مطورو DeFi ومستخدمو روبوت التداول في Polymarket يستهدفون بحزمة npm جديدة مسروقة للمعلومات

أنشأ القراصنة روبوت تداول مزيف لأسواق التنبؤ في Polymarket على GitHub. تم استخدام الروبوت لنشر برمجيات خبيثة تسرق بيانات الاعتماد مثل مفاتيح المحافظ وكلمات مرور المتصفح.

تم العثور على 30 حزمة ضارة عبر عدة حسابات npm، reportedly تستهدف المطورين والتجار الذين يستخدمون استراتيجيات آلية. وقع ما لا يقل عن 53 مطوراً في الفخ قبل أن يتم اكتشافه.

كيف انتشر روبوت مزيف إلى أكثر من 53 مطور؟

في 1 يوليو 2026، قامت شركة الأمن SlowMist بتحديد روبوت تداول مزيف وعد بأرباح كبيرة في Polymarket لكنه كان في الواقع مجرد وسيلة لنشر البرمجيات الخبيثة. وجدت SafeDep 30 حزمة npm ضارة منتشرة عبر حسابات متعددة ومرتبطة بمستودع GitHub مزيف واحد.

نشر المجرمون «polymarket-arbitrage-bot» الذي ادعى تحقيق أكثر من 80,000 دولار سنوياً. حصل على 36 نجمة و53 نسخة قبل كشف الاحتيال. كل مطور قام بتنزيله وتثبيته شغل البرمجيات الخبيثة.

كان المهاجمون يدركون حقيقة أن روبوتات التداول الحقيقية حققت أرباحاً ضخمة في Polymarket.

حول روبوت واحد من قبل محلل أسواق التنبؤ Dexter’s Lab مبلغ 313 دولاراً إلى 414,000 دولار في شهر واحد فقط، بينما حقق روبوت آخر، حلله الباحث Igor Mikerin، 2.2 مليون دولار على مدى شهرين. جعلت هذه السجل الوظيفي الروبوت المزيف يبدو مقنعاً للتجار الذين يبحثون عن أرباح سهلة.

شملت تعليمات هذا الروبوت المزيف وضع المستخدمين لمفتاحهم الخاص في Polymarket في ملف .env قبل تشغيل «npm install». أثناء التثبيت، ستعمل البرمجيات الخبيثة، المخفية داخل تبعية تسمى «clob-client-math»،.

تسرق البرمجيات الخبيثة الكثير من البيانات الحساسة، بما في ذلك: 

• بيانات محافظ العملات المشفرة من MetaMask، وPhantom، وCoinbase Wallet، وTrustWallet، وغيرها.
• بيانات المتصفح مثل كلمات المرور المحفوظة وملفات تعريف الارتباط من Chrome، وFirefox، وBrave.
• مفاتيح SSH، وتفاصيل تسجيل الدخول إلى AWS، ورموز npm وPyPI.
• البيانات من مديري كلمات المرور مثل Bitwarden، وKeePass، و1Password.
• المفاتيح الخاصة ورموز API.

ماذا يجب أن تفعل إذا قمت بتنزيل الروبوت المزيف؟

يعتقد باحثو الأمن أن القراصنة الشماليين الكوريين وراء هذا الهجوم. المجموعة تدير حملة أكبر تسمى «Contagious Trader» تستهدف مطوري العملات المشفرة.

أبلغت Cryptopolitan في مارس أن القراصنة استولوا على حساب مطور Axios ونشروا حزم npm ضارة. في مايو، تم استخدام حساب مخترق للاستيلاء على 323 حزمة في أقل من 30 دقيقة.

واجه مستخدمو Polymarket أيضاً هجمات أخرى هذا العام، مثل عندما، في أواخر يونيو، احتيال تصيد صرف 2.94 مليون دولار من ما لا يقل عن 11 حسابات.

تقول SafeDep إن أي جهاز كمبيوتر شغل «npm install» على الروبوت المزيف يجب التعامل معه على أنه مخترق. يُنصح هؤلاء الأفراد بتدوير جميع مفاتيح محافظ العملات المشفرة على الفور، وتغيير كل كلمة مرور مخزنة في متصفحاتهم، واستبدال جميع بيانات اعتماد AWS، ومفاتيح SSH، ورموز API.

يُنصح التجار أيضاً بفحص ملفات قفل npm الخاصة بهم بحثاً عن الحزم الضارة الـ 30 من خلال البحث عن التبعية التي تظهر في package.json ولكن لا يتم استخدامها أبداً في الكود. ذكر «package.json» للمستودع في هذا الهجوم أربع تبعية، لكن ثلاثة فقط (SDK الرسمي لـ Polymarket، ethers، وdotenv) كانت شرعية. التبعية الرابعة، clob-client-math، التي أخفت البرمجيات الخبيثة، لم يتم استيرادها أبداً في أي مكان في الكود المصدري للروبوت.

أفضل دفاع هو التحقق مما إذا كانت الطرود تأتي من حسابات جديدة ليس لها تاريخ نشر، حيث تم نشر جميع الطرود المزيفة بواسطة حسابات جديدة تمامًا.