استهداف dYdX بحزم خبيثة لتفريغ محافظ المستخدمين

كشف الباحثون أن الجهات الفاعلة الضارة تستهدف dYdX وتستخدم حزمًا خبيثة لتفريغ محافظ المستخدمين. ووفقاً للتقرير، كانت بعض الحزم مفتوحة المصدر المنشورة على مستودعات npm وPyPi مشحونة بكود يسرق بيانات اعتماد المحفظة من مطوري dYdX وأنظمة الخلفية.

dYdX هو سوق تداول لامركزي للمشتقات يدعم مئات الأسواق للتداول الدائم. في التقرير، ذكر باحثون من شركة الأمان Socket أن جميع التطبيقات التي تستخدم إصدارات npm المتضررة معرضة للخطر. زعموا أن التأثير المباشر للهجمات شمل اختراق المحفظة بالكامل وسرقة العملات المشفرة. نطاق الهجوم يشمل جميع التطبيقات التي تعتمد على الإصدار المتضرر، وكل من اختبار المطورين باستخدام بيانات اعتماد حقيقية ومستخدمي الإنتاج النهائي.

اختراق الحزم الخبيثة للمحافظ المرتبطة بـ dYdX

ووفقاً للتقرير ، شملت الحزم المصابة حزم npm (@dydxprotocol/v4-client-js) (الإصدارات 3.4.1، 1.22.1، 1.15.2، 1.0.31) وPyPI (dydx-v4-client) (الإصدار 1.1.5post1). وذكرت Socket أن المنصة قد معالجة أكثر من 1.5 تريليون دولار من حجم التداول منذ ظهورها في صناعة التمويل اللامركزي، بمتوسط حجم تداول يتراوح بين 200 مليون دولار و540 مليون دولار. بالإضافة إلى ذلك، تمتلك المنصة أيضاً حوالي 175 مليون دولار من المصالح المفتوحة.

توفر المنصة مكتبات برمجية تسمح للتطبيقات التابعة لأطراف ثالثة بإنشاء روبوتات التداول، والاستراتيجيات الآلية، أو خدمات الخلفية، والتي تتضمن جميعها عبارات الاسترداد أو المفاتيح الخاصة للتوقيع. أدخلت البرمجيات الخبيثة على npm دالة خبيثة في الحزمة المشروعة. عند معالجة عبارة البذرة التي تدعم أمان المحفظة، تقوم الدالة بنسخها مع بصمة الجهاز الذي يعمل عليه التطبيق.

تسمح البصمة للفاعل الخبيث بمطابقة البيانات المسروقة مع الضحايا عبر عدة اختراقات. النطاق الذي يستقبل عبارات البذرة هو dydx[.]priceoracle[.]site، الذي يحاكي خدمة dYdX المشروعة على dydx[.]xyz من خلال انتحال النطاق (Typosquatting). استمرت البرمجيات الخبيثة المتاحة على PyPI في تنفيذ وظيفة سرقة البيانات نفسها، على الرغم من أنها تنفذ برمجيات وصول عن بعد خبيثة (RAT) تسمح بتنفيذ برمجيات خبيثة جديدة على الأنظمة المصابة بالفعل.

لاحظ الباحثون أن الباب الخلفي يتلقى الأوامر من dydx[.]priceoracle[.]site، مضيفين أن النطاق تم إنشاؤه وتسجيله في 9 يناير، قبل 17 يوماً من تحميل الحزمة الخبيثة على PyPI. ووفقاً لـ Socket، يعمل RAT كخيط خلفية (daemon thread)، ويرسل إشارات إلى خادم C2 بفاصل زمني قدره 10 ثوانٍ، ويتلقى أكواد بايثون من الخادم وينفذها في عملية فرعية معزولة بدون إخراج مرئي. بالإضافة إلى ذلك، يستخدم أيضاً رمز تفويض ثابتاً.

هجوم جديد يكشف عن اتجاه مقلق

وأضافت Socket أنه بمجرد التثبيت، تمكّن الفاعلون الخبيثون من تنفيذ أكواد بايثون بشكل تعسفي بصلاحيات المستخدم، وسرقة مفاتيح SSH، وبيانات اعتماد واجهة برمجة التطبيقات (API)، والأكواد المصدرة. بالإضافة إلى ذلك، могли تثبيت أبواب خلفية دائمة، واستخراج الملفات الحساسة، ومراقبة نشاط المستخدم، وتعديل الملفات الحرجة. وأضاف الباحثون أن الحزم نُشرت على npm وPyPI باستخدام حسابات dYdX الرسمية، مما يعني أنها تم اختراقها واستخدامها من قبل المهاجمين.

في حين لم تصدر dYdX بعد بياناً يتناول القضية، فإن هذه هي المرة الثالثة على الأقل التي تستهدف فيها الهجمات. حدث الحادث السابق في سبتمبر 2022 عندما تم تحميل كود خبيث على مستودع npm. في عام 2024، استولى المهاجمون على موقع dYdX بعد اختراق موقع V3 عبر DNS. تم إعادة توجيه المستخدمين إلى موقع خبيث حثهم على توقيع معاملات مصممة لتصريف محافظهم.

زعمت Socket أن أحدث حادث يسلط الضوء على نمط مقلق من الأعداء الذين يستهدفون الأصول المرتبطة بـ dYdX باستخدام قنوات توزيع موثوقة. وأشارت إلى أن المهاجمين قاموا عمداً باختراق الحزم في بيئتي npm وPyPI لتوسيع سطح الهجوم للوصول إلى مطوري جافا سكريبت وبايثون الذين يعملون مع المنصة. يجب على أي شخص يستخدم المنصة فحص جميع التطبيقات بعناية بحثاً عن اعتمادات على الحزم الخبيثة.