• نشر ميشابوار يوم السبت تحذيرًا على منصة X من التوقيع الاجتماعي

• تلقّت Keplr بلاغات عن معاملات غير مصرّح بها في حسابات أُنشئت عبر تسجيل الدخول باستخدام Google أو Apple

• قالت Web3Auth إن تحقيقًا أوليًا لم يعثر على أدلة تشير إلى تأثر مستخدمي MetaMask

ميشابوار يحذّر من مخاطر التوقيع الاجتماعي

حذّر أحد الأصوات البارزة في مجتمع دوجكوين (DOGE) من أن التوقيع الاجتماعي يشكّل خطرًا أمنيًا، وجاء تحذيره بعدما كانت الجهة المزوّدة للبنية التحتية الرئيسية لتسجيلات الدخول هذه قد أوقفت خدمتها بالفعل. نشر ميشابوار، وهو معلّق مخضرم في منظومة دوجكوين، منشورًا على منصة X يوم السبت انتقد فيه الميزة التي تتيح للمستخدمين إنشاء محفظة للعملات المشفّرة والوصول إليها عبر حساب Google أو Apple ID أو اسم مستخدم على Telegram أو عنوان بريد إلكتروني، بدلًا من إدارة عبارة الاسترداد. وجاء في جزء من منشوره على X: «التوقيع الاجتماعي، الميزة التي قد ترغب في إضافتها إلى محفظتك إذا كنت تكره مستخدميك». ورأى ميشابوار أن أكثر من يُرجّح أن يختاروا خيار النقرة الواحدة هم المبتدئون الذين يدخلون عالم العملات المشفّرة للمرة الأولى، وقد لا يدركون ما الذي يسلّمونه عند ربط حساب شخصي بخدمة محفظة. وبحسب قوله، لا تقتصر المخاطر على الأموال الموجودة في المحفظة: فتسريب البيانات عبر القناة نفسها قد يربط هوية الشخص في الحياة الواقعية بممتلكاته على السلسلة، ما قد يؤدي إلى عواقب وخيمة. كما يشمل تحذيره المحافظ التي تنسخ مفاتيحها احتياطيًا إلى «السحابة»، وهو ما يعني، على حد تعبيره، خادمًا يملكه شخص آخر. ويقول في حجته إن سهولة الاستخدام هي تحديدًا ما يجعل هذه الميزة خطرة: فهي تلغي خطوة عبارة الاسترداد التي تجبر المستخدم على إدراك أنه وحده يمتلك المفتاح. ويأتي هذا التحذير في سوق يواجه ضغوطًا بالفعل: إذ أنهى سعر دوجكوين شهر أكتوبر منخفضًا بنسبة 20.1%، مسجلًا خسارة ثانية على التوالي في «أكتوبر الصاعد»، ما جعل المجتمع أكثر حساسية من المعتاد تجاه أي شيء قد ينفّر المستثمرين الأفراد الجدد الذين تعتمد عليهم عملة الميم.

كيبلر تصعّد الأمر إلى ويب ثري أوث

أكدت كيبلر، وهي محفظة متعددة الشبكات تدعم كوزموس وبيتكوين وإيثيريوم وستاركنِت، وقوع الحادثة التي صدر التحذير بشأنها. وقال مزوّد المحفظة في بيان له إنه تلقى بلاغات عن معاملات غير مصرّح بها في بعض حسابات كيبلر التي أُنشئت باستخدام تسجيل الدخول عبر غوغل أو أبل، وإنه صعّد الأمر إلى فريق ويب ثري أوث، حيث يحقق الطرفان في الواقعة معًا. أما ويب ثري أوث، وهي الشركة التي تعمل عبر بنيتها التحتية المضمّنة للمحافظ عمليات تسجيل الدخول هذه، فقد تحركت بالفعل قبل الإعلان عن الأمر للعامة؛ إذ قالت إنها على علم بمشكلة أمنية تؤثر في خدماتها كما يستخدمها بعض الأطراف الثالثة، وإنها أوقفت مؤقتًا خدمة المحفظة المضمّنة استجابةً لذلك. وبعد تحقيق أولي، ذكرت الشركة أنها لم تجد أي دليل على تأثر مستخدمي ميتاماسك. وتوضح آلية العمل سبب إثارة هذا التصميم لكل هذا القلق. ففي إعداد يعتمد على التوقيع الاجتماعي، تُنشأ المفاتيح التي لا يفترض أن توجد إلا لدى المستخدم وتُحفظ داخل بنية تحتية يتحكم فيها مزوّد الخدمة، ويُقيَّد الوصول إليها بأمان حساب عادي يستخدمه الشخص يوميًا. ويشبه هذا الترتيب محفظة ساخنة يديرها طرف ثالث أكثر مما يشبه نموذج الحفظ الذاتي الذي يفترض معظم المشترين أنهم يختارونه، كما أنه يركز المخاطر في أي خدمة تتعرض للاختراق. لطالما دعت الأصوات المعنية بالأمن إلى البديل: محفظة أجهزة لا تغادر عبارة الاسترداد الخاصة بها حيازة المستخدم، تحديدًا لأنها تُخرج المزوّد من سلسلة حيازة المفاتيح. لكن السجل العلني لا يزال شحيحًا حتى الآن: لم يُنشر أي تدقيق أمني لسلسلة الكتل بعد الحادثة، ولم تذكر كيبلر عدد الحسابات المتأثرة أو حجم الأموال المنقولة، كما لم تحدد ويب ثري أوث موعد عودة الخدمة الموقوفة إلى العمل.

العدد الذي لم ينشره أي من المزوّدين

بالنسبة إلى حاملي دوجكوين، فالخلاصة العملية محدودة لكنها واضحة. يبادل التوقيع الاجتماعي التحكم في المفتاح بتجربة تسجيل أسهل وأسرع، لكن المزوّد الذي يعقد هذه المقايضة لا يتحمل الخسائر عندما تسوء الأمور؛ وتظل ملاحظة ميشابوار بشأن ربط الهوية قائمة حتى عندما تنجو الأموال من الاختراق دون أن يمسها ضرر. وسجله السابق حجة ضد تجاهل التحذير باعتباره مجرد تخويف وإثارة للشكوك؛ فقد سبق أن نصح مشتري دوجكوين بنقل أموالهم إثر الاشتباه بوجود زرعة خبيثة في تريزور. وما يزال الجزء الذي لم ينشره أحد مفتوحًا: عدد الحسابات المتأثرة، والقائمة الكاملة للمحافظ التي تعتمد على الخدمة الموقوفة، وموعد عودتها. وإلى أن يقدم أحد المزوّدين هذه المعلومات، ينبغي التعامل مع حساب تسجيل الدخول نفسه على أنه المفتاح.