، مما يجعل الملاحظة قابلة للمقارنة ببيانات اعتماد خاصة.
يمكن لواجهة أمامية مزيفة أن تلتقط هذه المعلومات عندما يحاول المستخدم إجراء إيداع أو سحب. يمكن للمهاجم بعد ذلك استخدام الملاحظة المسروقة قبل أن يفعل المالك الشرعي.
يختلف هذا الهجوم عن التصيد الاحتيالي بالموافقة (approval phishing)، حيث يوقع الضحية على معاملة خبيثة تفوض عقدًا مستنزفًا. في تغطية ذات صلة، أوضح موقع crypto.news كيف تستغل برامج استنزاف المحافظ التوقيعات الخادعة للوصول إلى الرموز والأصول غير القابلة للاستبدال.
تمثل الإشارات المرجعية القديمة خطرًا آخر لأن المستخدمين غالبًا ما يفترضون أن الروابط الموثوق بها سابقًا تظل آمنة. تحتفظ النطاقات منتهية الصلاحية أو المنقولة بأسمائها المألوفة، وتصنيفات البحث، والروابط الخلفية، مما يجعل البدائل الخبيثة أكثر صعوبة في التحديد.
كما أفاد موقع crypto.news مؤخرًا، تواصل المواقع المزيفة استنزاف محافظ إيثيريوم بعد أن يوافق المستخدمون على المعاملات أو يدخلوا معلومات حساسة. النهج الأكثر أمانًا هو التحقق من النطاقات عبر عدة قنوات مشروع حالية قبل ربط المحفظة.
زعمت تقارير المجتمع أيضًا أن نفس المهاجمين سرقوا ما يقرب من 4,000 إيثيريوم من خلال طرق مماثلة على مدار الاثني عشر شهرًا الماضية. لم يرفق بهذا الرقم أي قائمة بالعناوين ذات الصلة أو تحليل إسناد.
بدون محافظ مرتبطة، أو تجزئات معاملات، أو تقرير من شركة أمنية، لا يمكن التحقق من تقدير 4,000 إيثيريوم بشكل مستقل. تُظهر تحويلات البلوكتشين أين انتقلت الأموال، لكنها لا تثبت تلقائيًا من يتحكم في كل عنوان أو أي حملة تصيد احتيالي أدت إليها.
الأولوية الفورية هي مراقبة الـ 810 إيثيريوم المؤكدة. يمكن أن تخلق التحويلات إلى البورصات فرصة للمنصات لتحديد الأصول أو تجميدها، وفقًا لإجراءاتها والقانون المعمول به.
يجب على الضحية الاحتفاظ بسجل المتصفح، وعناوين URL المرجعية، وسجلات المحفظة، وسجلات المعاملات قبل الإبلاغ عن الحادثة إلى مزودي المحافظ والبورصات وجهات إنفاذ القانون. يجب على المستخدمين الذين تفاعلوا مع نفس الواجهة الأمامية التوقف عن استخدامها، ونقل الأصول غير المتأثرة، وإلغاء الموافقات المشبوهة للرموز.
تدعم الأدلة المتاحة تحويلًا كبيرًا من إيثيريوم إلى محفظة نشطة حديثًا. لكنها لا تثبت بعد الخسارة الكاملة البالغة 1,010 إيثيريوم، أو الاستيلاء المزعوم على النطاق الرسمي، أو حملة الـ 4,000 إيثيريوم المزعومة.
