سجل الحوادث الأمنية لمحافظ العملات المشفرة
حتى 2026-10-25، نرصد 60 حادثة أمنية طالت محافظ الحفظ الذاتي الشائعة ومستخدميها منذ عام 2018، منها 20 عملية اختراق أو استغلال أو ثغرة مُعلنة، و5 هجومًا على سلاسل التوريد. وقد نتجت معظم خسائر المستخدمين عن التصيد الاحتيالي وبرمجيات الاستنزاف والتطبيقات المزيفة، لا عن كسر التشفير في المحافظ.
حقائق سريعة
- ما أكبر الحوادث المتعلقة بالمحافظ؟
- Safe{Wallet} (Bybit) (2025-02, ~$1.5B); عناوين Profanity المخصصة (Wintermute) (2022-09, ~$160M); Coldcard (Coinkite) (2026-07, ~$116M); Atomic Wallet (2023-06, >$100M)
- ما أحدث حادثة؟
- 2026-10-09: بيعت أجهزة Ledger عبر CryptoBilis، وهو موزّع في جنوب شرق آسيا مُدرج بوصفه معتمدًا من Ledger، وفيها زرعة خفية تقرأ العبارة المكونة من 24 كلمة أثناء الإعداد وترسلها عبر وحدة اتصال خلوي (LTE)؛ وأكدت Ledger وجود الزرعة في بيان مؤرخ في 10 أكتوبر. علّقت CryptoBilis المبيعات، وطلبت Ledger من مالكي أجهزتها نقل أموالهم إلى جهاز جديد بعبارة استرداد جديدة، ثم طلبت في 13 أكتوبر من الموزعين في سبعة أسواق آسيوية سحب المخزون. كما أوقفت MediaMarktSaturn مبيعات Ledger. وتنص وثائق Ledger على أن خاصية Genuine Check تتحقق من العنصر الآمن ولا يمكنها اكتشاف التعديلات المادية.
- ما الدرس الأهم؟
- تبدأ معظم الخسائر خارج نطاق التشفير في المحفظة: مواقع التصيد، والتطبيقات المزيفة، والموافقات الخبيثة، وسلاسل التوريد المخترقة. تحقق من مصدر التنزيلات، ولا تكتب عبارة الاسترداد في أي موقع إلكتروني أبدًا، وراجع ما توقّع عليه.
الجدول الزمني
| التاريخ | المحفظة | النوع | الخسارة المُبلغ عنها | ما الذي حدث | المصدر |
|---|---|---|---|---|---|
| 2026-10-09 | Ledger | سلسلة التوريد | ~$86M–$93M | بيعت أجهزة Ledger عبر CryptoBilis، وهو موزّع في جنوب شرق آسيا مُدرج بوصفه معتمدًا من Ledger، وفيها زرعة خفية تقرأ العبارة المكونة من 24 كلمة أثناء الإعداد وترسلها عبر وحدة اتصال خلوي (LTE)؛ وأكدت Ledger وجود الزرعة في بيان مؤرخ في 10 أكتوبر. علّقت CryptoBilis المبيعات، وطلبت Ledger من مالكي أجهزتها نقل أموالهم إلى جهاز جديد بعبارة استرداد جديدة، ثم طلبت في 13 أكتوبر من الموزعين في سبعة أسواق آسيوية سحب المخزون. كما أوقفت MediaMarktSaturn مبيعات Ledger. وتنص وثائق Ledger على أن خاصية Genuine Check تتحقق من العنصر الآمن ولا يمكنها اكتشاف التعديلات المادية. | cryptoslate.com |
| 2026-10-01 | MetaMask | أخرى | — | أعلنت MetaMask عن "حادثة أمنية جارية" تطال جزءًا من بنيتها التحتية، وبدأت على سبيل الاحتياط في إخراج المدققين من خدمة التخزين (staking) غير الحاضنة التابعة لها (بما في ذلك مدققوها في Lido، ومن المتوقع اكتمال إخراجهم بحلول 7 أكتوبر). وقالت إنها لم تجد أي دليل على تأثر المحافظ أو أموال العملاء، ولم تكشف عن السبب. | thehackernews.com |
| 2026-09-09 | Trezor | تصيد احتيالي | — | اخترق مهاجمون مزوّد خدمة التسويق عبر البريد الإلكتروني لدى Trezor، وهو Brevo، وأرسلوا من العنوان [email protected] رسائل تصيد حول "ثغرة في المتحكم الدقيق" STM32 مزعومة، تقود إلى صفحة لسرقة عبارات الاسترداد. أغلقت Trezor النطاق في غضون 20 دقيقة تقريبًا، وعلّقت حسابها لدى Brevo، وقالت إن أي نظام آخر من أنظمتها لم يُمس. | bleepingcomputer.com |
| 2026-08-16 | SafePal | تسريب بيانات | — | استغل مهاجم خللًا في التحقق من الصلاحيات في إضافة لتتبع الطلبات على متجر SafePal الإلكتروني، واستولى على الأسماء وعناوين البريد الإلكتروني وأرقام الهواتف وعناوين الشحن وتفاصيل الطلبات المقدمة بين مارس 2025 وأبريل 2026؛ ولم تُكشف عبارات الاسترداد أو المفاتيح. أصلحت SafePal الخلل، واستعانت بشركة أمنية خارجية، وأغلقت أكثر من 30 موقع تصيد. | bleepingcomputer.com |
| 2026-08-11 | Rabby Wallet (إضافة المتصفح) | ثغرة | — | أبلغ الباحث V12 عن ثغرة "استخراج التوقيعات بصمت" في إضافة Rabby: إذ كان بإمكان موقع خبيث سبق أن اتصل به المستخدم الحصول على توقيعات دون أي طلب تأكيد عند ضبط مؤقت القفل التلقائي على 10 دقائق. أصدرت Rabby إصلاحًا في 11 أغسطس 2026، وقالت إن تطبيق الهاتف المحمول لم يتأثر، ولم تُبلغ عن أي استغلال معروف. | techflowpost.com |
| 2026-08-10 | Trezor | تسريب بيانات | — | تعرّض مزوّد الخدمات اللوجستية لدى Trezor، وهو ShipMonk، للاختراق عبر ثغرة في Metabase، ما كشف الأسماء وعناوين البريد الإلكتروني وأرقام الهواتف وعناوين الشحن للطلبات المقدمة بين 10 مايو و8 أغسطس 2026. وفي 7 سبتمبر قالت Trezor إن بيانات 67,000 عميل أمريكي طلبوا منتجاتها بين نوفمبر 2019 وأغسطس 2021 كُشفت أيضًا لأن ShipMonk لم تكن قد حذفتها. وأكدت Trezor أن أنظمتها وأجهزتها لم تُخترق، وحذّرت من عمليات تصيد لاحقة. | bleepingcomputer.com |
| 2026-07-30 | Coldcard (Coinkite) | ثغرة | ~$116M | أدى خطأ في إعدادات البناء يعود إلى البرنامج الثابت 4.0.1 لأجهزة Coldcard (مارس 2021) إلى توليد عبارات الاسترداد على أجهزة Mk2/Mk3 المتأثرة، وبدرجة أقل على البرامج الثابتة لأجهزة Mk4 وMk5 وQ، من مولد أرقام عشوائية برمجي ضعيف بدلًا من مصدر العشوائية في العتاد، ما جعل تخمينها بالقوة الغاشمة ممكنًا؛ وبدأت السرقات في 30 يوليو 2026. أصدرت Coinkite برامج ثابتة مُصلحة في 31 يوليو (Mk3 4.2.0، وMk4/Mk5 5.6.0، وQ 1.5.0Q)، وطلبت من مالكي العبارات المكشوفة إنشاء عبارة جديدة ونقل أموالهم؛ ولا يحمي التحديث سوى العبارات الجديدة. | trmlabs.com |
| 2026-07-24 | Sparrow Wallet (منتحَلة) | تطبيق مزيف | ~$1.8M | رفع ثلاثة مستخدمين دعوى قضائية ضد Apple أمام محكمة فيدرالية في كاليفورنيا، زاعمين أن تطبيقًا مزيفًا باسم "Sparrow Wallet" على iOS (علمًا أن Sparrow الحقيقية لا تملك إصدارًا لنظام iOS) سرق عبارات الاسترداد وعملات البيتكوين الخاصة بهم في منتصف عام 2025. وامتنعت Apple عن التعليق على الدعوى، لكنها قالت إنه لا توجد حاليًا أي نسخ مقلدة من Sparrow Wallet على App Store. | decrypt.co |
| 2026-06-03 | Trezor (Safe 7، شريحة TROPIC01) | ثغرة | — | اكتشف فريق Donjon التابع لـLedger ثغرة حقن أعطال بالليزر في الشريحة الآمنة TROPIC01 المستخدمة في Trezor Safe 7؛ ويتطلب استغلالها حيازة الجهاز فعليًا ونزع غلاف الشريحة ومعدات مختبرية، ولا يمكن إصلاحها عبر البرنامج الثابت في الشرائح الموجودة. وقالت Trezor إن مفاتيح المحفظة والنسخة الاحتياطية غير مخزنة على تلك الشريحة، لذا لا يمكن كشف الأموال أو رمز PIN أو النسخة الاحتياطية، وإن المستخدمين لا يحتاجون إلى اتخاذ أي إجراء. | trezor.io |
| 2026-04-20 | متعددة (انتحال MetaMask وLedger وTrust Wallet وCoinbase وغيرها) | تطبيق مزيف | — | أفادت Kaspersky بوجود 26 تطبيق محفظة مزيفًا على App Store من Apple، ضمن حملة نشطة منذ خريف 2025 على الأقل. ودفعت هذه التطبيقات المستخدمين إلى تثبيت نسخ محافظ مُلغّمة بأحصنة طروادة عبر ملف تعريف مطوّر، أو طلبت عبارة الاسترداد عبر شاشات مزيفة. | kaspersky.com |
| 2026-04-07 | Ledger (منتحَلة) | تطبيق مزيف | ~$9.5M | جمع تطبيق Ledger Live مزيف على Mac App Store من Apple عبارات الاسترداد؛ وربط ZachXBT به سرقات بنحو 9.5 ملايين دولار ($9.5M) بين 7 و13 أبريل 2026، خسر فيها ثلاثة ضحايا أكثر من مليون دولار ($1M) لكل منهم. وأزالت Apple التطبيق دون توضيح كيف اجتاز المراجعة. | theblock.co |
| 2026-02-14 | Trezor، Ledger | تصيد احتيالي | — | زعمت رسائل ورقية مطبوعة على ترويسات مزيفة لـTrezor وLedger أن "فحص المصادقة" (Authentication Check) أو "فحص المعاملات" (Transaction Check) إلزامي، واستخدمت رموز QR لتوجيه المستلمين إلى مواقع تصيد تجمع عبارات الاسترداد. وتؤكد الشركتان أنهما لا تطلبان عبارة الاسترداد أبدًا. | bleepingcomputer.com |
| 2026-01-05 | Ledger | تسريب بيانات | — | تعرّضت Global-e، معالِجة المدفوعات لبعض طلبات Ledger.com، للاختراق، وكُشفت أسماء العملاء وبيانات الاتصال بهم. وقالت Ledger إن عتادها وبرمجياتها ومنصتها لم تُخترق، وإنه لا توجد أي أموال معرضة للخطر. | bravenewcoin.com |
| 2025-12-24 | Trust Wallet (إضافة المتصفح) | سلسلة التوريد | ~$8.5M | سرّبت إضافة Chrome خبيثة بالإصدار v2.68، نُشرت خارج عملية الإصدار الخاصة بـTrust Wallet، عبارات الاسترداد من المستخدمين الذين سجّلوا الدخول بين 24 و26 ديسمبر. وتقول Trust Wallet إنها على ثقة كبيرة بأن الهجوم نشأ عن دودة npm المسماة Sha1-Hulud في نوفمبر 2025، التي كشفت أسرار المطورين على GitHub ومفتاح API لمتجر Chrome Web Store. وأصدرت الشركة الإصدار v2.69، وألغت واجهات API الخاصة بالإصدار، وأغلقت نطاق التسريب، وفتحت باب المطالبات لتعويض المستخدمين المتضررين. | trustwallet.com |
| 2025-12-20 | عام (تسميم العناوين) | تصيد احتيالي | ~$50M | نسخ متداول عنوانًا مشابهًا زرعه نص برمجي لتسميم العناوين في سجل معاملاته، وأرسل إليه ما يقارب 50 مليون دولار ($50M) من USDT بعد تحويل تجريبي صغير. وغسل المهاجم الأموال عبر DAI وETH وTornado Cash، وعرض الضحية مكافأة قدرها مليون دولار ($1M). | theblock.co |
| 2025-12-16 | Exodus | سياسة | — | أعلن مكتب مراقبة الأصول الأجنبية (OFAC) التابع لوزارة الخزانة الأمريكية عن تسوية بقيمة 3,103,360 دولارًا ($3,103,360) مع Exodus Movement بشأن 254 مخالفة ظاهرية للعقوبات المفروضة على إيران (عُدّت 12 منها جسيمة). وبين أكتوبر 2017 ويناير 2019 ساعد موظفو الدعم في Exodus مستخدمين في إيران، وساعدوهم في بعض الحالات على الوصول إلى منصات تداول شريكة، واقترحوا في 12 مناسبة استخدام شبكات VPN. لم يكن ذلك اختراقًا، ولم تتأثر أي أموال للمستخدمين. | ofac.treasury.gov |
| 2025-09-08 | عام (سلسلة توريد npm) | سلسلة التوريد | ~$600 | بعد خداع أحد المشرفين على الحزم بالتصيد، نشر المهاجمون نسخًا خبيثة من chalk وdebug ونحو 18 حزمة npm أخرى. واعترضت الشيفرة window.ethereum واتصالات الشبكة في المتصفحات لاستبدال عناوين مستلمي العملات المشفرة. وكُشفت النسخ الخبيثة بسرعة، ولم يجنِ المهاجمون منها إلا القليل جدًا. | thehackernews.com |
| 2025-06-23 | Trezor | تصيد احتيالي | — | قدّم مهاجمون طلبات عبر نموذج الدعم في Trezor بأسماء الضحايا، بحيث حملت رسائل الرد الآلي الصادرة عن Trezor نفسها محتوى تصيد. وقالت Trezor إن أنظمتها وبياناتها لم يُوصل إليها، وإنها أغلقت موقع التصيد وتعمل على منع المزيد من إساءة الاستخدام. | theblock.co |
| 2025-05-07 | عام (Inferno Drainer) | برمجية استنزاف | >$9M | أفادت Check Point بأن Inferno Drainer عادت إلى الاستخدام، وأنها استدرجت الضحايا عبر صفحات تحقق مزيفة لـCollab.Land على Discord، وأضافت عقودًا أحادية الاستخدام وإعدادات مشفرة على السلسلة لتفادي الاكتشاف. | decrypt.co |
| 2025-04 | Ledger | تصيد احتيالي | — | تلقى مستخدمو Ledger رسائل ورقية تطالب بـ"التحقق الإلزامي من المحفظة" عبر رمز QR وإدخال عبارة الاسترداد. وأكدت Ledger أن الرسائل احتيالية، وقالت إنها لا تطلب الكلمات الـ24 أبدًا. | theblock.co |
| 2025-03-05 | Trezor | ثغرة | — | أظهر فريق Donjon التابع لـLedger أن إحداث أعطال في الجهد الكهربائي لمتحكم دقيق منزوع من اللوحة يمكن أن يتجاوز بعض وسائل الحماية من هجمات سلسلة التوريد في جهاز Trezor Safe 3 الأقدم. وكشفت Trezor عن المشكلة، ووصفتها بأنها صعبة الاستغلال، وأشارت إلى عبارات المرور (passphrase) والتحقق من البرنامج الثابت، ولفتت إلى أن Safe 5 يستخدم شريحة مقاومة لهذه الأعطال. | theblock.co |
| 2025-02-21 | Safe{Wallet} (Bybit) | سلسلة التوريد | ~$1.5B | اخترق مهاجمون يُنسبون إلى Lazarus جهاز أحد مطوري Safe{Wallet} وعدّلوا شيفرة JavaScript للواجهة الأمامية في حاوية AWS S3 التابعة لـSafe، ما جعل الموقّعين في Bybit يوافقون على معاملة خبيثة مموّهة على محفظتها الباردة. وأعادت Safe بناء بنيتها التحتية، وغيّرت جميع بيانات الاعتماد، واستعادت الخدمة، وقالت إن عقودها الذكية لم تكن معرضة للخطر. | slowmist.medium.com |
| 2025-02-06 | عام (SparkCat) | تطبيق مزيف | — | عثرت Kaspersky على حزمة تطوير البرمجيات SparkCat SDK في تطبيقات على App Store وGoogle Play؛ وكانت تستخدم التعرف الضوئي على الحروف (OCR) على الجهاز للعثور على لقطات شاشة لعبارات الاسترداد في معارض الصور ورفعها. وأزال المتجران التطبيقات. | thehackernews.com |
| 2025-01-21 | Ledger | أخرى | — | اختُطف Balland وشريكته في فرنسا للحصول على فدية بالعملات المشفرة، وحررتهما الشرطة في غضون أيام، بعد إصابة إصبع Balland؛ واعتُقل عشرة مشتبه بهم. وتُعد هذه القضية من أبرز الحالات في تصاعد "هجمات المفتاح الإنجليزي" (wrench attacks) الجسدية ضد حائزي العملات المشفرة. | thelocal.fr |
| 2025-01 | عام (تسميم العناوين) | تصيد احتيالي | >$83.8M | قاست دراسة نُشرت في مؤتمر USENIX Security 2025 نحو 270 مليون محاولة لتسميم العناوين على شبكتي Ethereum وBSC على مدى عامين تقريبًا، بخسائر لا تقل عن 83.8 مليون دولار ($83.8M). | arxiv.org |
| 2024-12-30 | Tangem | ثغرة | — | تسبّب خلل في تسجيل السجلات في تطبيق الهاتف المحمول في كتابة المفاتيح الخاصة في السجلات عند إنشاء المستخدم محفظة بعبارة استرداد، وكان يمكن أن تصل تلك السجلات إلى فريق دعم Tangem. وأصلحت Tangem الخلل في 30 ديسمبر 2024، وحذفت سجلات الدعم، وتواصلت مع المستخدمين المتأثرين، وقالت إنه لم تُفقد أي أموال، لكنها تعرضت لانتقادات لقلة ما أعلنته للعموم. | cointelegraph.com |
| 2024-09 | WalletConnect (منتحَلة) | تطبيق مزيف | ~$70,000 | عثرت Check Point على تطبيق مزيف باسم "WalletConnect" على Google Play استنزف المحافظ لنحو خمسة أشهر، وهو أول برنامج استنزاف للعملات المشفرة مخصص للهواتف المحمولة فقط ترصده الشركة. وقد أُزيل التطبيق. | thehackernews.com |
| 2024-05-17 | عام (Pink Drainer) | برمجية استنزاف | ~$85M | أعلنت Pink Drainer، وهي عملية تقدم الاستنزاف كخدمة وتشتهر بالاستيلاء على حسابات Discord وX، توقفها عن العمل بعد سرقات بلغت نحو 85 مليون دولار ($85M) (وفقًا لـScamSniffer). | theblock.co |
| 2024-05-03 | عام (تسميم العناوين) | تصيد احتيالي | ~$68M | أرسل أحد كبار الحائزين (حوت) ما قيمته 68 مليون دولار ($68M) من WBTC إلى عنوان مشابه مسموم. وبعد مفاوضات على السلسلة، أعاد المهاجم جميع الأموال تقريبًا في غضون أسبوع تقريبًا. | unchainedcrypto.com |
| 2024-02-12 | Safe (استغلتها Angel Drainer) | برمجية استنزاف | ~$403,000 | نشرت Angel Drainer عقد خزنة Safe خبيثًا، ودفعت الضحايا إلى توقيع موافقات Permit2، فيما منحت شارة "verified" على Etherscan طمأنينة زائفة. وقالت Blockaid إن Safe نفسها لم تتعرض للهجوم. | cointelegraph.com |
| 2024-02-06 | Exodus (منتحَلة) | تطبيق مزيف | ~$490K | سرقت حزمة snap مزيفة لمحفظة "Exodus" على متجر Snap Store الخاص بـUbuntu عبارات الاسترداد؛ وعزلتها Canonical بعد بلاغ في 12 فبراير. وكانت حزمة snap مزيفة لـLedger Live في سبتمبر 2023 قد كبّدت أحد المستخدمين نحو 10 آلاف دولار ($10K). | blog.popey.com |
| 2024-01-17 | Trezor | تسريب بيانات | — | وصل مهاجم إلى بوابة تذاكر دعم تابعة لطرف ثالث وكشف أسماء وعناوين البريد الإلكتروني للأشخاص الذين تواصلوا مع دعم Trezor منذ ديسمبر 2021؛ وتلقى 41 منهم على الأقل رسائل تصيد تستهدف عبارات الاسترداد. وراسلت Trezor المستخدمين المتأثرين بالبريد الإلكتروني، وقالت إنه لم تُخترق أي أصول. | forklog.com |
| 2023-12-14 | Ledger (Connect Kit) | سلسلة التوريد | ~$600,000 | استُخدم حساب npm لموظف سابق وقع ضحية للتصيد في نشر نسخة خبيثة من Ledger Connect Kit حقنت برنامج استنزاف في التطبيقات اللامركزية التي تستخدم المكتبة. وأصدرت Ledger إصلاحًا، وتعهدت بتعويض الضحايا بالكامل، وأعلنت أنها ستتخلى تدريجيًا عن التوقيع الأعمى لصالح التوقيع الواضح (Clear Signing). | cointelegraph.com |
| 2023-12-12 | OKX Wallet / OKX DEX | اختراق | ~$2.7M | أتاح تسريب مشتبه به لمفتاح مسؤول الوكيل (proxy-admin) للمهاجمين ترقية عقد قديم متوقف لـOKX DEX واستنزاف الرموز التي وافق عليها المستخدمون. وألغت OKX الأذونات وتعهدت بتعويض المستخدمين المتأثرين. | theblock.co |
| 2023-11-14 | عام (BitcoinJS 'Randstorm') | ثغرة | — | كشفت Unciphered عن ثغرة "Randstorm"، وهي عشوائية ضعيفة في محافظ المتصفح المبنية على BitcoinJS والمُنشأة بين 2011 و2015 (مصدرها JSBN SecureRandom وMath.random في المتصفح)، قد تتيح تخمين المفاتيح بالقوة الغاشمة. وطُلب من المالكين نقل أموالهم. | forklog.com |
| 2023-11 | عام (Inferno Drainer) | برمجية استنزاف | >$80M | أعلنت Inferno Drainer، التي نشطت منذ نوفمبر 2022 وانتحلت أكثر من 100 علامة تجارية للعملات المشفرة عبر أكثر من 16,000 نطاق تصيد، توقفها في نوفمبر 2023 (وفقًا لـGroup-IB). | group-ib.com |
| 2023-10-19 | Ledger Live (منتحَلة) | تطبيق مزيف | ~$768,000 | سرق تطبيق Ledger Live مزيف على Microsoft Store، متاح منذ 19 أكتوبر 2023، عبارات الاسترداد، بحسب ما نبّه إليه ZachXBT. وأزالته Microsoft. | bitdefender.com |
| 2023-09-05 | عام (اختراق LastPass) | تسريب بيانات | >$35M | ربط باحثون سلسلة من سرقات العملات المشفرة بعبارات استرداد كانت محفوظة في خزائن LastPass سُرقت في اختراق عام 2022 وكُسر تشفيرها دون اتصال. وقالوا إن الصلة مرجحة لكنها ليست قاطعة. | krebsonsecurity.com |
| 2023-08-08 | Libbitcoin Explorer (bx) — 'Milk Sad' | ثغرة | >$900,000 | استخدم الأمر `bx seed` مولد أرقام شبه عشوائية مُهيأ بالوقت لا تتجاوز عشوائيته 32 بت (CVE-2023-39910)، ما أتاح تخمين عبارات الاسترداد بالقوة الغاشمة. واعترضت Libbitcoin على اعتبار ذلك خللًا، مستشهدة بالتحذيرات الواردة في وثائقها. | unchainedcrypto.com |
| 2023-06-03 | Atomic Wallet | اختراق | >$100M | استُنزفت أموال آلاف من مستخدمي Atomic Wallet في هجوم نسبته Elliptic إلى مجموعة Lazarus الكورية الشمالية. ولم تؤكد Atomic السبب الجذري قط، واكتفت بذكر أربعة مسارات محتملة؛ وتعاونت مع منصات التداول وChainalysis وCrystal لتجميد الأموال، ولم تعلن عن أي تعويض. | decrypt.co |
| 2023-05 | Ledger (Recover) | سياسة | — | أعلنت Ledger عن خدمة Ledger Recover (في 16 مايو 2023)، وهي خدمة اختيارية مدفوعة تشفّر عبارة الاسترداد وتقسّمها بين ثلاث جهات حفظ. واعترض المستخدمون على أن البرنامج الثابت قادر على استخراج المفاتيح، فاعتذر الرئيس التنفيذي Pascal Gauthier عن طريقة التواصل، ووعد بتسريع فتح المصدر، وأرجأ الإطلاق. | forklog.com |
| 2023-04-22 | Trust Wallet (إضافة المتصفح) | ثغرة | ~$170,000 | جعلت ثغرة في العشوائية المرتبطة بـWebAssembly في Trust Wallet Core بعض المحافظ المُنشأة عبر الإضافة قابلة للتخمين، وتلا ذلك استغلالان. وأصلحت Trust Wallet المشكلة، وأمّنت معظم الأموال المعرضة للخطر، ووضعت آلية للتعويض. | theblock.co |
| 2023-02 | OneKey | ثغرة | — | نشرت Unciphered مقطع فيديو يُظهر استخراج أسرار من جهاز OneKey Mini عبر ثغرة في البرنامج الثابت في نحو ثانية واحدة. وقالت OneKey إنها أصلحت الثغرة. | unciphered.com |
| 2022-12 | BitKeep (حاليًا Bitget Wallet) | تطبيق مزيف | ~$8M | سرقت ملفات APK لتطبيق BitKeep على Android مُلغّمة بأحصنة طروادة، انتشرت عبر مواقع تصيد، المفاتيح الخاصة؛ ولم يتأثر الإصدار المتاح على Google Play. | halborn.com |
| 2022-10-18 | BitKeep Swap (حاليًا Bitget Wallet) | اختراق | ~$1M | استُغلت ميزة Swap في BitKeep على شبكتي BNB Chain وPolygon. وعلّقت BitKeep ميزة Swap، ووعدت بتعويض بنسبة 100% عبر بوابة للمطالبات. | web3.bitget.com |
| 2022-10-11 | Rabby Wallet | اختراق | — | بعد أقل من شهر على الإطلاق، استنزف استغلالٌ لعقد الموجّه Rabby Swap الرموزَ التي وافق عليها المستخدمون. وطلبت Rabby من مستخدمي Swap إلغاء جميع الموافقات. | theblock.co |
| 2022-09-20 | عناوين Profanity المخصصة (Wintermute) | ثغرة | ~$160M | خسرت شركة صناعة السوق Wintermute مبلغ 160 مليون دولار ($160M)، وهو ما نُسب على نطاق واسع إلى أن محفظتها الساخنة الإدارية كانت عنوانًا مخصصًا (vanity) مُنشأً بأداة Profanity يمكن تخمين مفتاحه بالقوة الغاشمة. وكانت 1inch قد كشفت عن ثغرة Profanity قبل ذلك بأسبوع. | theblock.co |
| 2022-08-02 | Slope Wallet | ثغرة | ~$4M–$5M | أرسل تطبيق Slope للهاتف المحمول عبارات الاسترداد إلى خادم السجلات Sentry حيث خُزنت دون تشفير (وفقًا لـOtter Sec). وطلبت Slope من المستخدمين نقل أموالهم؛ وقالت Phantom إن أنظمتها لم تُخترق، وإن مستخدمي Phantom المتأثرين كانوا قد استوردوا عبارات استرداد من Slope. | theblock.co |
| 2022-06-16 | MetaMask، Phantom (وBrave) | ثغرة | — | أظهر إفصاح "Demonic" الصادر عن Halborn أن ملفات "استعادة الجلسة" في المتصفحات قد تخزن عبارات الاسترداد دون تشفير على القرص. وأصدرت MetaMask وPhantom إصلاحات. | theblock.co |
| 2022-04-17 | MetaMask (iOS) | تصيد احتيالي | ~$650,000 | استولت عملية احتيال هاتفية على معرّف Apple ID لأحد المستخدمين، واستخدمت النسخة الاحتياطية على iCloud لخزنة MetaMask الخاصة به لاستنزاف محفظته. وحذّرت MetaMask المستخدمين ونشرت خطوات لإيقاف النسخ الاحتياطي على iCloud للتطبيق. | decrypt.co |
| 2022-04-03 | Trezor | تصيد احتيالي | — | أدى اختراق في Mailchimp بمساعدة من الداخل إلى تلقي عملاء Trezor رسائل تصيد تروّج لتطبيق "Trezor Suite" مزيف مصمم لسرقة عبارات الاسترداد. وأغلقت Trezor النطاق وأوقفت نشراتها البريدية مؤقتًا. | siliconrepublic.com |
| 2021-06-16 | Ledger | تصيد احتيالي | — | باستخدام بيانات من تسريب عام 2020، أرسل مجرمون بالبريد أجهزة Ledger Nano X مزيفة ومعدّلة بوصفها "بديلة"، تطلب من الضحايا تشغيل برنامج وإدخال عبارة الاسترداد. وأكدت Ledger مجددًا أنها لا تطلب العبارة أبدًا. | bleepingcomputer.com |
| 2021-01-22 | Trezor (منتحَلة) | تطبيق مزيف | >$1M | جمع تطبيق مزيف باسم "Trezor" على App Store من Apple، في الفترة من 22 يناير إلى 3 فبراير 2021، عبارات الاسترداد؛ وظهر تطبيق مزيف مماثل على Google Play. | malwarebytes.com |
| 2020-12-20 | Ledger | تسريب بيانات | — | نُشرت قاعدة بيانات التجارة الإلكترونية لـLedger، المسروقة في يونيو 2020، علنًا على RaidForums، ما غذّى سنوات من حملات التصيد والابتزاز والأجهزة المزيفة. وكانت Ledger قد عطّلت مفتاح API الذي أسيء استخدامه وأبلغت الهيئة الفرنسية CNIL في يوليو 2020. | decrypt.co |
| 2020-03-24 | عام (الموافقات غير المحدودة على الرموز) | ثغرة | — | أظهرت ZenGo أن معظم محافظ التطبيقات اللامركزية كانت تمنح أذونات صرف غير محدودة لرموز ERC-20، يمكن لتطبيق لامركزي خبيث استنزافها لاحقًا. وقالت Trust Wallet إنها ستُجري ترقية، فيما كانت MetaMask وBrave توفران بالفعل أدوات متقدمة للتحكم في الأذونات. | cointelegraph.com |
| 2020-01-31 | Trezor | ثغرة | — | استخرجت Kraken Security Labs عبارات الاسترداد المشفرة من أجهزة Trezor في أقل من 15 دقيقة من الوصول المادي باستخدام إحداث أعطال في الجهد الكهربائي؛ ولا يمكن ترقيع ثغرة المتحكم الدقيق. وقالت Trezor إن عبارة المرور BIP39 تُحبط هذا الهجوم. | theblock.co |
| 2019-04 | Electrum | أخرى | — | شنّت شبكة روبوتات انتشرت عبر Smoke Loader/RIG هجمات حجب الخدمة على خوادم Electrum السليمة لدفع العملاء القدامى نحو خوادم تصيد خبيثة. واستخدمت Electrum ثغرة حجب خدمة في العملاء الأقدم من الإصدار 3.3 لفرض الترقيات، ونشرت إرشادات لمشغلي الخوادم. | malwarebytes.com |
| 2019-02-22 | Coinomi | ثغرة | — | أظهر أحد المستخدمين أن محفظة Coinomi لسطح المكتب كانت ترسل النص المُدخل في حقل الاستعادة، بما في ذلك عبارات الاسترداد، إلى واجهة API للتدقيق الإملائي من Google. وعزت Coinomi ذلك إلى إضافة سيئة الإعداد، وأصلحتها في 22 فبراير 2019. | theblock.co |
| 2018-12-27 | Trezor، Ledger | ثغرة | — | عرض فريق wallet.fail في مؤتمر 35C3 هجمات على جهاز Trezor One (استخراج المفاتيح في غياب عبارة المرور) وجهازي Ledger Nano S/Blue. ووعدت Trezor بإصلاح في البرنامج الثابت، وانتقدت غياب الإفصاح المنسق. | crowdfundinsider.com |
| 2018-12-21 | Electrum | تصيد احتيالي | >$4M | استغلت خوادم Electrum خبيثة قدرة العميل على عرض رسائل خطأ بنص منسق لإظهار مطالبات "تحديث" مزيفة ترتبط بمحافظ مُلغّمة بأحصنة طروادة تسرق عبارات الاسترداد أو تعيد توجيه المدفوعات. وأصلحت Electrum المشكلة في الإصدارين 3.3.3/3.3.4، ثم فرضت الترقيات لاحقًا. | malwarebytes.com |
كيف تحمي نفسك
نزّل المحافظ من الموقع الرسمي أو صفحة المتجر الرسمية فقط، بعد كتابة العنوان بنفسك؛ ولا تكتب عبارة الاسترداد في أي موقع إلكتروني ولا تشاركها مع "الدعم الفني" أبدًا؛ واقرأ كل معاملة وكل موافقة قبل التوقيع عليها؛ وتحقق من كل حرف في أي عنوان تلصقه، لا من الأحرف الأولى والأخيرة فقط، لأن تسميم العناوين يقلّدها؛ واحتفظ بالمبالغ الكبيرة في محفظة أجهزة. راجع أمان عبارة الاسترداد وعمليات احتيال محافظ العملات المشفرة.
المنهجية والاستشهاد
تستند المدخلات إلى تقارير ما بعد الحوادث الصادرة عن الشركات المعنية، وإلى باحثين أمنيين وتغطيات إخبارية موثوقة؛ ويذكر كل صف مصدره. أرقام الخسائر كما أُبلغ عنها في حينه. يمكن للصحفيين والباحثين الاستشهاد بهذه الصفحة، ونرجو وضع رابط إليها. البيانات متاحة للتنزيل مجانًا في صفحة الصحافة. نرحب بالتصحيحات.