كان المتصفح هو سارق المحفظة: إضافة ملاحظات مزيفة وهجوم التبديل الصامت
إضافة متصفح متخفية مرتبطة بحملة لسرقة العملات المشفرة تُظهر كيف يمكن التلاعب بالمعاملات داخل المتصفح، لا على البلوك تشين.
يمكن أن يفشل تحويل العملات المشفرة بطريقتين مختلفتين للغاية: قد تكون الشبكة معطلة، أو قد يُخدع المستخدم بهدوء في الخطوة الأخيرة. وتندرج هذه الحالة ضمن النموذج الثاني. فقد أُفيد بأن إضافة متصفح قُدمت على أنها أداة ملاحظات غير ضارة كانت تستبدل عناوين محافظ العملات المشفرة أثناء المعاملات في المتصفحات المبنية على Chromium، ما يجعل المتصفح سطح الهجوم.
حقائق سريعة
- تُوصف الحملة بأنها crypto clipper: فهي تستبدل عناوين المحافظ قبل اكتمال التحويل.
- كانت الإضافة متنكرة باسم "Google Notes"، وهو اسم يبدو مصمما ليظهر مفيدا وغير ضار.
- تشمل المتصفحات المبنية على Chromium المذكورة في القضية: Google Chrome وMicrosoft Edge وBrave وOpera.
- النطاق الكامل، ومسار التوزيع، ونسبة الفعل إلى جهة محددة، ليست مثبتة في المواد المتاحة.
- يقع الخطر في طبقة المتصفح، حيث يمكن تعديل محتوى الصفحة قبل أن يرسل المستخدم الأموال.
لماذا يهم هذا
تعد إضافات المتصفح قوية لأنها تعمل على مقربة شديدة من الصفحة نفسها. في Chromium، يمكن للإضافات طلب الأذونات واستخدام برامج نصية للمحتوى تعمل داخل صفحات الويب، ما يعني أن إضافة خبيثة قد تتمكن من قراءة ما يراه المستخدم على الشاشة أو تعديله. هذا هو المدخل التقني الذي يحتاجه crypto clipper: فهو لا يحتاج إلى كسر التشفير أو سرقة عبارة استرداد إذا كان بإمكانه تغيير عنوان الوجهة قبل الإرسال مباشرة.
عمليا، يجعل ذلك المتصفح طبقة لاعتراض المدفوعات. قد يبدو التحويل طبيعيا في الواجهة، بينما تكون بيانات المعاملة المرسلة قد عُدلت بالفعل. ومن منظور دفاعي، هذا هو بالضبط سبب أهمية نظافة الإضافات في تدفقات عمل العملات المشفرة. يمكن أن يصبح المتصفح آخر نقطة تحقق موثوقة، أو آخر مكان يُساء فيه استخدام الثقة.
تضيف تسمية "Google Notes" المزيفة طبقة ثانية من المخاطرة: الهندسة الاجتماعية. فالاسم على نمط أدوات الإنتاجية يقلل الشك وقد يساعد الإضافة الخبيثة على الاندماج ضمن قائمة مزدحمة من الإضافات. وهذا لا يثبت كيفية توزيعها، لكنه يوضح نوع التمويه الذي يفضله المهاجمون عندما يريدون من المستخدمين تثبيت شيء طوعا.
تبقى هناك ملاحظة مهمة: المعلومات المتاحة لا تثبت بالكامل حجم الحملة، أو مسار التثبيت، أو ما إذا كان نموذج الإضافة نفسه قد استُخدم بالطريقة ذاتها عبر كل متصفح مستهدف. وتدعم هذه الحالة تحليلا للمخاطر، لا ادعاء عاما بوجود اختراق شامل.
الدرس الدفاعي
بالنسبة إلى المؤسسات والمستخدمين الأفراد، فإن الدرس بسيط لكنه مزعج. لا ينبغي أن تشارك أنشطة العملات المشفرة ملف المتصفح نفسه مع التصفح العادي، خصوصا عند تثبيت الإضافات. يجب تضييق أذونات الإضافات، وإزالة أي شيء غير ضروري، والتعامل مع أي إضافة تطلب وصولا واسعا إلى المواقع على أنه إنذار. ولعمليات التحويل الأعلى قيمة، يمكن لملف متصفح منفصل مع عدد محدود من الإضافات أن يقلل التعرض للشفرة التي تعدل الصفحات.
وبالمثل، ينبغي للمستخدمين التحقق من عناوين المستلمين عبر أكثر من طريقة عرض واحدة قبل إرسال الأموال. وإذا كان المتصفح نفسه قد تم العبث به، فقد لا تكون الصفحة المعروضة مصدرا موثوقا للحقيقة.
الخلاصة
تذكرنا هذه الحادثة بأن الجرائم الإلكترونية لا تحتاج دائما إلى اقتحام درامي. أحيانا يكفي فقط واجهة موثوقة واستبدال واحد لا يلاحظه أحد. وفي عصر المتصفح، أصبحت المعركة على المال الرقمي تُخاض بشكل متزايد عند النقطة التي ينقر فيها المستخدم "إرسال".
TECHCROOK
محفظة عملات مشفرة مادية: تحتفظ المحفظة المادية بالمفاتيح الخاصة على جهاز منفصل وتتيح لك مراجعة تفاصيل المعاملة قبل التوقيع. ولأي شخص ينقل أصولا رقمية، فإنها تضيف خطوة تحقق مادية مفيدة خارج المتصفح.
WIKICROOK
- Crypto clipper: برمجية خبيثة تستبدل عناوين محافظ العملات المشفرة المنسوخة أو المدخلة لتحويل المدفوعات إلى جهة أخرى.
- إضافة متصفح: برنامج إضافي يضيف ميزات إلى المتصفح وقد يصل إلى صفحات الويب وبيانات المستخدم.
- متصفح مبني على Chromium: متصفح مبني على قاعدة Chromium مفتوحة المصدر وعلى منظومة إضافاتها.
- برنامج نصي للمحتوى: شيفرة إضافة تعمل داخل سياق صفحة ويب ويمكنها قراءة محتوى الصفحة أو تعديله.
- أذونات المضيف: أذونات الإضافة التي تحدد المواقع التي يمكن للإضافة الوصول إليها أو تعديلها.
