ZachXBT يشارك تسجيل فيديو لمحتال بوت Telegram المزيف Safeguard المحبوس

شارك المحقق الأمني في العملات المشفرة ZachXBT تسجيل فيديو على حسابه في X، كاشفاً عن مخترق يُعرف باسم vKevin أثناء عملية احتيال معقدة عبر بوت Telegram مزيف باسم Safeguard. يُعتقد أن المستغل كان يعمل مع جهات فاعلة أخرى في الاحتيال بينما كان في مدرسة في نيويورك.

في 23 يناير، نشر zachXBT، وهو شخصية معروفة في مجتمع التحقيقات في العملات المشفرة، فيديو مدته 31 دقيقة على منصة التواصل الاجتماعي X، يظهر فيه 'vKevin' وهو يستخدم Telegram لخداع الأموال من الضحايا. في الفيديو، ظهر 'vKevin' وهو يتعاون مع متآمرين أثناء الانخراط في أنشطة تصيد تهدف إلى ضحايا غير متيقظين.

كان محلل الأمن في العملات المشفرة يستجيب لمنشور من قبل المستخدم @pcaversaccio، الذي حذر مجتمع العملات المشفرة من التكتيك المخادع الجديد على Telegram، ووصفه بأنه "أكبر تهديد أمني حالياً".

يا رفاق، أكبر تهديد أمني حالياً هو الأشخاص الذين يشغّلون الأكواد بشكل أعمى، أو يستدعون أوامر غامضة، أو يثبتون التطبيقات فقط لأن شخصاً عشوائياً أو موقعاً على الإنترنت أخبرهم بذلك. مثال: توقفوا عن تشغيل أوامر PowerShell الخبيثة بشكل أعمى فقط لأن... pic.twitter.com/vuBDabQJNY

— sudo rm -rf –no-preserve-root / (@pcaversaccio) 23 2025 يناير

تضمنت عملية الاحتيال خداع الضحايا للتحقق من هويتهم من خلال بوت Safeguard مزيف. سمح ذلك للمخترق بالحصول على وصول غير مصرح به إلى حساباتهم على Telegram، وبعدها إلى محافظ بوتات التداول الخاصة بهم. بمجرد الوصول إليها، يمكن للمستغلين سرقة أصول الضحايا، والتي تصل إلى مئات الآلاف من الدولارات في بعض الحالات. 

المحققون يحددون عملية احتيال جديدة وخطيرة لبوت Telegram 

ووفقاً لشرح منشور على Medium من قبل شركة أمن البلوك تشين SlowMist، فإن عملية احتيال بوت Telegram المزيف Safeguard لها طريقتان للتسلل. يمكن للمحتالين الاستفادة من البوت لتطلب من المستخدمين إعطاء معلومات خاصة، بما في ذلك كلمات المرور ورموز التحقق. يمكنهم أيضاً زرع فيروسات برمجية خبيثة لاختراق أجهزة الكمبيوتر وسرقة المعلومات مباشرة.

في المقال المنشور في 18 يناير، سلطت شركة SlowMist الضوء على كيفية قيام الجهات الفاعلة الخبيثة بإنشاء حسابات مزيفة لقادة الرأي الرئيسيين (KOLs) على X، مع إرفاق روابط دعوة مجموعات Telegram في التعليقات لجذب الضحايا المحتملين.

يتم بعد ذلك ترحيب المستخدمين الذين ينضمون إلى "المجتمعات" من خلال الرابط بطلبات لعملية "تحقق". إذا اتبعوا الخطوات، فإن وكيل Trojan للوصول عن بعد الخبيث (RAT) يطلق أوامر PowerShell التي تقوض أي تثبيتات أمنية، مما يمكّن المخترق من الوصول إلى النظام دون إذن.

بعد منشور ZachXBT، استفسر أحد المستخدمين عما إذا كان المخترق 'vKevin' قد تم كشف هويته، وهو ما أكده ZachXBT بكلمة بسيطة "نعم". 

سيكون محتجزًا خلف القضبان.

(وآه، أنت تبدو قبيحاً يا أخي) pic.twitter.com/DKcomKIk6M

— ImNotTheWolf (@ImNotTheWolf) 23 2025 يناير

في أحد الردود، شارك مستخدم صورة للمستغل المزعوم، على الرغم من أن بعض التفاصيل المحددة، مثل موقعه الفوري أو من كان يعمل معه، لم يتم الكشف عنها بعد.

نفس المخترق مسؤول عن خرق سيرفر Discord في عام 2022

كان vKevin مسؤولاً نظرياً عن خرق شبكة آخر أدى إلى خسارة حاملي NFT أكثر من 300,000 دولار في 14 أغسطس 2022. تم الكشف عن التحديث من قبل مستخدم X @Iamdeadlyz. وشرح كيف هاجم المخترق سيرفر Discord الخاص بـ DigikongNFT عندما نشر رابط ويب (webhook) على شكل بوت MEE6 مزيف داخل السيرفر.

صُمم هذا البوت لتسهيل هجوم تصيد باستخدام bookmarklet لاستخراج رموز المصادقة الخاصة بمستخدمي Discord من الموقع. كان موقع التصيد المرتبط بهذا الهجوم مستضافاً على mee6.ca/verify، وهو نطاق مسجل عبر خدمة الويب Namecheap ومستضاف على AWS بعنوان IP 23.22.5.68.

.@DigikongNFTخُرق خادم 's على Discord

/famousfoxfedaration.netlify.app

🌐@Netlify @NetlifySupport

🚩 @solanafm
3HZmQ7TVkhcuPu5jb349LARJYP8LMVC7U31qsCuYCkso

نفس الفاعل الخبيث/وراء هجوم @AI_Roulette

المحتال @Discord المعرف: 852413673053093908 https://t.co/3K6MiIE3Ky pic.twitter.com/NxENWxTrsW

— iamdeadlyz (@Iamdeadlyz) أغسطس 14، 2022

تمت مشاركة أدلة على أفعال vKevin في القناة العامة لسيرفر Discord، على الرغم من أن معظم المعلومات الحساسة تم حذفها.

أكدت Namecheap لاحقاً أنها علقت الخدمة المسيئة استجابةً لهذا الخرق الأمني، لكن vKevin والمخترقين الآخرين سرعان ما هربوا بمجموعات NFT.