ملخص تنفيذي

‍

تعاني بورصة WazirX للعملات المشفرة من خرق أمني بملايين الدولارات

في 18 يوليو 2024، أدى هجوم إلكتروني إلى اختراق محفظة رموز إيثريوم (ETH) و ERC-20 متعددة التوقيعات التابعة لبورصة العملات المشفرة الهندية WazirX. استحوذ المهاجمون على ما يقرب من 230 مليون دولار من الأصول الرقمية، وهو ما يمثل ما يقرب من نصف إجمالي مقتنيات WazirX وفقًا لأحدث تقرير لإثبات الاحتياطي (حوالي 503 مليون دولار).

‍

مشاركة كوريا الشمالية المحتملة

ويحمل الهجوم بصمات الحملات السابقة التي قامت بها مجموعة لازاروس، وهي مجموعة قرصنة ترعاها الدولة الكورية الشمالية. ينبع هذا الشك من أوجه التشابه في التكتيكات وتحديد محفظة KYC للمهاجم في بورصة Binance.

‍

استغلال المحفظة متعددة التوقيعات

حصل الجناة على وصول غير مصرح به إلى مفاتيح متعددة مطلوبة للسماح بالمعاملات داخل المحفظة المستهدفة متعددة التوقيعات. لقد استخدموا تقنيات مختلفة للتشويش على تحركاتهم، بما في ذلك:

تحويل الأموال المسروقة عبر شبكات بلوكتشين متعددة (التنقل عبر السلسلة)
تجزئة المبالغ الكبيرة إلى معاملات تتضمن العديد من العملات المشفرة
تنفيذ المعاملات التي تؤدي إلى عدم وجود أرصدة ETH أو إنشاء رموز معاملات مخادعة

يشير تحليل بلوكتشين إلى أن المهاجمين ربما كانوا يستعدون لهذا الهجوم لمدة ثمانية أيام قبل تنفيذه.

‍

احتيال النطاق المشابه

وبالاستفادة من الارتباك المحيط بالاختراق، قامت مجموعة منفصلة من المحتالين بنشر نطاقات مشابهة تحاكي منصة WazirX الشرعية. تستخدم مواقع الويب الخادعة هذه اصطلاحات تسمية مماثلة لجذب الضحايا غير المرتابين، لا سيما أولئك الذين تأثروا بالخرق الأمني الأولي. الهدف هو خداع المستخدمين للتنازل عن أي مقتنيات متبقية من العملات المشفرة داخل محافظهم.

‍

إمكانات الاسترداد المحدودة وتأثير المستخدم

يبدو أن الاسترداد الكامل للأموال المسروقة من قبل WazirX غير مرجح. من المتوقع أن يكون لهذا الحادث عواقب سلبية كبيرة على مستخدمي WazirX الذين استثمروا في العملات المشفرة من خلال المنصة.

‍

التوصيات

ينصح باحثو CloudSek بشدة بعدم النقر على الروابط المشبوهة التي تعد باسترداد الأموال أو استرداد الأصول، حيث من المحتمل أن تكون هذه التكتيكات مزيدًا من عمليات الاحتيال المصممة لاستغلال الموقف.

‍

التحليل والإسناد

معلومات من البريد

في 18 يوليو 2024، نشرت WazirX منشورًا حول تعرض إحدى محفظتها متعددة الوظائف للاختراق. كما أوقفوا عمليات السحب النقدي والعملات المشفرة من المنصة. [3]

*تم نشر المنشور بواسطة حساب WazirX على تويتر.*

وأعقب ذلك تحقيقات أجراها باحثون مستقلون ومبشرون من فضاء Web3. [4] [5]
كشفت التحقيقات الأولية أنه تم تحويل ما يقرب من 230 مليون دولار من الأصول المشفرة من محفظتهم إلى محفظة ضارة غير معروفة عنوان محفظة وزيركس المتأثرة: 0x27FD43babfbe83a81d14665b1a6fb8030a60c9b4

كان هذا أمرًا بالغ الأهمية حيث يمثل هذا ما يقرب من 50٪ من جميع الأصول المملوكة لشركة WazirX بناءً على ملف جرد الأصول الأخير. كانت WazirX، وفقًا لأحدث تقرير لإثبات الاحتياطي، تمتلك 503 مليون دولار من الأصول.

‍

كيف حدث الهجوم؟
‍

تدعي WazirX أن الهجوم الإلكتروني نشأ عن تناقض بين البيانات المعروضة على واجهة Liminal والمحتويات الفعلية للمعاملة.
«أثناء الهجوم الإلكتروني، كان هناك عدم تطابق بين المعلومات المعروضة على واجهة Liminal وما تم توقيعه بالفعل. نشك في أنه تم استبدال الحمولة لنقل التحكم في المحفظة إلى مهاجم.» - WazirX [3]

تشير المعلومات المقدمة إلى هجوم تصيد محتمل. في الماضي، لاحظنا حالات قام فيها المهاجمون بحقن شفرة جافا سكريبت ضارة في صفحات الويب. يعالج هذا الرمز المعلومات المعروضة على واجهة موقع الويب، بينما تظل قيمة المعاملة الفعلية غير معلنة. [8]

يُعرف تكتيك مماثل باسم التصيد الاحتيالي للتوقيع. تتضمن هذه الطريقة قيام المهاجمين بخداع المستخدمين للتوقيع على رسالة خارج السلسلة. يمكن بعد ذلك استغلال هذا التوقيع لاحقًا لسرقة أصول المستخدم. [6]

‍

ما هي المحفظة متعددة العلامات؟

تتطلب المحفظة متعددة التوقيعات، والتي غالبًا ما يتم اختصارها باسم multi-sig، استخدام مفاتيح خاصة متعددة للسماح بمعاملات العملة المشفرة. يمكن تشبيه هذا الإجراء الأمني بخزنة تتطلب مفتاحين أو أكثر للوصول.

في هذه الحالة المحددة، استخدمت المحفظة تكوينًا متعدد التوقيعات مكون من 6 مفاتيح. تم الاحتفاظ بخمسة مفاتيح من قبل موظفي WazirX المعتمدين، بينما تم تكليف المفتاح المتبقي إلى أحد الموقعين على Liminal. لتنفيذ الصفقة، كانت هناك حاجة إلى ثلاثة مفاتيح على الأقل من وحدة WazirX، إلى جانب مفتاح Liminal. يهدف هذا النهج الأمني متعدد الطبقات إلى التخفيف من الخسائر المالية المحتملة الناشئة عن بيانات الاعتماد المخترقة أو المسروقة، مما يمنع بشكل فعال هجمات نقاط الفشل الفردية.

لسوء الحظ، وفقًا للتقارير، حصل المهاجمون على وصول غير مصرح به إلى مفتاحين واستخدموا تقنيات التصيد الاحتيالي لاختراق مفتاحين إضافيين.

‍

عملية السحب:

وبحسب ما ورد يستفيد الجناة من تورنادو كاش، وهي خدمة خلط عملات مشفرة لامركزية مفتوحة المصدر مبنية على شبكة إيثريوم فيرتوال ماشين (EVM). تعمل هذه التقنية على تسهيل تشويش مسارات المعاملات من خلال مزج أموال العملات المشفرة التي يمكن تحديدها أو المخترقة مع أموال المستخدمين الآخرين. وفي هذه الحالة، يبدو أن الهدف هو إخفاء الوجهة النهائية للأصول المسروقة.

ولزيادة تعقيد جهود التعقب، تستخدم الجهات الفاعلة في مجال التهديد تقنية تعرف باسم «التنقل المتسلسل». يتضمن ذلك تحويل الأموال غير المشروعة عبر سلاسل بلوكشين متعددة، وتجزئة المعاملة الإجمالية وجعل تتبع المسار الكامل للعملة المشفرة المسروقة أكثر صعوبة.

يقوم الجناة بمزيد من التعتيم على تحركاتهم من خلال تنفيذ حجم كبير من المعاملات التي تؤدي في النهاية إما إلى عدم وجود أرصدة ETH أو إنشاء رموز معاملات مخادعة. يضخ هذا التكتيك طبقة من التجريد، مما يجعل تحليل سجل المعاملات المرئي أمرًا صعبًا للغاية.

‍

*جميع المعاملات المذكورة أعلاه لا تؤدي فعليًا إلى أي تحويل أموال*

‍

يحاول الناس تحقيق أقصى استفادة من هذا الوضع من خلال المزيد من مهاجمة الأشخاص الذين يعانون من ضائقة.

تحاكي مواقع الويب الخادعة هذه منصة WazirX الشرعية من خلال اصطلاحات تسمية مماثلة. والهدف هو جذب الضحايا غير المرتابين، على الأرجح أولئك الذين تأثروا بالخرق الأمني الأولي، لتسليم أي مقتنيات متبقية من العملات المشفرة داخل محافظهم عن غير قصد.

تكشف سجلات Whois، وهي سجل يمكن الوصول إليه بشكل عام لمعلومات ملكية اسم النطاق، أن النطاق الاحتيالي قد تم تسجيله في نفس يوم الهجوم. ويؤكد هذا الإجراء السريع الطبيعة الانتهازية والنشطة للجناة. يمثل هذا التكتيك شكلاً آخر من أشكال هجمات التصيد الاحتيالي المميزة، حيث يتم استغلال المصادر التي تبدو موثوقة لخداع الضحايا. يمكن العثور على مزيد من المعلومات حول محاولات انتحال الشخصية هذه هنا [6]

انتحال شخصية حساب تويتر الذهبي المخترق كان WazirX يشارك هذا، المزيد حول هذه الحسابات هنا - [7]

‍

‍

‍

بدأت الروبوتات على تويتر في الإعلان عن خدمات المحتالين، الذين يزعمون أنهم سيكونون قادرين على المساعدة في استرداد الأموال ولكنهم في الواقع يعملون في مجال الاحتيال على الأشخاص.
‍