كشفت شركة Coinspect للأمن السيبراني في 6 يوليو عن ثغرة في إنشاء المحافظ تُدعى "Ill Bloom" يستغلها المهاجمون بنشاط، ويعود السبب الجذري إلى استخدام مولد أرقام عشوائية زائفة غير آمن في عملية إنشاء عبارة الاسترداد، مما أدى إلى انخفاض قوة التشفير لعبارة الاسترداد (mnemonic) عن المستوى المتوقع، مما سمح للمهاجمين بالسيطرة على المحافظ المتأثرة وسرقة الأموال. يعود أول دليل معروف على الاستغلال على السلسلة إلى 27 مايو، بإجمالي خسائر تجاوزت 5 ملايين دولار.
السبب الجذري التقني لثغرة Ill Bloom: مولد أرقام عشوائية زائفة ضعيف وضعف عبارة الاسترداد
وفقًا لإفصاح Coinspect، فإن السبب الجذري التقني لثغرة Ill Bloom هو استخدام المحفظة لمولد أرقام عشوائية زائفة (PRNG) غير آمن عند إنشاء عبارة الاسترداد (mnemonic)، مما أدى إلى انخفاض قوة التشفير لعبارة الاسترداد عن المستوى المتوقع، مما سمح للمهاجمين بالتنبؤ أو إعادة بناء عبارة الاسترداد، وبالتالي السيطرة الكاملة على المحافظ المتأثرة.
ذكرت Coinspect أنها أعادت إنتاج عملية الهجوم بالكامل: حددت السبب الجذري، وأنشأت جميع العناوين التي يمكن أن تنتجها عبارات الاسترداد الضعيفة، واستخدمت بيانات السلسلة العامة للتحقق من أي العناوين لا تزال تحتوي على أموال. تشير الأدلة الحالية إلى أن معظم محافظ البرامج الرئيسية لا تحتوي على هذه الثغرة، والأكثر تأثرًا هم المستخدمون الذين استخدموا "محافظ برامج محمولة غير شائعة" لإنشاء عبارات الاسترداد الخاصة بهم.
حجم الخسائر والسلاسل المتأثرة: 3 ملايين دولار في 27 مايو، و 2 مليون دولار مؤخرًا
وفقًا للبيانات التي كشفت عنها Coinspect، فإن حجم الخسائر المعروف لهذه الثغرة هو:
27 مايو: أول هجوم معروف على السلسلة، حيث تم سرقة حوالي 3 ملايين دولار من مئات الحسابات
مؤخرًا (قبل ساعات من الإفصاح): تم تحويل حوالي 2 مليون دولار من المحافظ المكشوفة
الخطر الحالي: لا تزال آلاف الحسابات معرضة للخطر
السلاسل المتأثرة: بيتكوين (BTC)، إيثريوم (ETH) وشبكات L2، ترون (Tron)، وسولانا (Solana)
النطاق الزمني لتأثير الثغرة: يعود إلى عام 2018، وما زالت المحافظ المتأثرة تُنشأ حتى ما قبل أسابيع
كما علق كبير مسؤولي أمن المعلومات في شركة SlowMist، 23pds، على وسائل التواصل الاجتماعي، معلنًا أن SlowMist تتابع معًا خطر الأرقام العشوائية الضعيفة التي كشفت عنها Coinspect، داعيًا المستخدمين الذين لديهم عبارات استرداد تاريخية إلى الاستعلام عن الأدوات ذات الصلة.
طريقة استخدام أداة فحص العناوين من Coinspect ونصائح نقل الأموال بأمان
أطلقت Coinspect أداة فحص العناوين المتأثرة بشكل عام، وطريقة الاستخدام هي: أدخل فقط عنوان المحفظة العام (يرجى عدم إدخال عبارة الاسترداد أو المفتاح الخاص أو أي معلومات سرية)، ستقوم الأداة بمقارنة مجموعة البيانات العامة للعناوين الضعيفة؛ إذا تطابق العنوان، ستعرض الأداة الخطوات التالية.
تعلن Coinspect أن الأداة تتطلب فقط العنوان العام، ولن يتم إرسال العنوان إلى أي خادم طرف ثالث. إذا تطابق العنوان، فإن الطريقة الأكثر أمانًا الموصى بها هي:
· إنشاء محفظة جديدة تمامًا وتوليد عبارة استرداد جديدة، ثم نقل الأموال إلى عنوان المحفظة الجديدة؛
· تؤكد Coinspect أن مجرد تحديث التطبيق أو استيراد نفس عبارة الاسترداد إلى تطبيق آخر لا يضمن أمان الأموال.
· إذا كانت نتيجة الفحص سلبية، فهذا لا يعني أن المحفظة آمنة تمامًا، لأن مجموعة البيانات قد لا تكون كاملة.
الأسئلة الشائعة
ما أنواع مستخدمي المحافظ الأكثر عرضة للتأثر بثغرة Ill Bloom؟
وفقًا لإفصاح Coinspect، فإن المستخدمين الذين يستخدمون المحافظ المادية لإنشاء عبارات الاسترداد غير متأثرين بهذه الثغرة؛ كما أن معظم محافظ البرامج الرئيسية غير متأثرة. الأكثر تأثرًا هم المستخدمون الذين يستخدمون "محافظ برامج محمولة غير شائعة" لإنشاء عبارات الاسترداد. تعلن Coinspect أنها لا تستطيع الإعلان عن جميع تطبيقات المحافظ المتأثرة، لأن العناوين العامة لا تكشف عن تطبيق المحفظة الذي أنشأ العنوان الأصلي؛ إذا تطابق العنوان، يمكن للمستخدمين الإبلاغ عن التطبيق المستخدم للمساعدة في تحديد البرنامج المتأثر.
إذا أظهرت أداة العناوين من Coinspect أن عنوان محفظتي متطابق، فماذا أفعل؟
وفقًا لتوصية Coinspect، إذا تطابق العنوان، يجب تنفيذ الخطوات التالية فورًا: إنشاء محفظة جديدة تمامًا وتعيين عبارة استرداد جديدة تمامًا؛ تأكد من رؤية مجموعة جديدة كاملة من 12 إلى 24 كلمة (إذا طُلب منك إدخال عبارة استرداد حالية، فهذا يعني استعادة محفظة قديمة، وليس إنشاء جديدة)؛ بعد الانتهاء، انقل جميع الأموال إلى عنوان المحفظة الجديدة. تؤكد Coinspect أن مجرد تحديث التطبيق أو استيراد نفس عبارة الاسترداد إلى تطبيق آخر لا يضمن أمان الأموال.
هل تؤثر ثغرة Ill Bloom فقط على سلسلة كتل معينة؟
وفقًا لإفصاح Coinspect، تؤثر هذه الثغرة على سلاسل متعددة، بما في ذلك بيتكوين وإيثريوم وشبكات L2 وترون وسولانا، ولا يقتصر الخطر على السلسلة التي تم اكتشاف النشاط المشبوه فيها لأول مرة. جميع العناوين على السلاسل التي تم إنشاؤها باستخدام نفس عبارة الاسترداد قد تواجه نفس الخطر؛ وقد قدمت Coinspect إفصاحًا تقنيًا مرحليًا، حيث تتم مشاركة المعلومات التقنية الكاملة فقط مع فرق مزودي الخدمات القادرين على حماية المستخدمين.
