ثغرة في PHP، وهجوم إلكتروني، ومحافظ أُفرغت. إذا قرأت هذه العناوين وشعرت بالقلق، فهذا المقال لك. سأفصل الحقائق عن الشائعات، مع ذكر مصدر كل معلومة، وفي النهاية سأقدم لك قائمة تحقق لتنفيذها اليوم. يُنشر الفيديو الكامل اليوم الساعة 19:03 على قناتي في يوتيوب.
ما الذي حدث: ثغرة حصلت على تقييم 9.2
PHP لغة برمجة تشغّل جزءًا كبيرًا من مواقع العالم. هذا الأسبوع، كشف باحثون من Wiz، بالتعاون مع Calif وOpenAI، عن ثغرات خطيرة فيها، أُطلق عليها اسم PHP2Shell. حصلت أخطرها على تقييم 9.2 من 10 من حيث الخطورة. وصدر الإصلاح في 21/10.
لقطة مترجمة من مدونة Wiz، الجهة التي اكتشفت الثغرة.
كان الذعر كبيرًا. ووفقًا لـCNBC، أوقفت حكومات مواقع عن العمل كإجراء احترازي، وأوصت وكالة الأمن القومي الأمريكية (NSA) بتطبيق التصحيحات فورًا. ورصدت Cloudflare، الشركة التي تحمي جزءًا كبيرًا من الإنترنت، عشرات الآلاف من محاولات الهجوم خلال 45 دقيقة فقط، وملايين المحاولات بعد ذلك.
لقطة مترجمة من CNBC.
الحقيقة والشائعة: تعطل الموقع لا يعني اختراقه
هنا يكمن الالتباس. رأى كثيرون مواقع بنوك متوقفة عن العمل، فاستنتجوا أن البنوك تعرضت للاختراق. لكن هذا غير صحيح. في معظم الحالات، أُوقفت المواقع عن العمل احترازيًا بينما كان الفريق يجري التحديثات. وحتى الآن، لم يُؤكَّد وقوع أي اختراق لبنك أو شركة كبرى بسبب هذه الثغرة.
قالت Coinbase وBitGo إنهما لم تتأثرا. وطبّقت Binance إجراءات حماية وقائية. وقالت Bitget Wallet وPancakeSwap وKaia إنها لا تستخدم PHP.
لقطة مترجمة من بوابة أخبار متخصصة بالعملات المشفرة.
كانت السرقة حقيقية: قضية Railway
والآن إلى الجزء المهم لمن يملك عملات مشفرة. Railway منصة يستضيف عليها المبرمجون تطبيقاتهم. ووفقًا للمحققة في سلسلة الكتل Taylor Monahan، جرى سحب نحو 371 ألف دولار أمريكي من 19 شبكة، عبر أكثر من 500 معاملة وأكثر من 200 عنوان. وطلبت Railway من جميع المستخدمين تغيير مفاتيحهم السرية.
الصورة والعنوان: CryptoSlate (مترجمان).
مهم: لم تؤكد Railway بعد المبلغ أو السبب. ولم يثبت أحد أن السرقة كانت ناجمة عن ثغرة PHP. حتى إن TechCrunch قالت إن الحادثة بدت منفصلة. لكن التسلسل الزمني يُظهر أن السرقة وقعت في خضم موجة الهجمات. في 21/10، بالتوقيت العالمي المنسق (UTC): عند 14:00 صدر تصحيح الثغرة، وعند 16:05 بدأت محاولات الهجوم، وعند 19:36 ظهرت أول عملية سرقة للعملات المشفرة، وعند 21:51 أبلغت Railway عملاءها.
منشور المحققة Taylor Monahan، مترجم. يشير المقطع المظلل بالأصفر إلى أول عملية سرقة معروفة.
تحذير CZ
كتب مؤسس Binance، CZ، على X في 21/10: «قد ترونني مصابًا بالبارانويا، لكن توخوا الحذر الشديد عند زيارة أي موقع خلال الأيام المقبلة». والسبب بسيط: لا يحرص بعض مشرفي المواقع دائمًا على تثبيت تحديثات الأمان في الوقت المناسب.
منشور CZ على X، مترجم.
رأيي: الخطر لا يكمن في سلسلة الكتل
لم يتسبب أي من هذا في تعطيل سلسلة الكتل. فما زال Bitcoin وEthereum يعملان بالطريقة نفسها. ما تعطل هو المكان الذي كان المفتاح محفوظًا فيه. من يحتفظ بمفتاحه أو بعبارة الاسترداد على موقع أو في سحابة أو عبر خدمة إلكترونية، يعتمد على أن يكون أمن شخص آخر محكمًا تمامًا. وعندما يُخفق ذلك الشخص، تُفرغ المحفظة.
الخطر الثاني هو التصيد الاحتيالي. كلما انتشر الخوف، يرسل المحتالون رسائل بريد إلكتروني مزيفة تقول: «تحديث عاجل» أو «تم اختراق حسابك». يدفع الذعر الناس إلى النقر. لذلك نصيحتي هي توخي الحذر دون ذعر، والدخول دائمًا من المواقع الرسمية المحفوظة في المفضلة.
نصائح حماية مترجمة من بوابة أخبار متخصصة بالعملات المشفرة.
4 أمور عليك فعلها اليوم
1. حدّث تطبيقاتك وأنظمتك.
2. فعّل المصادقة الثنائية (التحقق بخطوتين) في كل ما يحتوي على أموال.
3. لا تحفظ عبارة الاسترداد عبر الإنترنت أبدًا: لا صور ولا سحابة ولا بريد إلكتروني ولا تطبيق ملاحظات.
4. احذر رسائل البريد الإلكتروني أو الرسائل «العاجلة». ادخل دائمًا من الموقع الرسمي.
مفتاح بعيد عن الإنترنت: محفظة باردة
أقوى طريقة لحماية المفتاح هي إبعاده عن الإنترنت، وهذا ما تفعله المحفظة الباردة. في الفيديو، أعرض خيارين، لكل منهما طريقة استخدام مختلفة. تجمع Tangem بين الأمان والسهولة للاستخدام اليومي، ويتوفر خصم 10% عبر رابطه الخاص بي. أما SafePal فهي مناسبة للاحتفاظ طويل الأجل وتفاعلات Web3، وهي المحفظة التي أستخدمها. ستجدون رابطَي المنتجين في وصف فيديو YouTube.
Tangem وSafePal.
الخلاصة
كان هناك ذعر حقيقي وسرقة حقيقية، لكن لا يوجد دليل على اختراق بنوك أو شركات كبرى. والعبرة عملية: اعرف أين تحفظ مفتاحك. إذا كان متصلًا بالإنترنت، فغيّر ذلك اليوم.
سيُنشر الفيديو كاملًا، مع عرض المصادر على الشاشة، اليوم الساعة 19:03 على قناتي في YouTube. ابحثوا عن Diovane Lopes. أتعلم وأعلّم، لتستفيدوا حقًا. ما التطبيق الذي ستتحقق منه أولًا؟ أخبروني في التعليقات.
