مستخدمو نظام تداول الذكاء الاصطناعي NOFX القائم على DeepSeek وQwen ضحايا سرقة العملات المشفرة وتسريبات المفاتيح الخاصة

قادت شركة أمان البلوك تشين SlowMist تحقيقاً كشف عن ثغرات حرجة في NOFX AI، وهو نظام تداول عقود مستقبلية للعملات المشفرة مفتوح المصدر مبني على بنية DeepSeek وQwen للنماذج اللغوية الكبيرة. 

وفقاً للنتائج المنشورة على Web3Caff، تركت العيوب في إصدارات متعددة من النظام بعض المستخدمين عرضة لتسرب بيانات الاعتماد، حيث تمكن المهاجمون، في بعض الحالات، من الحصول على المفاتيح الخاصة للمحفظة وبيانات اعتماد واجهة برمجة التطبيقات (API) للمراكز اللامركزية والمركزية.

بعد إجراء هذه الاكتشافات، تواصل فريق SlowMist مع فرق الأمان في Binance وOKX، الذين عملوا مع الفريق لتحديد المستخدمين المتأثرين وإلغاء المفاتيح المخترقة.

ثغرات المصادقة مكشوفة في إصدارات متعددة

بدأ تحقيق SlowMist بعد أن تلقى الفريق معلومات من باحث مجتمعي يعمل تحت الاسم المستعار @Endlessss20، الذي اشتبه في أن NOFX AI قد يكون يتسرب مفاتيح واجهة برمجة التطبيقات (API) للتبادل. 

Cos، مؤسس SlowMist، الذي يستخدم الاسم المستعار على X @evilcos، كان في البداية يمدح جهود NOFX AI مفتوحة المصدر، واصفاً إياها بأنها جديرة بالثناء.

ومع ذلك، صرح لاحقاً أن المخاطر التي "كشفنا عنها أدت بالفعل إلى حوادث سرقة حقيقية، حيث تم تسرب المفاتيح الخاصة لمحافظ بعض المستخدمين وبيانات اعتماد واجهة برمجة التطبيقات (API) للمراكز المركزية واللامركزية كنتيجة لذلك."

وأضاف كوس أن جهود الإفصاح الأولية التي قامت بها شركة SlowMist كانت منسقة عمداً مع فرق أمن البورصات لضمان إبلاغ المتأثرين قبل نشر التفاصيل علناً.

وقد حددت التحليلات اللاحقة التي أجرتها SlowMist مشكلتي مصادقة أساسيتين تؤثران على أجيال مختلفة من مستودع البرمجيات مفتوحة المصدر.

وذكر أن هذه المشكلة كانت موجودة في الإصدارات الأقدم والأحدث من المنصة مفتوحة المصدر؛ حيث كان النظام يعمل في حالة "يتطلب التفويض" رغم افتقاره إلى ضوابط الوصول الفعلية، مما ترك وظائف المسؤول الحساسة (admin) مفتوحة دون مصادقة.

لذلك، كان بإمكان المهاجمين التفاعل مع واجهات برمجة التطبيقات (APIs) الخاصة بالمسؤولين دون الحاجة إلى بيانات اعتماد.

ومما يفاقم هذه الضعف في المصادقة، أن أحد نقاط نهاية واجهة برمجة التطبيقات (API) في النظام كان يعيد بيانات الاتصال الحساسة بشكل افتراضي، بما في ذلك مفاتيح API والأسرار المرتبطة بها لبورصات مثل Binance وHyperliquid و Aster DEX.

استجابة أمنية منسقة مع البورصات

بعد تأكيد خطورة المشكلات، اتصلت SlowMist بقسمي الأمن في Binance وOKX.

وقد أنشأوا غرفة عمليات أمنية مشتركة حيث قدمت SlowMist الاستخبارات وتقييماً للأثر، بينما قام فرق البورصات بتحليل بيانات واجهة برمجة التطبيقات (API) المخترقة والتحقق منها بشكل مستقل.

ثم عملت المجموعات للخلف من المفاتيح المكشوفة لتحديد الحسابات المعرضة للخطر على منصات البورصات.

وقد بدأت البورصات في اتخاذ تدابير مضادة، وإبلاغ كل مستخدم متأثر وسحب مفاتيح API الخاصة به ومفاتيح الأسرار وأي بيانات اعتماد مرتبطة بالأتمتة على الفور. وقالت SlowMist في تقريرها: "اعتباراً من 17 نوفمبر، تم إبلاغ جميع مستخدمي البورصات المركزية المتأثرين، وتم سحب المفاتيح ذات الصلة، وأصولهم في أمان".

ومع ذلك، اعترفت بأن الوصول إلى المستخدمين على البورصات اللامركزية كان أكثر صعوبة نسبياً. وقالت SlowMist إن فريقها وفريق Binance حاولا الاتصال بعدد صغير من مستخدمي Aster و Hyperliquid المستخدمين مباشرة، لكنهما لم يستطيعا ذلك "بسبب عناوين المحافظ اللامركزية".

وقالت الشركة الأمنية للمستخدمين: "إذا كنت تستخدم أنظمة التداول الآلي على Aster أو Hyperliquid، يرجى التحقق من المخاطر ذات الصلة ومعالجتها على الفور".

تحذيرات لنظام التداول بالذكاء الاصطناعي

وأشارت SlowMist أيضاً إلى وجود ارتفاع في مشاريع تكميم نماذج الذكاء الاصطناعي واسعة النطاق؛ ومع ذلك، لا تزال معظم التطبيقات مفتوحة المصدر في مراحلها الأولى.

ولذلك، يُنصح أولئك الذين ينشئون مثل هذه الأنظمة مفتوحة المصدر الناشئة بـ "إجراء تدقيقات أمنية شاملة للكود وتعزيز تدابير التحكم في المخاطر لتجنب الخسائر المالية".

كما قدمت الشركة الأمنية توصيات لفريق NOFX AI والمستخدمين، نصحتهم برفض تشغيل البرنامج إذا تم اكتشاف مفتاح قالب، وتعطيل وضع المسؤول ما لم يتم تكوينه صراحةً وحمايته بكلمة مرور قوية ومصادقة OTP، وإعادة تصميم نقاط النهاية الحساسة لإرجاع بيانات تعريفية غير حرجة فقط مع طلب التحقق الثانوي للوصول إلى المفاتيح الخاصة أو مفاتيح API، من بين أمور أخرى.

وحذرت الشركة من أنه "حتى يكمل فريق التطوير هذه الإصلاحات، يجب اعتبار أي نشر على الإنترنت العام عالي المخاطر".