كشفت دراسة أُجريت في مؤتمر USENIX Security ’26 عن وجود 65,340 عنوان عملات رقمية محفوفة بالمخاطر مُتورطة في استخدامات خاطئة عبر شبكتي إيثريوم وبي إن بي سمارت تشين، حيث بلغت الخسائر المرتبطة بالعملات الأصلية لهذه الشبكات حوالي 126,982.94 إيثريوم و17,726.7 بي إن بي.
قدّر الباحثون قيمة الخسائر المرتبطة بهذه العناوين الخطيرة بأكثر من 574.8 مليون دولار أمريكي. لكن المتجهين الهجوميين النشطين الجديدين الموصوفين في الدراسة يتسببان بشكل مباشر في خسائر تبلغ حوالي 15.7 مليون دولار فقط، أي ما يعادل 2.7% من هذا الرقم الإجمالي. كما استخدمت الدراسة الكاملة أسعارًا مرجعية لشهر مايو 2025 بلغت 4,408 دولارات لكل إيثريوم و847 دولارًا لكل بي إن بي، بدلاً من قيمة كل عملة بالدولار في الوقت الذي حدثت فيه الخسائر الفعلية.
كيف تتحول العناوين الخطيرة إلى فخاخ؟
تقسم الدراسة المشكلة إلى نوعين رئيسيين: سوء استخدام حسابات العقود، وسوء استخدام الحسابات المملوكة خارجيًا.
يحدث سوء استخدام حسابات العقود عندما يرسل شخص ما استدعاءً لوظيفة معينة، وأحيانًا مع إرفاق إيثريوم أو بي إن بي، إلى عنوان لا يحتوي على كود عقد على الشبكة المحددة. قد تنجح المعاملة كتحويل بسيط دون تنفيذ الوظيفة المقصودة، وتبقى الأموال في هذا العنوان ما لم يتم نشر كود جديد يمكنه تحريكها لاحقًا.
هذا يمكّن المتجه الهجومي الأول. يمكن للمهاجم نشر عقد على عنوان شبكة اختبارية، ثم انتظار المستخدمين لإرسال أموالهم عن طريق الخطأ إلى العنوان المشابه بدون كود على الشبكة الرئيسية، ثم استغلال آلية تحديد عناوين العقود الحتمية لنشر كود سحب خبيث في نفس الموقع. حددت الدراسة 469 عقدًا خبيثًا مرتبطًا بخسائر بلغت 3,446.37 إيثريوم و431.79 بي إن بي.
أما سوء استخدام الحسابات المملوكة خارجيًا فيبدأ بمفتاح خاص عام أو مكشوف. أي شخص يمتلك المفتاح يمكنه التحكم في الحساب، ويمكن للبرامج الآلية الماسحة أن تتنافس لإزالة الأموال الواردة بسرعة.
يستخدم المتجه الهجومي الثاني معيار EIP-7702 لجعل عملية السحب أكثر مباشرة. يمكن للمهاجم استخدام المفتاح المكشوف لتفويض الحساب إلى كود خبيث يقوم بتحويل الإيداع إلى المهاجم في نفس المعاملة. حدد التحليل التفصيلي أكثر من 17,200 عنوان مُفوَّض وخسائر بلغت 25.86 إيثريوم بالإضافة إلى 33.45 بي إن بي.
معًا، يغطي المتجهان الهجوميان النشطان خسائر تبلغ 3,472.23 إيثريوم و465.24 بي إن بي. أما باقي أرقام الدراسة الإجمالية فتغطي مجموعة أوسع من حالات سوء استخدام حسابات العقود والمفاتيح المكشوفة المكتشفة، وليس فقط هذين الهجومين.
كيف تم جمع البيانات وتحليلها؟
لبناء مجموعة البيانات، قام الفريق بفحص 63,004 مستودع على جيثب أُنشئت بين يناير 2015 ومايو 2025، واستخدم أرشيف Stack Exchange من أبريل 2025. استخرج الفريق أكثر من 16.3 مليون مفتاح خاص بعد إزالة التكرارات من جيثب، واشتق عناوينها، وجمع بين مطابقة المفاتيح المباشرة وقواعد أنماط المعاملات والتنفيذ الرمزي الخفيف على شبكتي إيثريوم وبي إن بي سمارت تشين.
أبلغ الباحثون عن دقة بلغت 99.11% في نتائج كشف سوء استخدام العناوين بشكل عام. قاموا بأخذ عينات عشوائية من حالات حسابات العقود المستنتجة وحالات الحسابات المملوكة خارجيًا المعتمدة على الأنماط، وطلبوا من باحثين اثنين الحكم بشكل مستقل على ما إذا كان كل اكتشاف يطابق تعريفات الدراسة، وعاملوا العناوين المشتقة من المفاتيح الخاصة العامة كمؤكدة بشكل منفصل. يقيس رقم الدقة دقة الكشف، وليس ما إذا كان تقدير الدولار الكامل ناتجًا بشكل مباشر عن المتجهين الهجوميين النشطين.
ماذا عن الإفصاح والحماية؟
قال الباحثون إنهم بدأوا في الإفصاح عن النتائج لمطوري المحافظ ومنصات التبادل، وحاولوا التواصل مع المشاريع المتأثرة. ومع ذلك، لا توفر الورقة معدل معالجة كامل أو عددًا حاليًا للعناوين الممولة من بين جميع الحالات الـ 65,340.
يمكن للمستخدمين تقليل المخاطر المباشرة عن طريق التحقق من العنوان والشبكة مقابل المصادر الرسمية. يجب على المطورين إبقاء الحسابات الاختبارية والمفاتيح المكتوبة في الكود خارج بيئة الإنتاج، بينما يمكن لمزودي المحافظ تحذير المستخدمين قبل إتمام معاملات تصل إلى عناوين بدون كود أو عناوين بمفاتيح مكشوفة.
الأسئلة الشائعة
س1: ما هو المتجه الهجومي الأول الذي وصفته الدراسة؟
ج1: المتجه الهجومي الأول هو استغلال حسابات العقود، حيث ينشر المهاجم عقدًا على عنوان شبكة اختبارية، ثم ينتظر المستخدمين لإرسال أموالهم بالخطأ إلى العنوان المطابق بدون كود على الشبكة الرئيسية، ثم يستغل آلية تحديد العناوين الحتمية لنشر كود خبيث يسمح له بسحب الأموال من ذلك العنوان.
س2: كيف يعمل المتجه الهجومي الثاني المتعلق بـ EIP-7702؟
ج2: يستخدم المهاجم مفتاحًا خاصًا مكشوفًا للتحكم في حساب الضحية، ثم يقوم بتفويض هذا الحساب إلى كود خبيث عبر معيار EIP-7702، مما يسمح له بتحويل أي أموال تصل إلى الحساب إلى عنوان المهاجم في نفس المعاملة بشكل مباشر وسريع، دون الحاجة إلى انتظار برامج السحب الآلية التقليدية.
س3: كيف يمكنني حماية نفسي من هذه الهجمات؟
ج3: تأكد دائمًا من صحة العنوان والشبكة قبل إرسال أي معاملة من خلال مراجعة المصادر الرسمية للمشروع، وتحقق من وجود كود العقد على العنوان على الشبكة المحددة، ولا تشارك مفاتيحك الخاصة مع أي شخص أو نظام، وتجنب استخدام المفاتيح الموجودة في أكواد برمجية عامة أو مخزنة في ملفات المشاريع على منصات مثل جيثب.
