هجوم تسميم عناوين الإيثيريوم يتطور: بعد تحويل واحد، تلقى 89 رسالة تنبيه عبر البريد الإلكتروني

كتابة: etherscan.eth

ترجمة: AididiaoJP، Foresight News

قبل عدة أسابيع، شارك مستخدم في Etherscan يُدعى Nima تجربة غير سارة. بعد إتمامه لمعاملتين فقط من العملات المستقرة، تلقى خلال فترة قصيرة أكثر من 89 رسالة تنبيه لمراقبة العناوين.

كما أشار Nima، فإن هذه التنبيهات نُشِّطت بواسطة معاملات تسمم العنوان. الهدف الوحيد من إنشاء هذه المعاملات هو زرع عناوين وهمية متشابهة جدًا في سجل معاملات المستخدم، بهدف خداع المستخدمين لنسخ واستخدام هذه العناوين المزيفة عند إجراء المعاملات التالية.

تسمم العنوان موجود في إيثريوم منذ عدة سنوات. ومع ذلك، فإن مثل هذه الحوادث تبرز أن نوعية الهجمات هذه أصبحت مؤتمتة بشكل كبير وعلى نطاق واسع. كانت الرسائل العشوائية الصغيرة التي كانت تظهر بشكل متقطع في السابق، الآن يمكن تنفيذها على نطاق واسع، حيث يتمكن المهاجمون عادة من زرع معاملات التسميم خلال دقائق بعد حدوث المعاملة القانونية.

لفهم سبب انتشار هذه الهجمات بشكل أكبر في الوقت الحالي، نحتاج إلى تحليل من بعدين: تطور أساليب هجمات تسمم العنوان، والسبب الجوهري الذي يجعل من السهل تنفيذها على نطاق واسع.

بالإضافة إلى ذلك، ستركز المقالة على مبدأ أساسي للحماية لمساعدة المستخدمين على التصدي بفعالية لمثل هذه الهجمات.

1. تطور صناعة تسمم العنوان

كان يُنظر إلى تسمم العنوان على أنه وسيلة احتيال صغيرة يستخدمها المهاجمون opportunistic. لكن اليوم، أصبح نمط عملها يظهر خصائص صناعية بشكل متزايد.

دراسة نُشرت في عام 2025 حللت أنشطة تسمم العنوان خلال الفترة من يوليو 2022 إلى يونيو 2024 (قبل ترقية Fusaka). أظهرت الدراسة أن هناك حوالي 17 مليون محاولة تسميم على إيثريوم، استهدفت حوالي 1.3 مليون مستخدم، وتسببت في خسائر تقدر على الأقل بـ 79.3 مليون دولار.

الجدول أدناه، استنادًا إلى نتائج “دراسة تسمم عناوين البلوكشين”، يعرض حجم أنشطة تسمم العنوان على إيثريوم وBSC خلال الفترة من يوليو 2022 إلى يونيو 2024. البيانات تظهر أن معدل حدوث معاملات التسميم على شبكة BSC، حيث تكاليف المعاملات أقل بشكل ملحوظ، أعلى بمقدار 1355% من شبكة إيثريوم.

عادةً، يراقب المهاجمون نشاطات البلوكشين لتحديد الأهداف المحتملة. بمجرد اكتشاف معاملة لمستخدم معين، يُنشئ نظام آلي عنوانًا متشابهًا جدًا من حيث الأحرف الأولى والأخيرة مع العنوان الذي تفاعل معه، ثم يرسل إليه معاملات تسميم تحتوي على هذه العناوين المزيفة، لتظهر في سجل معاملات المستخدم.

يميل المهاجمون إلى استهداف العناوين التي تملك إمكانيات ربح أعلى، مثل تلك التي تتكرر في عمليات التحويل، أو تحتوي على رصيد كبير من الرموز، أو تشارك في معاملات كبيرة.

آلية المنافسة تعزز كفاءة الهجمات

كشفت دراسة عام 2025 عن ظاهرة مهمة: وجود تنافس بين مجموعات المهاجمين. ففي العديد من عمليات التسميم، يرسل عدة مهاجمين معاملات تسميم تقريبًا في نفس الوقت إلى نفس العنوان المستهدف.

يحاول كل فريق أن يزرع عنوانه المزيف في سجل معاملات المستخدم أولاً، بحيث يُختار عنوانه بشكل أولي عند نسخ العنوان لاحقًا. من ينجح في الزرع أولاً، يكون احتمال أن ينسخه المستخدم بشكل خاطئ أكبر.

مثال على ذلك، يظهر أن بعد إتمام معاملة تحويل USDT شرعية، تم خلال دقائق زرع 13 معاملة تسميم.

ملاحظة: بشكل افتراضي، يخفي Etherscan المعاملات ذات القيمة الصفرية؛ هنا أُلغِت الإخفاء لأغراض العرض.

الأساليب الشائعة في هجمات تسمم العنوان تشمل: معاملات الغبار، تزوير معاملات الرموز، والمعاملات ذات القيمة الصفرية.

2. أسباب سهولة تنفيذ هجمات التسميم على نطاق واسع

من النظرة الأولية، قد يبدو أن معدل نجاح هجمات التسميم منخفض، إذ أن معظم المستخدمين لن يقعوا ضحية. لكن من الناحية الاقتصادية، فإن منطق هذه الهجمات يختلف تمامًا.

منطق لعبة الاحتمالات

وجد الباحثون أن معدل نجاح محاولة التسميم على إيثريوم حوالي 0.01%. بمعنى آخر، من بين 10,000 محاولة، قد تؤدي محاولة واحدة فقط إلى أن يرسل المستخدم أمواله بالخطأ إلى المهاجم.

وبناءً عليه، فإن أنشطة التسميم لم تعد تقتصر على عناوين قليلة، بل تتجه لإرسال آلاف أو ملايين المعاملات. وعندما يكون عدد المحاولات كبيرًا بما يكفي، فإن حتى نسبة نجاح ضئيلة يمكن أن تدر أرباحًا غير قانونية كبيرة.

عملية احتيال كبيرة ناجحة في تحويل واحد يمكن أن تغطي بسهولة تكاليف آلاف المحاولات الفاشلة.

انخفاض تكاليف المعاملات يعزز من محاولة التسميم

تم تفعيل ترقية Fusaka في 3 ديسمبر 2025، والتي أدخلت تحسينات في قابلية التوسع، مما أدى إلى تقليل تكاليف المعاملات على إيثريوم بشكل فعال. هذا التغيير، إلى جانب فائدة المستخدمين والمطورين، خفض بشكل كبير تكلفة إطلاق معاملات التسميم، مما سمح للمهاجمين بإرسال محاولات تسميم على نطاق غير مسبوق.

بعد ترقية Fusaka، شهدت شبكة إيثريوم نشاطًا ملحوظًا. خلال 90 يومًا بعد الترقية، زاد متوسط حجم المعاملات اليومية بنسبة 30% مقارنةً بالفترة السابقة. كما زاد عدد العناوين الجديدة يوميًا بمعدل حوالي 78%.

بالإضافة إلى ذلك، لوحظ زيادة ملحوظة في أنشطة معاملات الغبار، حيث يرسل المهاجمون معاملات بقيم صغيرة جدًا تتطابق مع رموز المستخدمين السابقة.

البيانات أدناه تقارن أنشطة معاملات الغبار خلال 90 يومًا قبل وبعد ترقية Fusaka، لثلاثة أصول رئيسية: USDT، USDC، DAI. معاملات الغبار تعني معاملات بقيمة أقل من 0.01 دولار، أما معاملات ETH فتعني معاملات أقل من 0.00001 ETH.

USDT

قبل الترقية: 4.2 مليون

بعد الترقية: 29.9 مليون

زيادة: +25.7 مليون (+612%)

USDC

قبل الترقية: 2.6 مليون

بعد الترقية: 14.9 مليون

زيادة: +12.3 مليون (+473%)

DAI

قبل الترقية: 142,405

بعد الترقية: 811,029

زيادة: +668,624 (+470%)

ETH

قبل الترقية: 104.5 مليون

بعد الترقية: 169.7 مليون

زيادة: +65.2 مليون (+62%)

تشير البيانات إلى أن نشاط معاملات الغبار (أقل من 0.01 دولار) ارتفع بشكل حاد بعد ترقية Fusaka، وبلغ ذروته ثم بدأ يتراجع، لكنه لا يزال أعلى بكثير من مستوى ما قبل الترقية. بالمقابل، ظلت المعاملات التي تتجاوز 0.01 دولار مستقرة نسبيًا.

مخطط: مقارنة بين نشاط معاملات الغبار (<0.01 دولار) على USDT، USDC، DAI قبل وبعد ترقية Fusaka خلال 90 يومًا

مخطط: مقارنة بين المعاملات العادية (>0.01 دولار) على نفس الأصول قبل وبعد الترقية خلال 90 يومًا

في العديد من الهجمات، يوزع المهاجمون الرموز وETH بشكل جماعي على عناوين مزورة جديدة، ثم يرسلون منها معاملات غبار واحدة تلو الأخرى إلى العنوان المستهدف. وبما أن معاملات الغبار تتعلق بمبالغ منخفضة جدًا، ومع انخفاض تكاليف المعاملات، يمكن للمهاجمين تنفيذ عمليات واسعة النطاق بتكلفة منخفضة جدًا.

رسم توضيحي: عنوان Fake_Phishing1688433 يرسل بشكل جماعي رموز وETH إلى عدة عناوين مزورة مختلفة في معاملة واحدة.

من المهم أن نوضح أن جميع معاملات الغبار ليست بالضرورة هجمات تسميم. فهي قد تكون ناتجة عن أنشطة شرعية، مثل تبادل الرموز أو التفاعل الصغير بين العناوين. ومع ذلك، بعد مراجعة سجلات العديد من معاملات الغبار، يمكن استنتاج أن جزءًا كبيرًا منها على الأرجح محاولات تسميم.

3. المبدأ الأساسي للحماية

قبل إرسال أي أموال، يُرجى التحقق بعناية من صحة عنوان الهدف.

إليك بعض النصائح العملية عند استخدام Etherscan لتقليل المخاطر:

استخدام عناوين معروفة

قم بتعيين تسميات خاصة للعناوين التي تتفاعل معها بشكل متكرر على Etherscan. هذا يساعد على تمييز العناوين الشرعية بين العديد من العناوين المشابهة.

استخدام خدمات النطاق مثل ENS لزيادة وضوح العنوان في المتصفح.

كما يُنصح باستخدام وظيفة دفتر العناوين في المحفظة الخاصة بك، وإضافة العناوين الموثوقة إلى القائمة البيضاء لضمان إرسال الأموال دائمًا إلى الهدف الصحيح.

تفعيل تمييز العنوان

ميزة تمييز العنوان على Etherscan تساعد المستخدم على تمييز العناوين التي تظهر بشكل مشابه. إذا بدا أن عنوانين متشابهين جدًا، ولكن تمييزهما يختلف، فإحدى العناوين على الأرجح عنوان تسميم.

التحقق المزدوج قبل النسخ

عند نسخ عنوان قد يكون مرتبطًا بنشاط مشبوه، يُظهر Etherscan تنبيهًا تلقائيًا. تشمل هذه الأنشطة:

معاملات رموز منخفضة القيمة

معاملات رموز مزورة

رموز ذات سمعة سيئة

رموز لم يتم تحديث معلوماتها

عند ظهور هذا التنبيه، يُرجى التوقف عن العملية والتحقق بعناية من أن العنوان الذي تنسخه هو الهدف الصحيح الذي تريد التفاعل معه.

تذكر أن عالم التشفير لا يملك زر “تراجع”. بمجرد إرسال الأموال إلى عنوان خاطئ، فإن استرجاعها يكون شبه مستحيل.

الخلاصة

مع انخفاض تكاليف المعاملات، أصبح من الاقتصادي تنفيذ هجمات التسميم على نطاق واسع، مما أدى إلى تصاعدها في إيثريوم. كما أن هذه الهجمات تؤثر سلبًا على تجربة المستخدم، حيث تملأ الرسائل المزعجة سجل المعاملات الخاص بالمستخدمين.

الوقاية الفعالة من هجمات التسميم تتطلب زيادة وعي المستخدمين الأمني، بالإضافة إلى تحسين تصميم الواجهات. وأهم عادة يجب أن يعتاد عليها المستخدمون هي: التحقق بعناية من صحة عنوان الهدف قبل إرسال الأموال.

كما ينبغي أن تلعب الأدوات والواجهات دورًا أكبر في مساعدة المستخدمين على التعرف بسرعة على الأنشطة المشبوهة.

علامات عناوين التسميم على Etherscan ()

تعمل Etherscan باستمرار على تحسين واجهة المتصفح وخدمات API لمساعدة المستخدمين على التعرف بشكل أسهل على هذه الهجمات. نقوم بوضع علامات على العناوين المزيفة، ونعمل على إخفاء معاملات الرموز ذات القيمة الصفرية، وتوسيم الرموز المزيفة. من خلال توفير هذه البيانات المنظمة، يمكن للمستخدمين اكتشاف محاولات التسميم المحتملة بسهولة أكبر دون الحاجة لفرز كميات هائلة من المعاملات يدوياً.

مع تصاعد هجمات التسميم باستخدام الأتمتة والمعاملات الجماعية، يصبح من الضروري عرض إشارات الخطر هذه بوضوح لمساعدة المستخدمين على التمييز بين الأنشطة المشبوهة والمعاملات الشرعية.