ارتباك تعويضات محفظة الثقة، تحديات في تحديد الضحايا الحقيقيين｜تم الكشف عن 5,000 حالة مطالبة غير قانونية

الفجوة بين طلب التعويض والأضرار الفعلية تتضح

تم الكشف عن تحديات غير متوقعة تواجه محفظة الثقة الذاتية “Trust Wallet”. وفقًا لإعلان الرئيس التنفيذي للشركة إيوان تشن، فإن عدد طلبات التعويض عن حادث الاختراق الذي استُغل فيه وظيفة المتصفح في 25 ديسمبر قد وصل إلى حوالي 5000 طلب، في حين أن عدد المحافظ المتضررة الفعلي يقتصر على 2596 فقط. وأشار تشن إلى أن الفارق الذي يزيد عن الضعف قد يكون ناتجًا عن العديد من الطلبات الكاذبة أو المكررة. وبدأت Trust Wallet في تطبيق عملية جديدة للتحقق الصارم من صحة الأضرار لضمان موثوقية التعويضات.

وتقدر الخسائر الإجمالية الناتجة عن الاختراق بحوالي 7 ملايين دولار (حوالي 11 مليار ين ياباني)، وقد تم الإعلان بالفعل عن خطة لتعويض جميع الضحايا بشكل كامل.

الواقع الحقيقي للأضرار: تسرب الأصول بسبب إدخال رمز غير مشروع

السبب المباشر للحادث هو أن إصدار Chrome من Trust Wallet 2.68 تم تضمين رمز خبيث فيه. استغل المهاجمون هذه الثغرة ونجحوا في إرسال أموال العملات الرقمية بشكل غير قانوني من المستخدمين. وأشار الباحث في أمن العملات الرقمية ZachXBT إلى هذا الخلل، وبدأت الشركة على الفور في اتخاذ إجراءات لمنع توسع الضرر.

ومن المهم أن نذكر أن التأثير لم يمتد إلى تطبيقات الهاتف المحمول أو إضافات المتصفح الأخرى، وتم التأكد من ذلك. وأطلقت الشركة إصدارًا عاجلاً من النسخة 2.69، وأوصت المستخدمين بتعطيل الإضافة.

تقدم إجراءات التعويض وتكثيف عمليات التحقق

في 27 ديسمبر، فتحت Trust Wallet بوابة تقديم طلبات التعويض للمتضررين على بوابة الدعم الرسمية. يمكن للمقدمين تقديم معلومات مثل البريد الإلكتروني، عنوان المحفظة، وعنوان المستلم للمهاجم عبر نموذج خاص.

وأعلن مؤسس شركة التداول الأم، تشانغ بونغ تشاو، على منصة X أن الشركة ستتحمل كامل الخسائر الناتجة عن الحادث. كما حذرت الشركة من عمليات احتيال تصيد تستغل عملية التعويض، ودعت إلى عدم الاستجابة لأي نماذج تعويض غير موثوقة خارج الموقع الرسمي.

تعزيز عملية التحقق: تحديد الضحايا الحقيقيين

يقوم فريق التحقق في Trust Wallet حالياً بمراجعة طلبات التعويض بشكل دقيق. ووفقًا لتصريحات تشن، يتم استخدام عدة نقاط بيانات، مثل سجل المعاملات، معلومات إصدار الإضافة، وإثبات ملكية المحفظة، لتمييز الضحايا الحقيقيين عن المحتالين.

وأوضحت الشركة أنها تفضل دقة التحقق على سرعة الدفع، وتقوم بتعديل وتيرة عمليات الاسترداد بشكل متعمد لمنع الاستيلاء غير المشروع.

وفي التحقيقات الجنائية التقنية الجارية، تم اكتشاف أن المهاجمين لديهم معرفة عميقة ببنية شفرة المصدر الخاصة بـ Trust Wallet. ولا تزال التحقيقات جارية حول احتمال وجود تورط داخلي، ولم يتم تأكيد أدلة حاسمة حتى الآن، ويستمر التحقيق بمساعدة خبراء خارجيين.

الضعف الجذري في المحافظ ذات الإدارة الذاتية

سلطت الحادثة الضوء على المخاطر الكامنة في مفهوم المحافظ ذات الإدارة الذاتية. مع انتشار الإضافات للمتصفحات، بدأ القطاع في إدراك أن مسارات تحديث البرمجيات (سلسلة التوريد) قد تصبح هدفًا جديدًا للهجمات.

وأشارت عدة شركات محافظ إلى أن الاعتماد على إدارة المفاتيح السرية من قبل المستخدمين لا يلغي الاعتماد المركزي على توزيع التطبيقات وتحديثات البرمجيات. وأكد خبراء الصناعة أن “حتى في المحافظ ذات الإدارة الذاتية، يمكن أن يكون هناك نقطة فشل واحدة في توزيع التطبيق أو تحديث البرمجيات”، واقترحوا اعتماد طرق بناء قابلة لإعادة الإنتاج، وتعزيز فحوصات السلامة، وتوزيع التحديثات بشكل لامركزي لزيادة الثقة.

ويشكل هذا المنظور تحولًا في وعي صناعة المحافظ ذات الإدارة الذاتية فيما يخص الأمان.