- انتقلت بينانس إلى طمأنة العملاء بعد هجوم واسع النطاق على سلسلة إمداد NPM أدى إلى حقن كود ضار في 18 حزمة جافاسكريبت شائعة.
- اختطف القراصنة حسابات مشغلي المصادر المفتوحة عبر رسائل تصيد، مستهدفين محافظ العملات المشفرة وإعادة توجيه المعاملات بصمت إلى عناوين تحت سيطرة المهاجمين.
- يحذر خبراء الأمن من مخاطر واسعة النطاق حيث تعرض أكثر من ملياري تحميل أسبوعي للخطر، رغم تأكيد بينانس عدم تأثر بيانات العملاء أو أصولهم.
أعاد أكبر منصة تبادل للعملات الرقمية في العالم من حيث حجم التداول، Binance، طمأنة العملاء يوم الثلاثاء بأنه لم يتم اختراق أي بيانات مستخدمين أو أصول خلال واحدة من أكبر هجمات سلسلة التوريد التي ضربت نظام JavaScript على الإطلاق.
وفقاً لبيان نُشر على منصة X، ذكرت Binance أنه لم يلحق أي ضرر بقاعدة بياناتها أثناء الاختراق الذي استهدف حزم Node.js المستخدمة على نطاق واسع والمضمنة في أكثر من ملياري تحميل لتطبيقات أسبوعياً.
“نحن على علم بهجوم سلسلة التوريد الأخير، الذي نشر نسخاً خبيثة من عدة حزم JavaScript شائعة الاستخدام،” كتبت الشركة. “بعد التحقيق، أكدنا أننا لم نتأثر وأن بيانات العملاء أو أصولهم ليست في خطر. يظل الأمن أولويتنا القصوى، وهذا الاختراق تذكير بمدى أهمية أمن سلسلة التوريد. ابقَ آمناً (SAFU).”
وتحدث المؤسس المشارك تشانغ بنج تشاو، المعروف أيضاً باسم CZ، معلقاً، “حتى البرمجيات مفتوحة المصدر لم تعد آمنة في هذه الأيام. سيُعيد Web3 تعريف الأمن لـ Web2. نحن لا نزال في مراحل مبكرة.”
هجوم سلسلة التوريد على حزم JavaScript يرعب مستثمري العملات الرقمية
وقعت الهجمة، التي وصفها باحثو الأمن السيبراني بأنها واحدة من أكبر الهجمات في تاريخ NPM، في 8 سبتمبر. قام المخترقون باختراق حساب أحد مشغلي المصادر المفتوحة الموثوقين المعروف باسم "qix"، والمُعرّف أيضاً باسم Josh Junon.
أخدع المهاجمون جونون عبر بريد إلكتروني للتصيد الاحتيالي يتنكر كمراسلات رسمية من npmjs، المستودع المركزي لحزم JavaScript. وكما يظهر في البريد الإلكتروني المزيف، أقنع الجناة جونون بأن حسابه سيتم قفله في 10 سبتمبر 2025، ما لم يقم فوراً بتحديث بيانات المصادقة الثنائية الخاصة به.
«بصفتنا جزءًا من التزامنا المستمر بأمان الحسابات، نطلب من جميع المستخدمين تحديث بيانات المصادقة الثنائية (2FA). تشير سجلاتنا إلى أنه قد مر أكثر من 12 شهرًا على آخر تحديث للمصادقة الثنائية الخاصة بك»، جاء في البريد الإلكتروني.
أكد Junon على منصة X أنه وقع ضحية مخطط التصيّد بعد أن كشف أحد المشرفين الآخرين عن أن حسابه على NPM كان “ينشر حزم برمجية تحتوي على أبواب خلفية”، مما مكن المهاجمين من اختراق حسابه ودفع تحديثات خبيثة إلى 18 مكتبة Node.js شهيرة.
شملت الحزم chalk وdebug وansi-styles وstrip-ansi، وكلها مدمجة في الويب.
كود خبيث يستهدف المعاملات المشفرة
وفقًا لتحليل من Aikido Security، قام المهاجمون بحقن كود في الحزم المخترقة مكنهم من العمل كوسطاء اعتراضيين يعتمدون على المتصفح. تم إرفاق الكود في ملفات index.js، حيث يمكنه اختراق حركة مرور الشبكة وواجهات برمجة التطبيقات (APIs) في أي تطبيق يستخدم الحزم الملوثة.
يراقب البرنامج الضار عناوين المحافظ والمعاملات الخاصة بالأصول الرقمية الرئيسية، بما في ذلك البيتكوين والإيثريوم والسولانا والترون ولايتكوين وبيتكوين كاش. بمجرد اكتشافها، يستبدل البرمجية الخبيثة عنوان المحفظة الوجهة بعنوان يتحكم فيه المهاجمون، مما يعيد توجيه الأموال دون علم الضحية.
وكما غطى موقع Cryptopolitan ذلك بالأمس، قال تشارلز غيليميت، كبير مسؤولي التكنولوجيا في شركة صناعة المحافظ المادية Ledger، إن الكود الخبيث كان قد انتشر بالفعل في حزم برمجية تجاوز عدد تحميلاتها مليار تحميل.
أفادت شركة تحليل البلوك تشين أركم إنelligence في وقت متأخر من يوم الاثنين أن قيمة العملات المشروبة المسروقة بلغت 159 دولاراً فقط. تم تتبع الأموال المسروقة إلى عناوين تم تحديدها في الإفصاحات الأصلية التي شاركها فريق أمان ليدجر.
ومع ذلك، يعتقد الباحثون أن الرقم المنخفض لا يعني أن الضرر المحتمل سيكون محدوداً، نظراً لمليارات التحميلات المرتبطة بالحزم المتضررة.
لا تكتفِ بقراءة أخبار العملات الرقمية فحسب، بل افهمها. اشترك في نشرتنا الإخبارية. مجانية.
إخلاء مسؤولية. المعلومات المقدمة ليست نصيحة تداول. Cryptopolitan.com لا تتحمل أي مسؤولية عن أي استثمارات تتم بناءً على المعلومات المقدمة في هذه الصفحة. نوصي بشدة بإجراء بحث مستقل و/أو الاستعانة بمستشار مؤهل قبل اتخاذ أي قرارات استثمارية.
فلورنس موتشاي
تغطي فلورانس منذ 6 سنوات أخبار العملات الرقمية، والألعاب، والتكنولوجيا، والذكاء الاصطناعي. وقد زودتها دراستها لعلوم الحاسوب في جامعة ميرو للعلوم والتكنولوجيا، ودراسة إدارة الكوارث والدبلوماسية الدولية في MMUST بالمهارات اللغوية والملاحظة والتقنية اللازمة. عملت فلورانس في مجموعة VAP Group وككاتبة تحريرية في عدة وسائل إعلام متخصصة في العملات الرقمية.
