لقد قرأت مؤخرًا عن عملية احتيال مروعة في عالم العملات المشفرة. تم سرقة 24 مليون دولار فقط بسبب خطأ بسيط. وقد أكدت شركة أمان البلوكتشين PeckShield هذا الحدث العام الماضي، وهو حقًا أمر يستحق أن نحذر منه جميعًا.

آلية الهجوم معقدة جدًا. يقوم المهاجم بإنشاء عنوان محفظة وهمي، يختلف عن عنوان Sillytuna الحقيقي بعدة أحرف في المنتصف، لكن الأحرف في البداية والنهاية تكون مطابقة تمامًا. ثم يرسل معاملة صغيرة غير ذات قيمة من هذا العنوان المزيف إلى محفظة الضحية. الهدف واضح جدًا - جعل العنوان الوهمي يظهر في سجل المعاملات، بحيث عندما يحتاج Sillytuna لاحقًا إلى إرسال أموال، ينسخ العنوان من السجل دون فحص دقيق.

وبالفعل، عندما قام Sillytuna بإجراء تحويل كبير، قام عن غير قصد بنسخ عنوان مصاب بالسم. تم تحويل 24 مليون دولار من USDC (، وتحديدًا aEthUSDC)، مباشرة إلى يد المهاجم. ثم رأينا هذا الأخير بسرعة يحول حوالي 20 مليون دولار إلى DAI، مقسمة إلى عدة محافظ منفصلة، ثم بدأ بالانتقال إلى شبكة Arbitrum - وهو خطوة نموذجية قبل محاولة غسيل الأموال.

ما يثير الرعب هنا هو أن الأمر لا يتعلق بثغرة تقنية معقدة. إنه تمامًا تقنية اجتماعية - استغلال سهو الإنسان. وهو يصبح أكثر انتشارًا يومًا بعد يوم. بينما يركز الجميع على أمان البورصات أو أخطاء العقود الذكية، فإن هجمات كهذه تتسبب في خسائر أكبر بكثير.

وفقًا لخبراء الأمان، الأهم هو اليقظة. في كل مرة تقوم فيها بتحويل مبلغ كبير، يجب عليك فحص كل حرف من العنوان المستهدف بدقة - ليس مرة واحدة، بل ثلاث مرات. والأفضل هو استخدام دفتر عناوين في المحفظة، وتخزين جهات الاتصال التي تم التحقق منها بدلاً من النسخ من السجل. طريقة أخرى فعالة جدًا هي إرسال معاملة اختبار صغيرة أولاً - وإذا وصلت إلى المكان الصحيح، ترسل المبلغ الكامل. لو كان Sillytuna قد فعل ذلك، لكان بإمكانه تجنب هذا الخسارة.

بالنسبة للأشخاص الذين يمتلكون أصولًا كبيرة، من الضروري اتخاذ بعض التدابير الأمنية الأساسية. أولاً، فصل المحفظة الباردة لتخزين الأرصدة الكبيرة، والمحفظة الساخنة للمعاملات اليومية. ثانيًا، استخدام إعدادات التوقيع متعدد التوقيعات (multisig) بحيث تتطلب أي معاملة كبيرة موافقات متعددة. ثالثًا، الاستفادة من أسماء النطاقات ENS أو الألقاب التي يمكن قراءتها بالحروف بدلاً من سلسلة الأرقام الست عشرية الطويلة، لأنها أصعب في التزوير. رابعًا، استخدام أدوات محاكاة المعاملات لمعاينة النتائج قبل التوقيع.

الجانب الإيجابي هو أن مجتمع البلوكتشين نشط في البحث عن حلول. تشمل بعض الأفكار تحسين واجهة المحفظة لتسليط الضوء على العناوين غير المطابقة، أو إضافة شاشة تحذير عند الإرسال إلى عنوان جديد للمرة الأولى. لكن في النهاية، يجب أن يكون الأمان جزءًا طبيعيًا من تجربة المستخدم، وليس شيئًا يأتي في وقت متأخر.

كما يُظهر هذا الحدث التحدي الكبير في تتبع الأموال المسروقة عبر سلاسل الكتل المختلفة. عندما يتم نقل الأموال عبر العديد من الشبكات، يصبح استردادها شبه مستحيل. الشيء الوحيد الذي يمكن أن يساعد هو إذا حاول المهاجم تحويل الأموال على منصة تداول مركزية، حينها يمكن لشركات الأمان مثل PeckShield أو Chainalysis وضع علامات على العنوان، ويمكن للمنصات تجميده.

وبالمناسبة، إذا أصبحت ضحية لهذا الاحتيال، فإن أول شيء يجب فعله هو الإبلاغ لشركات أمان البلوكتشين والمنصات ذات الصلة. على الرغم من أن الاسترداد غير مضمون، فإن الإبلاغ يساعد على وضع علامات على العنوان وربما يمنع المهاجم من سحب الأموال.

ختامًا، أمان العملات المشفرة لا يقتصر على حماية المفاتيح الخاصة فحسب. بل يشمل أيضًا التحقق الدقيق من كل تفصيل، خاصة عندما تكون المبالغ الكبيرة معنية. الدرس من Sillytuna هو تذكير بأن في عالم لا مركزي، المسؤولية تقع دائمًا على عاتقك. التكنولوجيا تمنحنا حرية مالية غير مسبوقة، لكنها تتطلب أيضًا حذرًا غير مسبوق.