اختر منطقتك 
تم الكشف عن مهاجم تسميم العناوين الذي استنزف ما قيمته 68 مليون دولار من Wrapped Bitcoin (WBTC) من خلال “الأدلة الرقمية”، بما في ذلك “بصمة الجهاز”، وفقًا لتصريحات أدلى بها أندريه كوتين، الرئيس التنفيذي لشركة Match Systems، يوم 23 مايو. وادعى أن هذه الأدلة الرقمية عززت في النهاية يد الضحايا في المفاوضات وأدت إلى إعادة جميع الأموال.
وفقًا للرئيس التنفيذي لشركة Match Systems، لم يستخدم المهاجم البورصات المنظمة المتوافقة مع متطلبات “اعرف عميلك” ومتطلبات مكافحة غسيل الأموال. ولذلك، لم يتمكن الباحثون من إثبات هوية الشخص بشكل قاطع. لكنهم اكتشفوا أدلة “ثانوية” أو “ظرفية” على أن الشخص الذي كانوا يحققون معه لم يمارس العناية الواجبة وأن الأموال المسروقة وقعت في أيديهم بسبب الإهمال. وهذا ما عزز موقفهم في المفاوضات.
وقع هجوم تسميم العنوان بقيمة 68 مليون دولار في 5 مايو على حساب إيثريوم يبدأ بـ “0x1e”. أنشأ المهاجم معاملة مزيفة يبدو أنها تنقل رمز الضحية إلى نفسه. أدى هذا إلى إرباك الضحية وجعلها تعتقد أن عنوان المهاجم آمن، حيث خلق الانطباع بأن الضحية قد أرسل أموالاً طوعًا إلى هذا العنوان في الماضي.
ونتيجة لذلك، أرسل الضحية ما قيمته 68 مليون دولار من WBTC إلى عنوان المهاجم، مما تسبب في خسائر قدرها 97٪ للحساب.
ومع ذلك، في 10 مايو، أرسل المهاجم جميع الأموال المسروقة تقريبًا إلى الضحية، مما أدى إلى استردادها شبه الكامل. في ذلك الوقت، ادعت منصة أمان blockchain Match Systems أن هذا التحول المفاجئ للأحداث كان نتيجة للمفاوضات التي سهلتها بين الطرفين. وادعى الفريق أن بورصة العملات المشفرة Cryptex ساعدت أيضًا في هذه المفاوضات.
وفي محادثة يوم ٢٣ مايو مع كوينتيليغراف، كشف كوتين من شركة ماتش سيستمز عن تفاصيل جديدة حول كيفية إقناع المهاجم بإعادة الأموال المسروقة.
وفقًا لكوتين، أصبح الفريق على علم بهجوم التسمم لأول مرة في يوم حدوثه، حيث بدأت العديد من حسابات وسائل التواصل الاجتماعي تدعي أن “حوت” العملات المشفرة قد حول ٦٨ مليون دولار من WBTC إلى عنوان جديد. أدرك الفريق بسرعة أن النقل كان بسبب هجوم تسميم العنوان. لكن هوية الضحية غير معروفة، ولا توجد طريقة واضحة للاتصال بهم.
قرر فريق Match Systems إرسال رسالة إلى شبكة Ethereum موجهة إلى الضحية. وجاء في الرسالة: “إذا لم يقم المتسلل باسترداد الأموال، فيرجى الاتصال بنا للحصول على المساعدة”.
وقال كوتين إنه رداً على ذلك، اتصل “طرف ثالث” بباحثي ماتش. لم يرغب الضحية في التعريف عن نفسه، لذا استخدموا جهة اتصال لتسهيل التواصل. شاركت Cryptex أيضًا خلال هذه الفترة وعرضت المساعدة في تسهيل المفاوضات.
لم يقم المهاجم بتزويد محفظته بأموال من بورصة منظمة، ولم يحاول صرف الغنيمة المسروقة من خلال إحدى هذه البورصات. ونتيجة لذلك، لم تكن هناك طريقة سهلة لتحديد هوية المهاجم.
ومع ذلك، تمكن الفريق من تتبع بعض معاملات المهاجم إلى عناوين IP في هونغ كونغ، كما ادعى كوتين. أصبحت هذه العناوين نقطة انطلاق لمزيد من التحقيق.
وفي منشور مدونة بتاريخ 8 مايو، زعمت منصة أمان blockchain SlowMist أيضًا أنها اكتشفت عناوين IP. ووفقا لها، تم العثور على العناوين من خلال “شبكة الاستخبارات” التابعة لـ SlowMist. يبدو أن عناوين IP مرتبطة بـ “محطات الهاتف المحمول” أو أبراج الهاتف الخليوي، على الرغم من أن SlowMist لم يستبعد تمامًا احتمال أن تكون خوادم VPN.
ووفقًا لكوتين، تمكنت شركة Match Systems من ربط عناوين IP هذه بقطع أخرى من “الأدلة الرقمية” التي يمكن استخدامها لتحديد هوية المهاجم، بما في ذلك “بصمة الجهاز”.
يمكن أن تتضمن “بصمة الجهاز” معلومات مثل نظام تشغيل المستخدم، ونوع المعالج، والذاكرة، ودقة الشاشة، وإصدار المتصفح، والمكونات الإضافية والإضافات، وإعدادات المنطقة الزمنية، وتفضيلات اللغة، والخطوط المثبتة، ومتوسط سرعة الكتابة، وعادات الكتابة البنية، من بين أمور أخرى. البيانات، وفقًا لمنصة Trust Decision للأمن السيبراني.
متعلق ب: أنشطة التشفير الخاصة بـ AssangeDAO مشبوهة، ويحث المحللون على توخي الحذر
وادعى كوتين أن مثل هذه الأدلة الرقمية هي الطريقة الوحيدة للقبض على مجرمي الإنترنت في بيئة اليوم. نادرًا ما يحاول المهاجمون صرف الأموال من خلال البورصات المنظمة بعد الآن. اليوم، هناك “خدمات غسيل خاصة” تجعل من السهل على المتسللين تداول عملاتهم المشفرة مقابل النقود.
وأشار كوتين إلى أن الولايات المتحدة تلاحق أحيانًا خدمات غسيل الأموال هذه، ولكن “ربما قاموا بتدمير محادثاتهم ذاتيًا، ولن يكون هناك شيء في هواتفهم أو أجهزتهم”، مما يجعل من المستحيل على السلطات جمع الأدلة ضدهم. لقد أصبح الناس “متعلمين جيدًا على كلا الجانبين”.
وبدلاً من محاولة ملاحقة خدمات غسيل الأموال هذه، تركز شركة Match Systems على العثور على “خيط رفيع جدًا” من الأدلة الرقمية التي يمكن استخدامها لتحديد هوية المحتال. يمكن أن يتضمن هذا الخيط الرفيع عناوين IP وبصمات أصابع الجهاز و”نصائح وحيل” أخرى.
واعترف كوتين بأن الأدلة كانت “ثانوية” أو “ظرفية”. وبما أنه ثبت فقط أن الجهاز تم استخدامه لغسل الأموال المسروقة، فلا يمكن ربطه مباشرة بالهجوم نفسه. ومع ذلك، لا يزال من الممكن إثبات أن الشخص الذي أجرى المعاملات لم يمارس العناية الواجبة في تحديد مصدر الأموال المستلمة.
“أوه لا، لقد تلقينا الأموال المسروقة. قال كوتين، مقلداً ما يسمعه غالباً من المهاجمين: “إنها ليست أموالنا المسروقة”. وقال: “لكن يجب أن تعرف المبدأ البسيط للغاية المتمثل في العناية الواجبة”.
استخدم الفريق هذا الدليل في المفاوضات مع المهاجم، الذي اتصل به باستخدام رسالة blockchain وحاول بدء محادثة. وكانت النتيجة النهائية أن المهاجم أعاد جميع الأموال ولم تتم محاكمته بعد.
واعترف كوتين بأن هذا يمكن اعتباره نتيجة سيئة لأن المهاجم لم يعد ذا مصلحة عامة للمحاكمة. ومع ذلك، قال إن النتيجة أفضل من معظم البدائل، حيث تمكن الضحية على الأقل من استرداد جميع أمواله. وقال: “قد لا تكون النهاية جيدة للغاية لأن المجرم سيختفي دون أي عقوبة، لكنها ليست سيئة للغاية لكلا الجانبين”.
تعد هجمات تسميم العناوين مشكلة شائعة لمستخدمي blockchain، على الرغم من أن معظمها لا يؤدي إلى خسائر فادحة شوهدت في هذه الحالة في الأصل. يقترح الخبراء أنه يجب على المستخدمين فحص عنوان الإرسال في كل معاملة للتأكد من عدم وقوعهم ضحية لهذا النوع من الهجمات.
متعلق ب: اكتشف خبراء الأمن السيبراني هاكرًا يبيع الرموز المسروقة على Telegram
