الاتجاهات الجديدة للاحتيال في الأصول الرقمية: بروتوكولات البلوكتشين تصبح وسيلة للهجمات

تعمل الأصول الرقمية وتقنية البلوكتشين على إعادة تشكيل مفهوم الحرية المالية، لكن هذه الثورة جلبت أيضًا تحديات أمان جديدة. لم يعد المحتالون يستغلون فقط الثغرات التقنية، بل حولوا بروتوكولات العقود الذكية في البلوكتشين نفسها إلى أدوات للهجوم. من خلال الفخاخ الاجتماعية المصممة بعناية، يستغلون شفافية البلوكتشين وعدم قابليته للعكس، مما يحول ثقة المستخدمين إلى وسيلة لسرقة الأصول. من تزوير العقود الذكية إلى التلاعب بالمعاملات عبر الشبكات المختلفة، هذه الهجمات ليست فقط مخفية وصعبة الكشف، بل تصبح أكثر خداعًا بسبب مظهرها "المشروع". ستقوم هذه المقالة من خلال تحليل الحالات الحقيقية، بكشف كيف يقوم المحتالون بتحويل البروتوكولات إلى وسائط للهجمات، وتقديم حلول شاملة من الحماية التقنية إلى الوقاية السلوكية، لمساعدتك في السير بأمان في عالم اللامركزية.

١. كيف يمكن أن يتحول البروتوكول القانوني إلى أداة احتيال؟

تم تصميم بروتوكول البلوكتشين من أجل ضمان الأمان والثقة، لكن المحتالين يستغلون خصائصه، إلى جانب إهمال المستخدمين، لإنشاء مجموعة متنوعة من أساليب الهجوم الخفية. فيما يلي بعض الأساليب وشرح التفاصيل التقنية المتعلقة بها:

(1) تفويض عقد ذكي خبيث

المبادئ التقنية:

على البلوكتشين مثل الإيثيريوم، يسمح معيار رموز ERC-20 للمستخدمين من خلال دالة "Approve" بتفويض طرف ثالث (عادة ما يكون عقد ذكي) لسحب كمية محددة من الرموز من محفظتهم. تُستخدم هذه الوظيفة على نطاق واسع في بروتوكولات DeFi، حيث يحتاج المستخدمون إلى تفويض العقود الذكية لإجراء المعاملات أو الرهانات أو تعدين السيولة. ومع ذلك، يستغل المحتالون هذه الآلية لتصميم عقود خبيثة.

طريقة العمل:

ينشئ المحتالون تطبيقًا لامركزيًا يتظاهر بأنه مشروع قانوني، وعادةً ما يتم الترويج له من خلال مواقع التصيد الاحتيالي أو وسائل التواصل الاجتماعي. يقوم المستخدمون بتوصيل محفظتهم ويتم إغراؤهم للنقر على "الموافقة"، والتي تبدو وكأنها تفويض لعدد قليل من الرموز، ولكن في الواقع قد تكون بحدود غير محدودة. بمجرد اكتمال التفويض، يحصل عنوان عقد المحتال على الإذن، ويمكنه استدعاء دالة "نقل من" في أي وقت لسحب جميع الرموز المقابلة من محفظة المستخدم.

حالات حقيقية:

في أوائل عام 2023، أدى موقع تصيد انتحل صفة "ترقية معينة لـ DEX" إلى خسارة مئات المستخدمين لملايين الدولارات من USDT و ETH. تُظهر البيانات على السلسلة أن هذه المعاملات تتوافق تمامًا مع معيار ERC-20، ولم يكن بإمكان الضحايا حتى استرداد أموالهم عن طريق الوسائل القانونية، لأن التفويض تم توقيعه طواعية.

(2) توقيع الصيد

المبادئ التقنية:

تتطلب معاملات البلوكتشين من المستخدمين توليد توقيع باستخدام المفتاح الخاص لإثبات شرعية المعاملة. عادةً ما سيظهر المحفظة طلب توقيع، وبعد تأكيد المستخدم، يتم بث المعاملة إلى الشبكة. يستغل المحتالون هذه العملية لتزوير طلبات التوقيع وسرقة الأصول.

كيفية العمل:

يتلقى المستخدم رسالة بريد إلكتروني أو رسالة على وسائل التواصل الاجتماعي مت disguised كإشعار رسمي، مثل "انتظر استلام Airdrop NFT الخاص بك، يرجى التحقق من المحفظة". بعد النقر على الرابط، يتم توجيه المستخدم إلى موقع خبيث، يطلب منه توصيل المحفظة وتوقيع "معاملة التحقق". هذه المعاملة يمكن أن تكون فعليًا استدعاء دالة "Transfer"، تنقل مباشرة ETH أو الرموز من المحفظة إلى عنوان المحتال؛ أو يمكن أن تكون عملية "SetApprovalForAll"، تمنح المحتال التحكم في مجموعة NFT الخاصة بالمستخدم.

حالات حقيقية:

تعرض مجتمع مشروع NFT معروف لهجوم تصيد توقيع، حيث فقد العديد من المستخدمين NFTs بقيمة ملايين الدولارات بسبب توقيعهم على معاملات "استلام الايردروب" المزورة. استغل المهاجمون معيار توقيع EIP-712، وقاموا بتزوير طلبات تبدو آمنة.

(3) رموز مزيفة و"هجمات الغبار"

المبادئ التقنية:

تسمح علانية البلوكتشين لأي شخص بإرسال رموز إلى أي عنوان، حتى لو لم يطلب المستلم ذلك بشكل نشط. يستغل المحتالون هذه النقطة من خلال إرسال كميات صغيرة من الأصول الرقمية إلى عدة عناوين محفظة، لتتبع نشاط المحفظة وربطها بالأفراد أو الشركات المالكة لتلك المحفظة. ثم يستخدم المهاجمون هذه المعلومات لشن هجمات تصيد أو تهديدات ضد الضحايا.

طريقة العمل:

في معظم الحالات، يتم توزيع "الغبار" المستخدم في هجمات الغبار على شكل إيردروب إلى محافظ المستخدمين، وقد تحمل هذه الرموز أسماء أو بيانات وصفية محددة، مما يحفز المستخدمين على زيارة موقع معين للتحقق من التفاصيل. قد يحاول المستخدمون تحويل هذه الرموز إلى نقود، ثم يمكن للمهاجمين الوصول إلى محفظة المستخدم من خلال عنوان العقد المرفق بالرموز. ما هو أكثر خفاءً، هو أن هجمات الغبار يمكن أن تستخدم الهندسة الاجتماعية، وتحليل معاملات المستخدمين اللاحقة، لتحديد عنوان المحفظة النشطة للمستخدم، وبالتالي تنفيذ عمليات احتيال أكثر دقة.

حالات حقيقية:

في الماضي، أثرت هجمات غبار الرموز التي ظهرت على شبكة الإيثيريوم على آلاف المحافظ. فقد بعض المستخدمين ETH وERC-20 بسبب فضولهم للتفاعل.

ثانياً، لماذا يصعب اكتشاف هذه الاحتيالات؟

إن نجاح هذه الاحتيالات يعود إلى حد كبير إلى أنها مخفية داخل الآليات القانونية للبلوكتشين، مما يجعل من الصعب على المستخدمين العاديين تمييز طبيعتها الخبيثة. فيما يلي بعض الأسباب الرئيسية:

• تعقيد التكنولوجيا: يعد كود العقد الذكي وطلبات التوقيع غامضة وصعبة الفهم للمستخدمين غير التقنيين. على سبيل المثال، قد تظهر طلبات "Approval" كبيانات معقدة بالست عشرية، مما يجعل من الصعب على المستخدمين تحديد معناها بشكل واضح.

• الشرعية على البلوكتشين: جميع المعاملات مسجلة على البلوكتشين، وتبدو شفافة، لكن الضحايا غالبًا ما يدركون عواقب التفويض أو التوقيع بعد فوات الأوان، وعندها تصبح الأصول غير قابلة للاسترداد.

• الهندسة الاجتماعية: يستغل المحتالون نقاط الضعف البشرية، مثل الطمع والخوف أو الثقة.

• التمويه المتقن: قد تستخدم مواقع التصيد URLs مشابهة للأسماء الرسمية للنطاق، وحتى تزيد من المصداقية من خلال شهادات HTTPS.

٣. كيف تحمي محفظة الأصول الرقمية الخاصة بك؟

في مواجهة هذه الاحتيالات التي تتواجد فيها الحرب النفسية والتقنية، يتطلب حماية الأصول استراتيجيات متعددة المستويات. فيما يلي تدابير الوقاية التفصيلية:

تحقق وإدارة صلاحيات التفويض

• استخدم أداة التحقق من التفويض في متصفح البلوكتشين لفحص سجلات التفويض في المحفظة بانتظام.
• قم بإلغاء التفويضات غير الضرورية، خاصة التفويضات غير المحدودة للعناوين غير المعروفة.
• قبل كل تفويض، تأكد من أن DApp تأتي من مصدر موثوق.
• تحقق من قيمة "Allowance"، إذا كانت "غير محدودة"، يجب إلغاءها على الفور.

تحقق من الرابط والمصدر

• أدخل عنوان URL الرسمي يدويًا، وتجنب النقر على الروابط الموجودة في وسائل التواصل الاجتماعي أو البريد الإلكتروني.
• تأكد من أن الموقع يستخدم اسم النطاق وشهادة SSL الصحيحة.
• احذر من الأخطاء الإملائية أو الأحرف الزائدة في العناوين.

استخدام المحفظة الباردة والتوقيع المتعدد

• قم بتخزين معظم الأصول في محفظة الأجهزة، واتصل بالشبكة فقط عند الضرورة.
• بالنسبة للأصول الكبيرة، استخدم أدوات التوقيع المتعدد، واطلب تأكيد المعاملات من عدة مفاتيح.

تعامل بحذر مع طلبات التوقيع

• اقرأ تفاصيل المعاملة في نافذة المحفظة بعناية في كل مرة تقوم فيها بالتوقيع.
• استخدم وظيفة فك تشفير المتصفح البلوكتشين لتحليل محتوى التوقيع، أو استشر خبيرًا تقنيًا.
• لإنشاء محفظة مستقلة للعمليات عالية المخاطر، قم بتخزين كمية صغيرة من الأصول.

التعامل مع هجمات الغبار

• عند استلام رموز غير معروفة، لا تتفاعل معها. قم بتصنيفها على أنها "بريد مزعج" أو أخفها.
• تأكد من مصدر الرمز من خلال متصفح البلوكتشين، وإذا كان الإرسال بالجملة، كن حذرًا للغاية.
• تجنب نشر عنوان المحفظة، أو استخدم عنوانًا جديدًا للقيام بعمليات حساسة.

الخاتمة

من خلال تنفيذ التدابير الأمنية المذكورة أعلاه، يمكن للمستخدمين تقليل خطر أن يصبحوا ضحايا لبرامج الاحتيال المتقدمة بشكل كبير. ومع ذلك، فإن الأمان الحقيقي لا يعتمد فقط على الحماية التقنية. عندما توفر محافظ الأجهزة خط دفاع مادي، وتوزع التوقيعات المتعددة المخاطر، فإن فهم المستخدمين للمنطق التفويضي وحذرهم تجاه السلوكيات على البلوكتشين هو آخر حصن ضد الهجمات.

كل تحليل للبيانات قبل التوقيع، وكل مراجعة للصلاحيات بعد التفويض، هي حماية للسيادة الرقمية الخاصة. في المستقبل، بغض النظر عن كيفية تطور التكنولوجيا، فإن الخط الدفاعي الأساسي يبقى: تحويل الوعي بالأمان إلى عادة، والحفاظ على التوازن بين الثقة والتحقق. في عالم البلوكتشين، كل نقرة، وكل معاملة تُسجل بشكل دائم، ولا يمكن تغييرها. لذلك، فإن الحفاظ على اليقظة والتعلم المستمر أمران حاسمان لحماية الأصول الرقمية الخاصة بك.