1022

تسرّب المفتاح الخاص من إضافة Fearless Wallet على مدى 20 شهرًا: سُرقت 17,286 عملة $DOT من 8 مستخدمين، والمؤسسة تطالب بنقل الأموال

الخلاصة أولًا: لم يكن هذا اختراقًا أمنيًا عاديًا، بل شيفرة خبيثة دُفنت في الشيفرة مفتوحة المصدر لما يقارب 20 شهرًا. أخطر أشكال المحافظ الساخنة على المتصفح هو ذاك الذي يبدو وكأنه يعمل بصورة طبيعية طوال الوقت.

تستند المعلومات إلى التنبيه الأمني الذي نشرته مؤسسة مجتمع Polkadot في 21 أكتوبر (ونشرت عنه في اليوم نفسه كل من Cryptopolitan وCrypto Briefing وCoinMarketCap):

1. أُدخلت الشيفرة الخبيثة إلى الشيفرة المصدرية العامة لإضافة Fearless Wallet في 19 فبراير 2025، عبر طلب السحب رقم #1022 على GitHub (وهو تحديث كبير بعنوان "TON ecosystem"). وظلت تُفعّل على نحو متقطع حتى 10 أكتوبر 2026، أي نحو 571 يومًا. وشملت الإصدارات المتأثرة أربعة إصدارات من إضافة المتصفح: 3.0.1 و3.0.3 و3.0.4 و3.0.5.

2. لم يكن شرط تفعيلها يتجاوز أن يفتح المستخدم محفظته بالطريقة المعتادة: كانت الإضافة تجمع العبارة الأولية أو ملف النسخ الاحتياطي، إلى جانب كلمة مرور المحفظة، ثم «تشفّرها» بكلمة مرور فارغة (ويمكن لأي شخص فك هذا التشفير) وترسلها إلى خادم خارجي. وفي يوم صدور التنبيه، 21 أكتوبر، ظل الإصدار 3.0.5 متاحًا في متجر Chrome، مع نحو 6,000 مستخدم. وأُكّد وجود الشيفرة نفسها في إصدار Firefox، بينما لم تتضمنها الإصدارات التي اجتازت مراجعة Android وiOS.

3. الخسائر المؤكدة: أبلغ 8 مستخدمين عن تحويلات غير مصرّح بها مرتبطة بالحادثة، بلغ مجموعها 17,286 عملة DOT، بقيمة نحو 20,500 دولار وفقًا لسعرها وقت تقرير CoinMarketCap. وبما أن المفاتيح الخاصة المتسربة قد تظل خاملة بانتظار استغلالها، فقد يكون عدد الحسابات المعرّضة للخطر فعليًا أكبر بكثير من الحسابات الثمانية المُبلّغ عنها.

تقييمي:
أولًا، لن يفيد تغيير كلمة المرور أو إعادة تثبيت الإضافة في إنقاذ مفتاح خاص سبق تسريبه. وقد أكدت المؤسسة حرفيًا: «بمجرد تسريب المفتاح الخاص، لا يعود استخدامه آمنًا في أي مكان». والحل الوحيد هو إنشاء محفظة جديدة، وتوليد عبارة أولية جديدة، ونقل الأموال إليها.
ثانيًا، شددت المؤسسة تحديدًا على أن Fearless «لم تكن قط محفظة رسمية». كل تحديث تلقائي لإضافة تابعة لطرف ثالث هو فعلٌ يعيد إسناد الثقة إلى جهة خارجية، وغالبًا ما لا ينتبه المستخدمون إلى ذلك.
ثالثًا، حُذفت الشيفرة الخبيثة من الشيفرة المصدرية في 25 يونيو 2026، لكنها ما تزال موجودة في الإصدارات القديمة 3.0.3–3.0.5 المثبتة، ويمكن إعادة تفعيلها في أي وقت عبر مفتاح تحكم عن بُعد. الخطر ليس في مستودع الشيفرة، بل في قائمة الإضافات على متصفحك.

ينبغي للمستخدمين الذين يحتفظون بالعملات على المدى الطويل دون تحريكها أن يأخذوا هذه الحادثة على محمل الجد خصوصًا: فتسرّب المفاتيح الخاصة لا يتيح «مهلة للتدارك»، بل يتركها «مكشوفة طوال مدة». تناسب محافظ إضافات المتصفح مصروف الجيب، لا الخزائن.

هذا رأي شخصي فحسب، ولا يُعدّ نصيحة استثمارية.

#Polkadot #钱包安全 $DOT