2025-12-30 05:24:56

في مارس من هذا العام، كشف مجتمع المطورين عن حادث أمني مروع — حيث تم تضمين حزمة JavaScript التي تم تحميلها ملايين المرات برمز خبيث لسرقة العملات الرقمية. هذه المكونات المفتوحة المصدر التي تبدو غير ضارة، في الواقع تحمل برامج سرقة العملات الرقمية التي صممها القراصنة بعناية. قام المهاجمون من خلال تلوث المكتبات الأساسية في بيئة npm ببناء آلية نشر تلقائية للبرامج الخبيثة.

**كيف تعمل الهجمة المخفية ذات الثلاث طبقات**

المركز الرئيسي للهجوم هو "اختطاف الاعتمادات" — عندما تستورد مكتبة طرف ثالث ملوثة في مشروعك، يبدأ الرمز الخبيث في العمل بصمت، ويبدأ في مسح ملفات محافظ العملات الرقمية المحلية الخاصة بك. تحتوي هذه الهجمة على ثلاثة تصاميم ماكرة:

أولاً، **تزييف البيئة**. يتم تفعيل البرنامج فقط في مناطق معينة عبر عناوين IP أو لغات النظام، ويظهر كأنه غير ضار في بيئة الاختبار المعزولة. بهذه الطريقة، لا يمكن لأدوات الأمان اكتشافه على الإطلاق.

ثانياً، **تجسس على المفاتيح**. يستهدف تطبيقات المحافظ المكتبية المبنية باستخدام إطار Electron، ويقوم بسرقة مفاتيح الخصوصية مباشرة من خلال صلاحيات ملفات النظام. المستخدمون لا يشعرون بأي شيء.

ثالثاً، **غسل الأموال على السلسلة**. يتم تحويل الأصول المسروقة عبر جسور عبر السلسلة إلى عملات خاصة بالخصوصية، ثم تُودع في تجمعات السيولة في بعض DEXs لإتمام عملية الغسل. بمجرد دخول الأموال إلى ثقب أسود DeFi، يصبح تتبعها شبه مستحيل.

**لماذا بيئة المصدر المفتوح هشة هكذا**

كشفت هذه الحادثة عن العيب القاتل في عالم المصدر المفتوح: أكثر من 78% من مشاريع JavaScript تعتمد على مكتبات طرف ثالث لم تخضع أبداً لمراجعة أمنية. يحتاج القراصنة فقط إلى السيطرة على حساب أحد الصيانة، ليتمكنوا من حقن رمز خبيث في سلسلة الاعتمادات بأكملها. بمجرد تلوث المصدر، فإن جميع المشاريع التي تعتمد عليه ستتضرر. والأصول المسروقة تتجه عبر آليات التشفير المختلط إلى الشبكات المالية غير القانونية. هذا لم يعد مجرد مشكلة تقنية، بل أصبح تهديدًا اقتصاديًا جديدًا في العصر الرقمي.

شاهد النسخة الأصلية

قد تحتوي هذه الصفحة على محتوى من جهات خارجية، يتم تقديمه لأغراض إعلامية فقط (وليس كإقرارات/ضمانات)، ولا ينبغي اعتباره موافقة على آرائه من قبل Gate، ولا بمثابة نصيحة مالية أو مهنية. انظر إلى إخلاء المسؤولية للحصول على التفاصيل.

تسجيلات الإعجاب 6

أعجبني
6
4
إعادة النشر
مشاركة

تعليق

0/400

AirdropHunter

· منذ 6 س

يا إلهي، هل نظام npm بيئة التطوير بهذه الدرجة من الجنون؟ يمكن لأي شخص أن يحقن سمومه بسهولة --- تلك الطريقة في غسيل الأموال على السلسلة حقًا مذهلة، بمجرد دخولك إلى تجمع السيولة في DEX تصبح أصولًا شبحية --- 78%... قلت لنفسي أن كتابة مكتبة خاصة بي أكثر أمانًا، والآن أصبح لدي سبب لذلك أخيرًا هاها --- لذا يُجبر المطورون على أن يكونوا شركاء في الجريمة، وحسابات الصيانة تُفضح بسرعة وتصبح عرضة للفشل، هذه المنطق غريب جدًا --- انتظر، هل مكتباتنا التي نستخدمها آمنة؟ بصراحة أشعر ببعض القلق --- نقل العملات إلى العملات الخاصة بالخصوصية ثم غسيل الأموال عبر DeFi، تصميم مسار الهجوم هذا قاسٍ جدًا، بصراحة هو فن من نوع خاص --- بشكل أساسي، نموذج الثقة في npm قد انهار، ولا أحد يفكر في إصلاح هذا الأمر --- هاكرز يفحصون ملفات المحافظ المحلية، وأنا لا أعرف حتى كيف أتصدى لذلك، ماذا يمكنني أن أفعل بعد ذلك --- سلسلة الاعتمادات هي سلسلة سموم، شرير واحد في الأعلى يورط الجميع، الأمر محبط جدًا

شاهد النسخة الأصليةرد0

StakeTillRetire

· منذ 7 س

يا إلهي، كم هو قاسٍ هذا، هل انهارت بيئة npm بهذه الطريقة؟ --- هذا هو السبب في أنني لا أثق أبداً في مكتبات هؤلاء الصغار من المطورين، فحزمة الاعتماد تتفكك تماماً في مرة واحدة --- اختراق المفاتيح هو شيء مذهل، المستخدمون لا يكتشفون أبداً ما يحدث --- لذا فإن تدفق الأموال إلى DEX في النهاية هو فعلاً لا شيء، مجموعة التشفير هذه لا يمكن حمايتها تماماً --- هل وعي مطوري المشاريع مفتوحة المصدر بالأمان سيء لهذه الدرجة، دعني أعيد التفكير في جميع اعتماداتي --- فكرت قليلاً، لحسن الحظ لم أقم أبداً بتخزين مفتاح محفظتي الخاص على جهاز غير متصل بالشبكة، المحفظة الباردة حقاً تنقذ الحياة --- يا للغرابة، مجرد اختراق حساب واحد يمكن أن يضر كامل البيئة، على npm أن يتأمل في ذلك --- 78% من المشاريع تعني أنها تتعرى، هذا الرقم جعل ظهري يقشعر من الرعب

شاهد النسخة الأصليةرد0

Token_Sherpa

· منذ 7 س

صراحة، هذا الكابوس في سلسلة الاعتمادات هو بالضبط السبب الذي جعلني أتوقف عن الوثوق بحزم "المراجعة" منذ سنوات... هجمات سلسلة التوريد تكون مختلفة تمامًا عندما يكون كل مكدسك مبنيًا على كود غير موثوق به

شاهد النسخة الأصليةرد0

SelfCustodyIssues

· منذ 7 س

الآن بعد أن انتهى نظام npm فعليا، من يجرؤ على استخدام مكتبات الطرف الثالث؟ --- التمويه البيئي خدعة رائعة، وصندوق الرمل مخدوع بمدى قسوته --- لذا ما زلت مضطرا لتدقيق كل سطر من الكود، وهذا مرهق --- أصبحت تجمعات سيولة DEX ثقبا أسود لغسل الأموال، وهناك مشكلة في تصميم نظام DeFi --- إزالة حساب صيانة يمكن أن يسمم السلسلة بأكملها... المصدر المفتوح حقا لا يصدق --- هذا هو الهجوم الحقيقي على سلسلة التوريد وأكثر رعبا من برامج الفدية --- 78٪ من المكتبة لم يتم تدقيقها؟ أليس الاعتماد في مشروعي قنبلة موقوتة؟ --- ماذا يمكنك أن تفعل إذا سرق مفتاحك الخاص مباشرة؟ هذا هو خطر الاستضافة الذاتية --- الجسر بين السلاسل المشتركة إلى عملات الخصوصية ثم إلى الديكسترات هو جريمة مثالية --- يجب على NPM فرض تدقيقات أمنية على كل حزمة، وهذا الآن تعسفي جدا

شاهد النسخة الأصليةرد0