يركز أمان العملات الرقمية عادةً على ما يحدث داخل المحفظة: عبارات الاسترداد، والمفاتيح الخاصة، والموافقات المشبوهة، وروابط التصيد الاحتيالي. ويذكّر FomoPeek بأن الخطر قد يبدأ قبل ذلك بطبقة، من الجهاز الذي يحتفظ بها جميعًا.
زعم تقرير صادر عن SlowMist ونُشر في 20 سبتمبر أن FomoPeek، وهو تطبيق لمراقبة المحافظ مدرج في متجر التطبيقات، احتوى على وحدات خبيثة في الإصدارين 1.1 و1.2. ووفقًا للتقرير، كان بإمكان تلك الوحدات استخدام إعدادات عن بُعد، ومحاولة استغلال النظام، وجمع البيانات من تطبيقات المحافظ والملاحظات المستهدفة.
أصدر FomoPeek لاحقًا الإصدار 1.3 من دون الوحدات المذكورة. وقد يزيل ذلك التهديد المُبلغ عنه من الإصدار الأحدث، لكنه لا يستطيع عكس المعلومات التي ربما كُشف عنها بالفعل.
هذا التمييز مهم للمتداولين. فقد يجعل إدراج التطبيق رسميًا البرنامج يبدو موثوقًا، لا سيما عندما يبدو أن المنتج لا يفعل أكثر من مراقبة نشاط المحافظ العامة. لكن التوزيع عبر متجر مألوف لا يلغي ما قد يكون التطبيق قادرًا على فعله بمجرد وصوله إلى الجهاز.
كان الخطر أكبر من مجرد عنوان المحفظة
قدّم FomoPeek نفسه كأداة لمراقبة نشاط المحافظ العامة عبر Solana وEthereum وTRON. وعلى السطح، يبدو ذلك غير ضار نسبيًا. فالعناوين العامة ظاهرة أصلًا على السلسلة، ومجرد مراقبة أحدها لا يتطلب التحكم في المحفظة المرتبطة به.
لكن المخاوف التي أثارتها SlowMist تجاوزت ذلك بكثير.
ذكر تحليلها أن الإصدارات المتأثرة قد تتمكن من تحديد التطبيقات المثبتة، وتلقي تعليمات الجمع من خادم بعيد، واستهداف البيانات المرتبطة بتطبيقات المحافظ والملاحظات. وهذا يغيّر المسألة الأمنية بالكامل. فلم تكن نقطة الضعف المحتملة اتصالًا مشبوهًا بمحفظة أو نموذجًا واضحًا يطلب من المتداولين إدخال عبارة الاسترداد. بل كانت معلومات حساسة مخزنة في مكان آخر على الجهاز نفسه.
وهذا مهم لأن عبارة الاسترداد أو المفتاح الخاص يقعان في صميم الحيازة الذاتية. يمكن قفل الهاتف. وقد يتطلب تطبيق المحفظة كلمة مرور. وقد تتطلب المعاملات تأكيدًا. لكن إذا حصل شخص ما على سر الاسترداد الأساسي، فقد لا تعود تلك الحمايات كافية.
يمكن استعادة المحفظة في مكان آخر، ما يمنح المهاجم القدرة على التصريح بالمعاملات من دون لمس الجهاز الأصلي على الإطلاق. فهم كيفية عمل محفظة Web3 فعليًا وهذا يجعل هذا التمييز مهمًا للغاية: فحماية تطبيق المحفظة ليست سوى جزء من حماية المحفظة نفسها.
ولذلك يشير تقرير FomoPeek إلى مشكلة أمنية أوسع. يجب ألا تُحفظ عبارات الاسترداد في الملاحظات أو لقطات الشاشة أو مكتبات الصور أو سجلات الدردشة أو المسودات السحابية على الجهاز نفسه المستخدم للوصول إلى العملات المشفرة.
حذف التطبيق لا يعيد ضبط مستوى المخاطر
بمجرد احتمال انكشاف معلومات حساسة عن المحفظة، فإن إزالة التطبيق لا تعني إزالة التهديد.
ينبغي للمتداولين الذين ثبّتوا الإصدارين 1.1 أو 1.2 من FomoPeek المذكورين في التقرير التعامل مع عبارات الاسترداد والمفاتيح الخاصة وبيانات اعتماد الجهاز الحساسة التي يُحتمل انكشافها باعتبارها معلومات قد لا تكون خاصة بعد الآن. حذف التطبيق أو تغيير كلمة مرور المحفظة المحلية لا يغيّر سر الاسترداد الأساسي.
هذا الفرق مهم. فكلمة مرور المحفظة تحمي عادةً الوصول إليها على جهاز معيّن. أما عبارة الاسترداد فتتحكم في المحفظة نفسها.
إذا وُجد سبب للاعتقاد بأن عبارة الاسترداد قد جُمعت، فالاستجابة الأكثر أمانًا هي نقل الأصول المتأثرة من جهاز معروف بسلامته إلى محفظة جديدة تمامًا، أُنشئت باستخدام عبارة استرداد جديدة. إن إعادة استخدام عبارة الاسترداد القديمة تنقل ببساطة احتمال الانكشاف نفسه إلى إعداد جديد.
ويجب أن تراعي عملية النقل أكثر من رصيد العملات الأكثر ظهورًا. ينبغي للمتداولين التحقق من الأصول عبر الشبكات، بما في ذلك العملات والرموز غير القابلة للاستبدال والمراكز المحتفظ بها ضمن البروتوكولات، قبل التخلي عن المحفظة القديمة.
ويستحق الجهاز نفسه الاهتمام أيضًا. ينبغي توثيق المعاملات المشبوهة وتواريخ التثبيت وإصدارات التطبيقات تحسبًا لحاجة منصة تداول أو منصة أخرى أو فريق أمني إليها لاحقًا. كما ينبغي مراجعة جلسات تسجيل الدخول، خصوصًا لحسابات منصات التداول والبريد الإلكتروني التي تم الوصول إليها من الجهاز نفسه، مع إعادة تعيين كلمات المرور عند الحاجة.
تضيف الحسابات المركزية طبقة أمنية مختلفة إلى الصورة. ومن بين التدابير المصادقة الثنائية وحماية الهوية ما قد يجعل بيانات الاعتماد المسروقة وحدها أقل فائدة للمهاجم، خصوصًا عند استخدام الجهاز نفسه للوصول إلى المحافظ وحسابات منصات التداول.
ليس من الضروري أن يتحمل جهاز واحد جميع المخاطر
تطرح قضية FomoPeek أيضًا سؤالًا عمليًا يتجاوز تطبيقًا واحدًا: إلى أي مدى ينبغي للمتداولين الوثوق بجهاز واحد في حفظ؟
إن استخدام هاتف واحد لحيازة الأصول طويلة الأجل، وتطبيقات العملات المشفرة التجريبية، والحملات الترويجية، ووسائل التواصل الاجتماعي، والبريد الإلكتروني، والتصفح اليومي، يخلق عدة جوانب مختلفة للتعرض الأمني في المكان نفسه. قد يبدو كل إجراء منفردًا قابلًا للإدارة، لكن المخاطر تبدأ بالتداخل.
يمكن أن يقلل الفصل بين هذه الاستخدامات من ذلك التداخل.
يمكن تخصيص جهاز نظيف أو ملف متصفح مخصص للمحافظ الأعلى قيمة، بينما تُستخدم محفظة منفصلة ذات رصيد منخفض لاختبار التطبيقات أو الحملات أو الخدمات غير المألوفة. يجب إبقاء أنظمة التشغيل محدثة، ولا ينبغي تثبيت التطبيقات إلا بعد التحقق من الغرض منها والجهة الناشرة. وتستحق عروض المكافآت التي تخلق شعورًا بالإلحاح بشأن برامج غير مألوفة أو أذونات غير معتادة تدقيقًا خاصًا.
يتكون أمان المحفظة أيضًا من طبقات متعددة. يساعد الاحتفاظ بعبارة الاسترداد دون اتصال بالإنترنت على الحماية من الاستيلاء على الحساب، بينما تساعد مراجعة الموافقات على الرموز والعقود الذكية في الحد من نوع مختلف من التعرض. لا يغني أحدهما عن الآخر.
ويمتد المبدأ نفسه إلى العادات اليومية. تحسين أمان العملات المشفرة قد يكون بسيطًا مثل التحقق من الرابط قبل فتحه، والتشكيك في الطلبات غير المتوقعة، ورفض تسليم معلومات الاسترداد لمجرد أن شخصًا ما يحاول خلق شعور بالإلحاح.
تبقى هناك قاعدة بسيطة بشكل خاص: لا يحتاج أي فريق دعم شرعي إلى عبارة استرداد المتداول أو مفتاحه الخاص.
الإدراج الرسمي ليس ضمانًا للأمان
الجانب المقلق في تقرير FomoPeek ليس ببساطة أن تطبيقًا مرتبطًا بالعملات المشفرة اتُّهم باحتوائه على وظائف خبيثة. فمتداولو العملات المشفرة يعرفون بالفعل بوجود برمجيات خبيثة.
ما يجعل هذه الحالة أكثر فائدة كدرس أمني هو المكان الذي ظهرت فيه تلك البرمجيات، وما بدا أن المنتج يفعله.
يمنح الإدراج في متجر التطبيقات إحساسًا بالألفة والثقة. وقد تبدو أداة لمراقبة المحافظ تعمل مع العناوين العامة أقل حساسية من المحفظة نفسها. وعند جمع هذين الافتراضين، قد يقلل المتداولون من حذرهم قبل التفكير في الأشياء الأخرى التي يمكن للتطبيق الوصول إليها على الجهاز.
ولهذا ينبغي التعامل مع توفر التطبيق في متجر التطبيقات، وجودة الواجهة، أو مجموعة الميزات التي تبدو محدودة، على أنها مؤشرات لا ضمانات. والأسئلة الأهم هي: ما الأذونات التي يحصل عليها التطبيق، وما المعلومات الموجودة في أماكن أخرى على الجهاز، وماذا سيحدث إذا انكشفت تلك المعلومات.
أفادت التقارير بأن الإصدار 1.3 من FomoPeek أزال الوحدات التي حددتها SlowMist. لكن بالنسبة إلى من ربما استخدموا الإصدارات الأقدم، فإن السؤال الأمني الأهم ليس فقط ما إذا كان التطبيق الحالي أكثر أمانًا، بل ما إذا كان لا يزال بالإمكان الوثوق بالمعلومات التي كُشف عنها قبل التحديث.
سر الاسترداد هو الحد الفاصل الحقيقي
في نهاية المطاف، لا تتعلق حادثة FomoPeek بتطبيق واحد لمراقبة المحافظ بقدر ما تتعلق بالحدود التي يضعها المتداولون حول الحفظ الذاتي.
قد تكون المحفظة مصممة جيدًا، ومع ذلك تعمل على جهاز مخترق. وقد تُدخل عبارة الاسترداد بشكل صحيح، ثم تُخزَّن لاحقًا في مكان غير آمن. وقد يطلب التطبيق عنوانًا عامًا فقط، بينما تتسبب معلومات أخرى على الهاتف نفسه في تعريض أكبر بكثير.
وهذا يجعل أمان الجهاز جزءًا من أمان المحفظة.
بالنسبة إلى المتداولين الذين استخدموا إصدارات FomoPeek المتأثرة، تتمثل الأولوية في تحديد ما قد يكون قد كُشف عنه، والاستجابة وفقًا لحساسية تلك المعلومات. أما الجميع، فيقدم التقرير سببًا لمراجعة مكان تخزين مواد الاسترداد، والتطبيقات التي تشارك الجهاز نفسه، ومقدار القيمة الموجودة خلف عبارة استرداد واحدة.
يمنح الحفظ الذاتي المتداولين سيطرة مباشرة على أصولهم. لكنه يجعل سر الاسترداد أيضًا خط السيطرة الأخير.
احمِ هذا الخط، وستظل المحفظة ملكك.
