تم اكتشاف ثغرة خلفية لسرقة العملات الرقمية في منصة متجر Snap للمستخدمين على نظام لينكس

يواجه مستخدمو نظام لينكس تهديدًا جديدًا حيث يستغل مجرمون إلكترونيون ثغرة حرجة في متجر Snap التابع لشركة Canonical، لاختراق حسابات مطورين موثوقين وتوزيع برمجيات خبيثة لسرقة العملات الرقمية مقنعة كتطبيقات محافظ شرعية.

حذر 23pds، كبير مسؤولي الأمن المعلوماتي في شركة SlowMist، والذي يحمل اسم المستخدم @im23pds على منصة X، من أن المهاجمين يراقبون حسابات المطورين المرتبطة بأسماء نطاقات منتهية الصلاحية.

كيف تعمل هجوم متجر Snap؟

23pds كتب, "احذروا أيها مستخدمي لينكس: نوع جديد من الهجمات يشعل نيرانه في متجر Snap — فقد استولى القراصنة على النطاقات المنتهية الصلاحية وحولوها إلى ثغرات خلفية لسرقة أصول العملات الرقمية للمستخدمين."}

تتم إخفاء التطبيقات المعبّأة على أنها محافظ عملات رقمية معروفة مثل Exodus وLedger Live أو Trust Wallet، مما يخدع المستخدمين لإدخال عبارة استعادة المحفظة الخاصة بهم، مما يؤدي إلى سرقة أموالهم بالكامل.

بمجرد انتهاء صلاحية النطاق المستهدف وإتاحته للتسجيل، يقوم المهاجمون بشرائه فورًا، ثم يستخدمون عنوان البريد الإلكتروني المرتبط بهذا النطاق لتفعيل إعادة تعيين كلمة المرور في متجر Snap. وهذا يمنحهم سيطرة كاملة على هويات الناشرين الموثوقة ذات السجل الطويل دون إثارة أي شكوك فورية.

تم تأكيد اختراق حسابي مطور على الأقل باستخدام هذه الطريقة، حيث سقط نطاقا storewise.tech و vagueentertainment.com في أيدي المهاجمين.

وفقًا لألان بوب، المطور السابق لشركة Canonical والمساهم في نظام Ubuntu، يُعتقد أن الفاعلين الخبيثين مقرهم في كرواتيا، وقد كانوا ينفذون حملات ضد مستخدمي متجر Snap منذ حوالي عامين.

يُعد الاستيلاء على النطاق أحدث وأكثر التطورات إثارة للقلق في أنشطة هؤلاء الفاعلين السيئين، حيث يعني ذلك الآن أن "البرامج الشرعية المثبتة والموثوقة من قبل المستخدمين لسنوات قد يتم حقنها بكود ضار من قبل المتسللين عبر قنوات التحديث الرسمية بين عشية وضحاها."

وفقًا لـ 23pds، "تُخفى التطبيقات المعبأة عادةً على أنها محافظ عملات رقمية معروفة مثل Exodus أو Ledger Live أو Trust Wallet، مع واجهات شبه مستحيلة التمييز عن النسخة الأصلية."

أوضح قائلاً: "بعد إطلاق التطبيق، يتصل أولاً بخادم عن بعد للتحقق من الشبكة، ثم يطلب فورًا من المستخدم إدخال عبارة استعادة المحفظة الخاصة به. بمجرد تقديمها، تُرسل هذه التفاصيل الحساسة فورًا إلى خادم المهاجم، مما يؤدي إلى سرقة الأموال."

غالبًا ما يكتشف الضحايا أن أموالهم قد سُرقوا قبل ملاحظة وجود أي خطأ، لأن الهجوم يستغل علاقات الثقة الراسخة منذ فترة طويلة.

ماذا تفعل المنصات الكبرى لتقييد هجمات إحياء النطاق؟

عانت GitHub وPyPI وnpm جميعها من هجمات إحياء نطاق مشابهة. حددت دراسة أكاديمية نُشرت في عام 2022 أكثر من 2,800 حساب لمطوري npm مُعدّة بعناوين بريد إلكتروني انتهت صلاحية نطاقاتها لاحقًا، مما سلّط الضوء على حجم الثغرات الأمنية المحتملة.

في يونيو 2025، أزال فريق أمن بايثون أكثر من 1,800 عنوان بريد إلكتروني منتهٍ الصلاحية من حسابات المطورين، مما أجبرهم على إعادة التحقق من بيانات اعتمادهم باستخدام نطاقات نشطة عند تسجيل الدخول التالي. 

تنبع المشكلة من ما يسميه خبراء الأمن «تعفن الإنترنت» أو «تعفن الروابط»، حيث يفشل المطورون الذين ينتقلون بين الوظائف أو مزودي خدمات البريد الإلكتروني في تحديث معلومات الحساب عبر جميع المنصات، مما يخلق ثغرات أمنية قابلة للاستغلال.

أشار بوب إلى أن Canonical تحتاج إلى معالجة هذه المشكلة من خلال تنفيذ ضوابط حماية، والتي قد تشمل مراقبة انتهاء صلاحية النطاقات في حسابات الناشرين، ومتطلبات تحقق إضافية للحسابات غير النشطة، وتفعيل المصادقة الثنائية الإلزامية، أو اتخاذ تدابير أخرى.