كشف باحثون في شركة الأمن السيبراني ReversingLabs عن قيام هاكر بإدراج طلب سحب (pull request) ضار في إحدى إضافات كود Ethereum المخصصة للمطورين. تم إدخال الكود الضار ضمن تحديث لأداة ETHcode، وهي مجموعة أدوات مفتوحة المصدر يستخدمها مطورو Ethereum لبناء ونشر العقود الذكية والتطبيقات اللامركزية (dApps) المتوافقة مع آلة Ethereum الافتراضية (EVM).
تفاصيل الهجوم
وفقًا لمدونة نشرتها ReversingLabs، تم إخفاء سطرين ضارين من الكود ضمن طلب سحب على GitHub يحتوي على 43 عملية commit و4000 سطر من التحديثات. ركز التحديث بشكل أساسي على إضافة إطار عمل جديد للاختبارات وتحسينات أخرى. تم رفع التحديث إلى GitHub في 17 يونيو بواسطة مستخدم يدعى Airez299، والذي لم يكن له أي تاريخ سابق على المنصة.
كيف تم التمويه؟
تمت مراجعة طلب السحب بواسطة أداة الذكاء الاصطناعي التابعة لـ GitHub، بالإضافة إلى أعضاء مجموعة 7finney المسؤولة عن تطوير ETHcode. لم يتم اكتشاف أي شيء مشبوه، وتمت الموافقة على التحديث مع طلب تعديلات طفيفة فقط. استطاع Airez299 إخفاء السطر الأول من الكود الضار عن طريق تسميته بطريقة مشابهة لملف موجود مسبقًا، كما قام بتعقيد الكود نفسه لجعله صعب القراءة. أما السطر الثاني، فكان وظيفته تفعيل السطر الأول، والذي يهدف في النهاية إلى إنشاء وظيفة آلية (Powershell) تقوم بتنزيل وتشغيل سكريبت دفعة (batch script) من خدمة استضافة ملفات عامة.
الآثار المحتملة
ما زالت ReversingLabs تحقق في الوظيفة الدقيقة لهذا السكريبت، لكنها تفترض أنه صُمم “لسرقة الأصول الرقمية المخزنة على جهاز الضحية، أو اختراق عقود Ethereum قيد التطوير من قبل مستخدمي الإضافة.” وأشار Petar Kirhmajer، مؤلف المدونة، إلى عدم وجود أدلة حتى الآن على استخدام الكود الضار لسرقة أي أصول أو بيانات. ومع ذلك، فإن ETHcode لديها 6000 عملية تثبيت، وقد يكون طلب السحب – الذي كان سيتم نشره كجزء من تحديث تلقائي – قد انتشر “إلى آلاف أنظمة المطورين.”
مشكلة شائعة في عالم التشفير
يشير بعض المطورين إلى أن هذا النوع من الاستغلال يحدث بكثرة في مجال التشفير، نظرًا لاعتماد الصناعة بشكل كبير على التطوير مفتوح المصدر. يقول Zak Cole، مطور Ethereum والشريك المؤسس لـ NUMBER GROUP: “هناك الكثير من الكود وعدد قليل جدًا من الأشخاص الذين يراجعه.” وأضاف أن العديد من المطورين يقومون بتثبيت حزم مفتوحة المصدر دون فحصها جيدًا، مما يجعل من السهل على أي شخص إدراج كود ضار.
نصائح للحماية
لتقليل فرص استخدام كود مخترق، توصي ReversingLabs المطورين بما يلي:
- التحقق من هوية وسجل المساهمين قبل تنزيل أي شيء.
- مراجعة ملفات مثل package.json لتقييم التبعيات الجديدة.
- تثبيت التبعيات بشكل محكم لتجنب إدخال تحديثات عشوائية.
- استخدام أدوات تفحص السلوك المشبوه أو الحزم التي تتغير ملكيتها فجأة.
- عدم تشغيل أدوات التوقيع أو المحافظ على نفس الجهاز المستخدم للبرمجة.
الأسئلة الشائعة
ما هي أداة ETHcode؟
ETHcode هي مجموعة أدوات مفتوحة المصدر تساعد مطوري Ethereum في بناء ونشر العقود الذكية والتطبيقات اللامركزية المتوافقة مع EVM.
كيف تم اكتشاف الكود الضار؟
تم اكتشافه من قبل باحثي ReversingLabs، حيث وجدوا سطرين ضارين مخفيين ضمن تحديث كبير على GitHub.
كيف يمكن للمطورين حماية أنفسهم؟
بفحص المساهمين، مراجعة التبعيات، وتجنب تشغيل أدوات حساسة على أجهزة التطوير.
