نام، ثم فتح عينيه صباحًا، فوجد أن الفاتورة زادت 400 دولار.
لم يكتب سطرًا واحدًا من الشيفرة. ولم يشغّل الكمبيوتر. تلك الـ400 دولار أنفقها آخرون عبر حسابه بينما كان نائمًا.
في وقت متأخر من ليلة 17 أكتوبر، بدأت الشركة التي تصنع أدوات برمجة مفتوحة المصدر بإرسال رسائل بريد إلكتروني إلى من استخدموها. كان العنوان قصيرًا. ويطلب اتخاذ إجراء فوري. وجاء فيه أن مفاتيح خدمات تابعة لأطراف ثالثة ربما تسرّبت.
وصلت رسالة ثانية عند الفجر، وذكرت أسماء الشركات: OpenAI وAnthropic وGoogle.
بلغت نسبة المتأثرين 1.4 بالمئة من حسابات لوحة التحكم الإلكترونية الخاصة بها. الرقم ليس كبيرًا. لكنه يعني لكل واحد من هؤلاء كل شيء.
المشكلة كانت في مكان واحد. دخل المهاجمون إلى نظام قديم كان يجري إخراجه من الخدمة. يعود أقدم أثر إلى وقت متأخر من ليلة السادس عشر، ولم يتلقَّ هؤلاء الأشخاص الرسالة الأولى إلا بعد 22 ساعة. 22 ساعة تكفي لإجراء كمٍّ هائل من الاستدعاءات، واستنزاف الرصيد بالكامل، وإتمام العملية كلها قبل أن تفتح عينيك.
أين كانت المشكلة؟ في زاوية ظن الجميع أنها أُغلقت بالفعل. لماذا؟ لأنها غير موجودة على قائمة أي أحد، وعندما وقع الحادث لم تخطر ببال أحد في البداية.
يظن كثيرون أن المفاتيح تُسرق بالتخمين أو عبر هجمات تجربة كلمات المرور. ليس الأمر كذلك. فمعظم التسريبات لا تحتاج إلى أي اختراق أصلًا. تُترك المفاتيح في مكان لم يعد أحد ينظر إليه، لكن الباب يظل مفتوحًا. تنقلها من النظام الأساسي، وتضع عليها علامة «قيد الإيقاف»، ثم تنسى أنها ما زالت تعمل.
ولا تملك الشركة جوابًا واضحًا عن سبب ترك هذا النظام القديم مهملًا كل هذه المدة من دون أن يلاحظ أحد.
قال أحد المطورين إنه تلقى أولًا تحذيرًا من Anthropic بشأن رصيده، ثم إشعارًا من الشركة المطوِّرة للأداة. جاء الترتيب معكوسًا. الجهة التي تدفع اكتشفت الأمر قبل الجهة التي تتقاضى المال. تعرّض حساب أحدهم على Google Cloud لرسوم بقيمة 200 يورو، وأُوقف مشروعه بسبب إساءة الاستخدام. وقال آخرون إن رصيدهم الشهري البالغ 20 دولارًا نفد.
أما إمكانية استرداد المال، فلم تقل الشركة سوى إنها تجري محادثات مع الشركات الثلاث. وبصراحة، لا يبدو ذلك وعدًا. ولا يعرفون أيضًا إن كانت البيانات قد استُخدمت لتدريب نماذج أخرى. وهم يسمّون ذلك «هجوم تقطير واسع النطاق»، لكن علينا انتظار التحقيق لنعرف إن كان هذا الوصف دقيقًا.
هذا النوع من الحوادث مألوف في عالم العملات الرقمية.
في محفظتك مجموعة من التفويضات. في عام 2021، كان هناك موقع يمنح تفويضًا غير محدود. فعلت ذلك لتلحق بقائمة بيضاء، وبعد الضغط شعرت أنك تصرفت بسرعة، ثم نسيت في اليوم التالي حتى اسم ذلك الموقع. لكن عنوان العقد ظل موجودًا تحت عنوانك، ينتظر من يطرق الباب. ولم يخطر ببالك وقتها أن تلغي التفويض.
اختفى أصحاب المشروع منذ زمن. لكن التفويض ما زال قائمًا. أنت لا تتذكره. أما سلسلة الكتل فتتذكره.
هذا هو بالضبط ما يحدث حين تترك مفتاحًا في نظام خلفي أُخرج من الخدمة.
في العام الماضي، استُبدلت نسخة من مكوّن شائع جدًا لربط صفحات الويب بالمحافظ. وخلال بضع ساعات، أُفرغت محافظ مجموعة من الناس، ولم يكن لديهم حتى وقت للإبلاغ. لم يحاول أحد اختراقه. كل ما حدث هو استبدال نسخة منه. وما كان لك أن تلاحظ ذلك أصلًا. وعندما وقّعت، ظلت الواجهة تعرض لك الرسالة القديمة نفسها.
أفكر في هذا الأمر منذ مدة طويلة. لا ينبغي أن يُحسب الأمان بحسب حداثة الشيء. الأشياء الجديدة يراقبها الناس يوميًا، أما القديمة فلا ينظر إليها أحد. المسألة ببساطة هكذا. الأنظمة التي بدأت إجراءات إيقافها ولم تُكملها هي الأخطر: فهي ليست على قائمة الصيانة، لكنها لم تمت تمامًا بعد، والجميع يظن أنها ستختفي من تلقاء نفسها.
فما العمل؟ إليك خطوات محددة. افتح محفظتك، وارجع إلى أقدم صفحة في قائمة التفويضات، وألغِ أي تفويض لا تعرفه. أما منصات التداول التي سجلت فيها قبل ثلاث سنوات، ونسيت حتى كلمة مرورها الآن، فاحذف مفاتيح واجهة برمجة التطبيقات منها بالكامل، وخصوصًا تلك التي تتيح سحب الأموال. اكتب العبارة الاستردادية بيدك، ولا تصوّرها وتحفظها في ألبوم هاتفك.
لن يستغرق الأمر عشر دقائق.
عشر دقائق لإغلاق مدخل ربما نسيته منذ زمن.
إنها صفقة رابحة فعلًا.
$BTC $ETH $BNB
#OpenCode #API密钥 #账户安全 #تشفير
لم يكتب سطرًا واحدًا من الشيفرة. ولم يشغّل الكمبيوتر. تلك الـ400 دولار أنفقها آخرون عبر حسابه بينما كان نائمًا.
في وقت متأخر من ليلة 17 أكتوبر، بدأت الشركة التي تصنع أدوات برمجة مفتوحة المصدر بإرسال رسائل بريد إلكتروني إلى من استخدموها. كان العنوان قصيرًا. ويطلب اتخاذ إجراء فوري. وجاء فيه أن مفاتيح خدمات تابعة لأطراف ثالثة ربما تسرّبت.
وصلت رسالة ثانية عند الفجر، وذكرت أسماء الشركات: OpenAI وAnthropic وGoogle.
بلغت نسبة المتأثرين 1.4 بالمئة من حسابات لوحة التحكم الإلكترونية الخاصة بها. الرقم ليس كبيرًا. لكنه يعني لكل واحد من هؤلاء كل شيء.
المشكلة كانت في مكان واحد. دخل المهاجمون إلى نظام قديم كان يجري إخراجه من الخدمة. يعود أقدم أثر إلى وقت متأخر من ليلة السادس عشر، ولم يتلقَّ هؤلاء الأشخاص الرسالة الأولى إلا بعد 22 ساعة. 22 ساعة تكفي لإجراء كمٍّ هائل من الاستدعاءات، واستنزاف الرصيد بالكامل، وإتمام العملية كلها قبل أن تفتح عينيك.
أين كانت المشكلة؟ في زاوية ظن الجميع أنها أُغلقت بالفعل. لماذا؟ لأنها غير موجودة على قائمة أي أحد، وعندما وقع الحادث لم تخطر ببال أحد في البداية.
يظن كثيرون أن المفاتيح تُسرق بالتخمين أو عبر هجمات تجربة كلمات المرور. ليس الأمر كذلك. فمعظم التسريبات لا تحتاج إلى أي اختراق أصلًا. تُترك المفاتيح في مكان لم يعد أحد ينظر إليه، لكن الباب يظل مفتوحًا. تنقلها من النظام الأساسي، وتضع عليها علامة «قيد الإيقاف»، ثم تنسى أنها ما زالت تعمل.
ولا تملك الشركة جوابًا واضحًا عن سبب ترك هذا النظام القديم مهملًا كل هذه المدة من دون أن يلاحظ أحد.
قال أحد المطورين إنه تلقى أولًا تحذيرًا من Anthropic بشأن رصيده، ثم إشعارًا من الشركة المطوِّرة للأداة. جاء الترتيب معكوسًا. الجهة التي تدفع اكتشفت الأمر قبل الجهة التي تتقاضى المال. تعرّض حساب أحدهم على Google Cloud لرسوم بقيمة 200 يورو، وأُوقف مشروعه بسبب إساءة الاستخدام. وقال آخرون إن رصيدهم الشهري البالغ 20 دولارًا نفد.
أما إمكانية استرداد المال، فلم تقل الشركة سوى إنها تجري محادثات مع الشركات الثلاث. وبصراحة، لا يبدو ذلك وعدًا. ولا يعرفون أيضًا إن كانت البيانات قد استُخدمت لتدريب نماذج أخرى. وهم يسمّون ذلك «هجوم تقطير واسع النطاق»، لكن علينا انتظار التحقيق لنعرف إن كان هذا الوصف دقيقًا.
هذا النوع من الحوادث مألوف في عالم العملات الرقمية.
في محفظتك مجموعة من التفويضات. في عام 2021، كان هناك موقع يمنح تفويضًا غير محدود. فعلت ذلك لتلحق بقائمة بيضاء، وبعد الضغط شعرت أنك تصرفت بسرعة، ثم نسيت في اليوم التالي حتى اسم ذلك الموقع. لكن عنوان العقد ظل موجودًا تحت عنوانك، ينتظر من يطرق الباب. ولم يخطر ببالك وقتها أن تلغي التفويض.
اختفى أصحاب المشروع منذ زمن. لكن التفويض ما زال قائمًا. أنت لا تتذكره. أما سلسلة الكتل فتتذكره.
هذا هو بالضبط ما يحدث حين تترك مفتاحًا في نظام خلفي أُخرج من الخدمة.
في العام الماضي، استُبدلت نسخة من مكوّن شائع جدًا لربط صفحات الويب بالمحافظ. وخلال بضع ساعات، أُفرغت محافظ مجموعة من الناس، ولم يكن لديهم حتى وقت للإبلاغ. لم يحاول أحد اختراقه. كل ما حدث هو استبدال نسخة منه. وما كان لك أن تلاحظ ذلك أصلًا. وعندما وقّعت، ظلت الواجهة تعرض لك الرسالة القديمة نفسها.
أفكر في هذا الأمر منذ مدة طويلة. لا ينبغي أن يُحسب الأمان بحسب حداثة الشيء. الأشياء الجديدة يراقبها الناس يوميًا، أما القديمة فلا ينظر إليها أحد. المسألة ببساطة هكذا. الأنظمة التي بدأت إجراءات إيقافها ولم تُكملها هي الأخطر: فهي ليست على قائمة الصيانة، لكنها لم تمت تمامًا بعد، والجميع يظن أنها ستختفي من تلقاء نفسها.
فما العمل؟ إليك خطوات محددة. افتح محفظتك، وارجع إلى أقدم صفحة في قائمة التفويضات، وألغِ أي تفويض لا تعرفه. أما منصات التداول التي سجلت فيها قبل ثلاث سنوات، ونسيت حتى كلمة مرورها الآن، فاحذف مفاتيح واجهة برمجة التطبيقات منها بالكامل، وخصوصًا تلك التي تتيح سحب الأموال. اكتب العبارة الاستردادية بيدك، ولا تصوّرها وتحفظها في ألبوم هاتفك.
لن يستغرق الأمر عشر دقائق.
عشر دقائق لإغلاق مدخل ربما نسيته منذ زمن.
إنها صفقة رابحة فعلًا.
$BTC $ETH $BNB
#OpenCode #API密钥 #账户安全 #تشفير