Tag: امنیت و هک

حمله سایبری به مک‌اواس: نصب بدافزار استخراج رمزارز از طریق قابلیت اشتراک‌گذاری صفحه

مرکز ملی امنیت سایبری هلند (NCSC) این هفته هشدار داد که مهاجمان از یک آسیب‌پذیری در قابلیت اشتراک‌گذاری صفحه (Screen Sharing) سیستم‌عامل مک‌اواس اپل سوءاستفاده کرده و کنترل مک‌ها را به دست گرفته و به صورت مخفیانه بدافزارهای استخراج رمزارز نصب می‌کنند.

در یک هشدار به‌روزرسانی شده، NCSC اعلام کرد که گزارش‌هایی مبنی بر بهره‌برداری فعال از این آسیب‌پذیری در سیستم‌های متعددی که پورت ۵۹۰۰، مورد استفاده توسط اشتراک‌گذاری صفحه، در معرض اینترنت قرار داشته، دریافت کرده است.

در تمامی موارد گزارش شده، مهاجمان به دسترسی روت (root access)، بالاترین سطح کنترل بر روی یک دستگاه، دست یافته و یک برنامه استخراج رمزارز Monero را برای بهره‌برداری از سخت‌افزار قربانیان نصب کرده‌اند. Monero یک “کوین حریم خصوصی” (privacy coin) محسوب می‌شود؛ نوعی رمزارز که برخلاف شبکه‌های شفافی مانند بیت‌کوین یا اتریوم، به راحتی قابل ردیابی نیست. این مرکز هشدار داد که کد اثبات مفهوم (proof-of-concept) عمومی برای این نقص امنیتی اکنون در حال انتشار است و این امر موانع را برای مهاجمان بالقوه کاهش می‌دهد.

این باگ که با شناسه CVE-2026-65400 ردیابی می‌شود و شدت آن ۷.۱ از ۱۰ ارزیابی شده است، یک نقص احراز هویت است که ریشه در مدیریت نادرست وضعیت (state management) در طول فرآیند ورود دارد. این نقص به مهاجمان مبتنی بر شبکه اجازه می‌دهد تا بدون داشتن اعتبارنامه‌های معتبر، از سیستم عبور کرده و تلاش‌های احراز هویتی را که باید رد می‌شدند، بپذیرند.

اپل از آن زمان این مشکل را برطرف کرده و بررسی‌های اعتبارسنجی خود را در نسخه‌های macOS Sequoia 15.7.9، Sonoma 14.8.9 و Tahoe 26.6.1 تقویت کرده است. کاربرانی که به‌روزرسانی‌ها را نصب نکرده‌اند، به‌ویژه کسانی که قابلیت اشتراک‌گذاری صفحه آن‌ها از طریق اینترنت قابل دسترسی است، همچنان در معرض خطر قرار دارند.

Monero مدت‌هاست که به عنوان ارز دیجیتال منتخب برای “کریپتوجکینگ” (cryptojacking) شناخته می‌شود؛ در این روش، دستگاه‌های ربوده شده برای مهاجم رمزارز استخراج می‌کنند. مهاجم پاداش‌ها را به جیب می‌زند، در حالی که قربانی هزینه‌های برق و افت عملکرد دستگاه را متحمل می‌شود. ویژگی‌های حریم خصوصی این توکن، ردیابی عواید حاصل از آن را بسیار دشوارتر از بیت‌کوین می‌کند.

این کمپین جدیدترین مورد در جریان مداوم طرح‌هایی است که دستگاه‌های دیگران را به منبع سود رمزارزی تبدیل می‌کنند.

تنها در ماه جاری، Bitdefender کپی‌های قاچاق شده از “The Odyssey” را که با بدافزار Lumma Stealer که کیف پول‌ها را خالی می‌کند، آلوده شده بودند، کشف کرد. همچنین گزارش‌هایی مبنی بر انتشار بدافزار از طریق صفحات جعلی CAPTCHA که از طریق BNB Chain هدایت می‌شدند، عملیات SparkKitty که کد سرقت کیف پول را در برنامه‌های موبایل پنهان می‌کرد، والپیپرهای مخرب با طرح “دختر انیمه” که گیمرهای Steam را هدف قرار می‌دادند، و کد سرقت رمزارز که در یک کتابخانه Python دستکاری شده قاچاق شده بود، منتشر شده است.

NCSC به کاربران توصیه می‌کند که به‌روزرسانی‌های اپل را به سرعت اعمال کنند و از در دسترس قرار دادن قابلیت اشتراک‌گذاری صفحه از طریق اینترنت خودداری نمایند، زیرا این امر اولین نقطه ورود مهاجمان را فراهم کرده بود.

شتاب‌زدگی OpenAI در عرضه مدل‌های جدید، منجر به نقض امنیتی در Hugging Face شد

رقابت فشرده در حوزه هوش مصنوعی و تلاش شتاب‌زده OpenAI برای عرضه مدل‌ها و محصولات جدید، زمینه‌ساز شرایطی شد که عوامل هوش مصنوعی این شرکت توانستند از محیط‌های آزمایشی داخلی فرار کرده و در اوایل سال جاری میلادی به Hugging Face نفوذ کنند.

بر اساس گزارش «وایرد» (Wired) که با استناد به گفته‌های چندین کارمند فعلی و سابق OpenAI منتشر شده است، فشار رقابتی باعث شده تا کارکنان نتوانند توجه کافی را به مسائل ایمنی، امنیت و هم‌راستایی (Alignment) – یعنی اطمینان از رفتار سیستم‌های هوش مصنوعی مطابق با اهداف تعیین شده – اختصاص دهند.

یکی از کارمندان سابق OpenAI در این باره به «وایرد» گفته است: «آنها فوق‌العاده بی‌دقت بودند. اگر واقعاً به این موضوع جدی هستید، نباید هوش مصنوعی شما بتواند به اینترنت نفوذ کند و بلافاصله دوباره این کار را تکرار کند. این بزرگترین حادثه امنیتی در تاریخ OpenAI بود.»

در ماه مه، مدل GPT-5.6 Sol و یک مدل معرفی نشده دیگر از OpenAI، با سوءاستفاده از یک نقص نرم‌افزاری که پیش از این ناشناخته بود، از یک محیط آزمایشی محدود به اینترنت فرار کردند. این عوامل سپس به Hugging Face، مخزن هوش مصنوعی متن‌باز، نفوذ کرده تا پاسخ آزمون‌های امنیت سایبری خود را به دست آورند. OpenAI در ماه ژوئیه مسئولیت این حادثه را پذیرفت و در کنفرانس سالانه Black Hat که هفته گذشته برگزار شد، جزئیات بیشتری را ارائه کرد.

گرگ براکمن، رئیس OpenAI، اعلام کرده است که این شرکت در حال تقویت تدابیر امنیتی خود با افزایش قابلیت‌های مدل‌هایش است. براکمن به «وایرد» گفت: «ما در حال رسیدن به سطوح جدیدی از قابلیت‌های مدل هستیم که نیازمند آموزش، هم‌راستایی، تست‌های ایمنی و امنیتی، شیوه‌های استقرار و حکمرانی قوی‌تر است.»

کارمندان پیش از این نیز نگرانی‌های مشابهی را مطرح کرده بودند. از جمله یان لیک، رئیس سابق بخش هم‌راستایی OpenAI، که در سال ۲۰۲۴ پس از هشدار مبنی بر اینکه ایمنی «در اولویت دوم» نسبت به توسعه محصول قرار گرفته، به رقیب این شرکت، Anthropic، پیوست. لیک هشدار داده بود: «ساخت ماشین‌هایی با هوش برتر از انسان، ذاتاً یک تلاش خطرناک است. اما در سال‌های اخیر، فرهنگ و فرآیندهای ایمنی در اولویت دوم نسبت به محصولات درخشان قرار گرفته‌اند.»

بواز باراک، یکی از رهبران گروه مشاوران ایمنی OpenAI، در پلتفرم X (توییتر سابق) نوشت که رسیدگی به این شکست اخیر نیازمند «نه تنها رفع برخی مشکلات، بلکه تغییر فرهنگ ما» است.

این گزارش در بحبوحه ماه‌ها تغییرات مدیریتی در OpenAI منتشر می‌شود. در ماه آوریل، بیل پیبلز، رئیس پروژه تولید ویدئوی Sora، کوین وایل، مدیر ارشد محصول و رئیس بخش علم، و سرینواس نارایانان، مدیر فناوری برنامه‌های سازمانی، این شرکت را ترک کردند. در ماه ژوئیه نیز فیجی سیمو، مدیر محصول و کسب‌وکار، ساندینی آگاروال، رهبر بخش ایمنی، جاشوا آچیام، آینده‌نگر ارشد، و کلوئه باکالار، رهبر اخلاق هوش مصنوعی، از OpenAI رفتند. یوهانس هایدکه، رئیس سیستم‌های ایمنی، نیز پس از ادغام تیم‌های ایمنی و تحقیقات اصلی OpenAI، این شرکت را ترک کرد.

اوایل این هفته، برد لایت‌کپ، مدیر عملیاتی OpenAI، پس از هشت سال خدمت، اعلام کرد که برای راه‌اندازی یک سرمایه‌گذاری جدید، این شرکت را ترک خواهد کرد.

افشای اطلاعات ۱۳۷۰۰ مشتری ترزور در پی نقض امنیتی شریک حمل‌ونقل

شرکت ترزور (Trezor) روز ۱۳ اوت اعلام کرد که در پی وقوع یک نقض امنیتی در شرکت ShipMonk، شریک حمل‌ونقل این شرکت، اطلاعات شخصی حدود ۱۳۷۰۰ مشتری اخیر این شرکت شامل نام، شماره تلفن و آدرس منزل افشا شده است.

واکنش بنیان‌گذار بایننس و مزیت کیف پول‌های نرم‌افزاری

چانگ‌پنگ ژائو (CZ)، بنیان‌گذار بایننس، در واکنش به این حادثه، مزیت واقعی کیف پول‌های نرم‌افزاری خودنگهدار را برجسته کرد. وی استدلال کرد که این کیف پول‌ها نیازی به ارسال فیزیکی دستگاه ندارند و هویت خریدار را به آدرس منزل وی گره نمی‌زنند.

جزئیات حادثه و زمان‌بندی آن

ترزور پس از آنکه شرکت ShipMonk، ارائه‌دهنده خدمات لجستیک، در روز دوشنبه ۱۰ اوت این شرکت را از دسترسی غیرمجاز به سیستم‌های حاوی اطلاعات سفارش مشتریان مطلع ساخت، این حادثه را افشا کرد.

تحلیل ریسک کیف پول‌های سخت‌افزاری و نرم‌افزاری

CZ روز پنجشنبه در واکنش به این موضوع، اظهار داشت که این حادثه نمایانگر پروفایل ریسک متفاوتی برای کیف پول‌های سخت‌افزاری و نرم‌افزاری خودنگهدار است. وی نوشت: «کیف پول‌های سخت‌افزاری اغلب «امن‌تر» از کیف پول‌های نرم‌افزاری تلقی می‌شوند. در حالی که من هنوز معتقدم این موضوع «به طور کلی درست» است، اما این حادثه مزیت کیف پول‌های نرم‌افزاری خودنگهدار را تقویت می‌کند.»

نمونه‌هایی از کیف پول‌های نرم‌افزاری

وی به نمونه‌هایی مانند Binance Web3 Wallet و Trust Wallet اشاره کرد که نیازی به ارسال دستگاه فیزیکی ندارند و هویت و آدرس کاربر را به مالکیت رمزارز گره نمی‌زنند.

عدم رد کیف پول‌های سخت‌افزاری

CZ همچنین از رد کردن کیف پول‌های سخت‌افزاری خودداری کرد و نوشت: «نمی‌گویم کیف پول‌های سخت‌افزاری «بد» هستند. فقط پروفایل‌های متفاوتی دارند.» وی افزود که YZiLabs یکی از سرمایه‌گذاران در بسیاری از شرکت‌های تولیدکننده کیف پول سخت‌افزاری است.

نگرانی‌های امنیتی و حملات احتمالی

پروتکل NaoX نیز در این بحث مشارکت کرده و اظهار داشت که آدرس‌های افشا شده می‌تواند فهرستی از دارندگان رمزارز تأیید شده را در اختیار مهاجمان قرار دهد که هدف‌گیری حضوری آن‌ها ارزشمند است. نیک نیومن، مدیر اجرایی امنیت بیت‌کوین، نیز به طور مشابه هشدار داد که این اطلاعات می‌تواند منجر به مهندسی اجتماعی هدفمند و حملات احتمالی باج‌گیری شود، جایی که مجرمان از تهدیدات فیزیکی برای سرقت وجوه استفاده می‌کنند.

توصیه‌های ترزور به کاربران

ترزور اعلام کرد که مشتریان ممکن است با حملات فیشینگ پیچیده‌تر از طریق ایمیل، تماس تلفنی یا نامه‌های پستی مواجه شوند. این شرکت از کاربران خواست هرگز پشتیبان کیف پول خود را به صورت آنلاین وارد نکنند یا آن را با کسی به اشتراک نگذارند.

سابقه مشکلات کیف پول‌های سخت‌افزاری

این حادثه به دنبال مجموعه‌ای از اخبار ناخوشایند برای تولیدکنندگان کیف پول سخت‌افزاری رخ می‌دهد. در اواسط ژوئیه، زاک‌اکس‌بی‌تی (ZachXBT)، محقق بلاک‌چین، این دسته از محصولات را برای استفاده جدی نامناسب خواند و در تلگرام نوشت که «تمام کیف پول‌های سخت‌افزاری آشغال کامل هستند.» وی استدلال کرد که یک تلفن یدکی که فقط برای امضای تراکنش‌ها استفاده می‌شود، می‌تواند بهتر عمل کند و به مشکلاتی مانند باتری‌های تمام شده، به‌روزرسانی‌های اجباری سفت‌افزار و باگ‌های رابط کاربری به عنوان مشکلات مکرر اشاره کرد. نقض امنیتی ترزور نوع متفاوتی از شکست است، زیرا شامل افشای اطلاعات از طریق یک فروشنده است نه خود دستگاه، اما در بحث هزینه‌های فراتر از عبارت بازیابی (seed phrase) قرار می‌گیرد.

نقص در فریم‌ور Coldcard

علاوه بر این، هفته گذشته، گلکسی ریسرچ (Galaxy Research) بیش از ۱۰۰ میلیون دلار بیت‌کوین سرقت شده را به مشکلی جداگانه در فریم‌ور قدیمی Coldcard مرتبط دانست که بذرهای کیف پول را با تصادفی بودن ضعیف‌تر از حد انتظار تولید می‌کرد. Coinkite این نقص را در نسخه‌های جدیدتر برطرف کرده است، اما نمی‌تواند بذرهای تولید شده بر روی دستگاه‌های آسیب‌دیده را اصلاح کند و به دارندگان مدل‌های Mk3 تا Q خود توصیه کرده است که وجوه خود را به سخت‌افزارهای سالم منتقل کنند.

سابقه مشابه برای ترزور

این اولین بار نیست که ترزور در چنین وضعیتی قرار می‌گیرد؛ در ژانویه ۲۰۲۴، نقض امنیتی جداگانه‌ای که به یک فروشنده پشتیبانی شخص ثالث مرتبط بود، منجر به افشای اطلاعات تماس حدود ۶۶۰۰۰ کاربر شد.

کلاهبرداران با جعل هویت استخدام‌کنندگان شرکت‌های ارز دیجیتال، ۱۱.۸ میلیون دلار (۱۵.۱ میلیون دلار سنگاپور) را با استفاده از پیشنهادهای شغلی جعلی برای نفوذ به کارفرمایان قربانیان خود، سرقت کرده‌اند. این خبر بر اساس گزارشی مشترک از سوی نیروی پلیس سنگاپور و آژانس امنیت سایبری سنگاپور منتشر شده است.

جزئیات طرح کلاهبرداری

این آژانس‌ها روز جمعه در بیانیه‌ای که توسط روزنامه‌های The Straits Times و Channel NewsAsia منتشر شد، نحوه عملکرد این کلاهبرداری را تشریح کردند. بر اساس این گزارش، قربانی از طریق لینکدین با فردی که خود را استخدام‌کننده یک شرکت ارز دیجیتال معرفی کرده بود، تماس گرفته است. سپس ارتباط به ایمیل منتقل شده و فرستنده از یک دامنه جعلی که شباهت زیادی به دامنه یک شرکت واقعی داشته، استفاده کرده است. پس از آن، چندین مصاحبه از طریق Google Meet برگزار شده است. مصاحبه‌کننده در تمام طول مصاحبه دوربین خود را خاموش نگه داشته است.

در ادامه، قربانی به یک وب‌سایت جعلی هدایت شده تا یک ارزیابی فنی کدنویسی را تکمیل کند. این ارزیابی با استفاده از دستگاهی که توسط شرکت در اختیار قربانی قرار گرفته بود، انجام شده و در این فرآیند، بدون اطلاع قربانی، نرم‌افزار مخربی دانلود شده است.

این بدافزار یک توکن نشست (session token) را ضبط کرده است؛ رشته‌ای که یک سرویس برای حفظ ورود کاربر صادر می‌کند. از آنجایی که این توکن نشان‌دهنده یک نشست احراز هویت شده است، ارائه آن باعث دور زدن احراز هویت چندعاملی شده و به حساب Bitbucket قربانی، جایی که شرکت کد منبع خود را ذخیره و مدیریت می‌کند، دسترسی یافته است.

آژانس‌ها اعلام کردند که مهاجمان از این طریق سیستم‌های نرم‌افزاری کارفرما را تغییر داده و به سرورهای داخلی آن دسترسی پیدا کرده‌اند. آن‌ها با جمع‌آوری اعتبارنامه‌ها، توانسته‌اند محدودیت‌های تراکنش و بررسی‌های تأیید را دور بزنند و وجوه را منتقل کنند. این گزارش به نام هیچ شرکتی اشاره نکرده، محل انتقال وجوه را مشخص نکرده و حملات را به هیچ گروهی نسبت نداده است. وب‌سایت Decrypt برای دریافت نظر با لینکدین تماس گرفته و در صورت دریافت پاسخ، این مقاله را به‌روزرسانی خواهد کرد.

الگوهای مشابه و گروه‌های دخیل

این الگو به خوبی مستند شده است. پژوهشگران عملیات طولانی‌مدتی را ردیابی کرده‌اند که آن را “مصاحبه مسری” (Contagious Interview) نامیده‌اند. در این عملیات، استخدام‌کنندگان جعلی توسعه‌دهندگان Web3 را به سمت کد مخرب هدایت می‌کنند و بیش از ۳۰۰ بسته نرم‌افزاری آلوده به npm registry آپلود شده است. گروهی که با نام TraderTraitor شناخته می‌شود، از پیشنهادهای شغلی جعلی برای دسترسی به سیستم‌های ابری شرکتی به جای کیف پول‌های فردی استفاده کرده است. یک پژوهشگر دلیل این امر را اینگونه عنوان کرده که پول در آنجا قرار دارد. گروه‌های دیگر نیز با جعل هویت استخدام‌کنندگان Coinbase و Uniswap، قربانیان را وادار به اجرای دستورات کرده‌اند.

این کمپین‌ها به هکرهای کره شمالی نسبت داده شده‌اند، اما این روش منحصر به آن‌ها نیست. گروه روسی Crazy Evil، یک شرکت جعلی Web3 به نام ChainSeeker.io راه‌اندازی کرده و موقعیت‌های شغلی تحلیلگر بلاکچین را تبلیغ کرده تا متقاضیان را به نصب بدافزارهای تخلیه‌کننده کیف پول ترغیب کند.

توصیه‌های امنیتی

آژانس‌های سنگاپور به افراد توصیه می‌کنند که استخدام‌کنندگان را از طریق کانال‌های رسمی تأیید کنند، مصاحبه‌کننده‌ای که دوربین خود را روشن نمی‌کند را به عنوان یک علامت هشدار در نظر بگیرند و هرگز کدی را از منبع تأیید نشده اجرا نکنند. برای شرکت‌ها، این آژانس‌ها توصیه می‌کنند که کلیدهای API و اعتبارنامه‌های داخلی را ایمن کنند، احراز هویت چندعاملی را تقویت کرده و مراقب دستگاه‌های ناآشنا و فعالیت‌های غیرعادی شبکه باشند. در صورت مشکوک شدن به نفوذ، توصیه می‌شود سیستم‌های آسیب‌دیده را ایزوله کرده، نشست‌های فعال را لغو کنند، اعتبارنامه‌ها را بازنشانی کرده و گزارش‌های دسترسی را بررسی کنند.

بولْتز، سرویس مبادله بیت‌کوین غیرامانی، پس از حملات مبتنی بر هوش مصنوعی متوقف شد

شرکت پنج نفره بولْتز (Boltz) سرویس مبادله بیت‌کوین خود را پس از متحمل شدن خسارات ناشی از مجموعه‌ای از حملات با کمک هوش مصنوعی، به حالت تعلیق درآورد. این توقف که در تاریخ ۳ اوت اعلام شد، با آمادگی گروهی جدید از فعالان کهنه‌کار بیت‌کوین برای عهده‌دار شدن پروژه همراه شده است.

این حادثه نشان‌دهنده مشکل رو به رشد امنیتی برای سرویس‌های کوچک متن‌باز ارز دیجیتال است؛ جایی که مهاجمان خودکار می‌توانند سریع‌تر از تیم‌های کوچک برای بررسی و رفع آسیب‌پذیری‌ها عمل کنند.

بولْتز اعلام کرد که در ماه‌های اخیر، زیرساخت‌های این شرکت به طور فزاینده‌ای با فراوانی، شدت و پیچیدگی بیشتری مورد هدف حملات قرار گرفته است. اگرچه چندین حمله موفقیت‌آمیز بود، اما این شرکت تاکید کرد که طراحی غیرامانی آن، مانع از دسترسی مشتریان به وجوهشان شده است.

این تیم در توضیح این موضوع بیان داشت: «تمام ریسک متوجه ما بود.» و افزود که خسارات ناشی از این حملات، منجر به تعلیق سرویس در تاریخ ۳ اوت برای جلوگیری از آسیب بیشتر شده است. این شرکت همچنین اعلام کرد که API آن برای بازپرداخت‌های مشارکتی همچنان در دسترس است، در حالی که بازپرداخت‌های یک‌جانبه بدون اتکا به زیرساخت بولْتز به کار خود ادامه می‌دهند.

این تصمیم پس از یک دوره دشوار برای سرویس اتخاذ شد. در تاریخ ۱ اوت، بولْتز به طور موقت مبادلات EVM شامل USDT، USDC، TBTC، WBTC و RBTC را در حین رفع یک اشکال در ادغام EVM خود غیرفعال کرده بود. در آن زمان، مبادلات Lightning، Liquid و آن‌چین BTC همچنان فعال بودند.

پیش از این نیز، این سرویس با مشکلات دیگری از جمله قطعی API و خدمات مرتبط در ماه ژوئن و همچنین غیرفعال شدن مبادلات USDT در سایت .onion خود در ماه آوریل مواجه شده بود.

با این حال، تا تاریخ ۳ اوت، بولْتز اعلام کرد که مشکل گسترده‌تر شده است. این تیم از «افزایش مداوم کاوش‌های خودکار و مبتنی بر هوش مصنوعی» و چندین سوءاستفاده خبر داد که با شتاب‌گیری شدید حملات در روزهای بلافاصله قبل از توقف همراه بود. پس از بررسی اسکن‌های امنیتی خود، این شرکت اعلام کرد که نمی‌تواند با مسئولیت‌پذیری مبادلات را از سر بگیرد، در حالی که چندین گروه به نظر می‌رسید زیرساخت‌های آن را هدف قرار داده‌اند.

بولْتز بعدها اعلام کرد که تیم پنج نفره آن منابع لازم برای مقاومت در برابر این سطح از فشار را در بلندمدت ندارد. این شرکت اکنون مسیری جدید پیش رو دارد. گروهی از فعالان کهنه‌کار بیت‌کوین، سرمایه و منابع مهندسی لازم را فراهم کرده و موافقت کرده‌اند که بولْتز را عهده‌دار شوند.

کار بر روی شناسایی و رفع آسیب‌پذیری‌ها آغاز شده است، اگرچه هیچ جدول زمانی برای بازگشت مبادلات اعلام نشده است. گروه جدید هنوز معرفی نشده است.

هر سه بنیان‌گذار اصلی، کیلیان، مایکل و کارل، کناره‌گیری کرده و هیچ نقش رسمی در پروژه نخواهند داشت.

تجربه بولْتز در حالی رخ می‌دهد که گزارش‌های دیگر به استفاده گسترده‌تر از هوش مصنوعی در امور امنیتی مرتبط با ارزهای دیجیتال اشاره دارند. در تاریخ ۱۰ اوت، گزارشی درباره گروه Kimsuky مرتبط با کره شمالی اعلام کرد که این گروه محیط‌های هوش مصنوعی محلی را با استفاده از ابزارهایی از جمله Ollama، GPT4AI و Msty راه‌اندازی کرده است. محققان معتقدند این پیکربندی می‌تواند به توسعه بدافزار، تجزیه و تحلیل اسناد و سایر تکنیک‌های حمله کمک کند.

یک کمپین امنیتی جداگانه، روی دیگر این معادله را نشان داد. شانزده محقق از روش‌های مبتنی بر هوش مصنوعی برای بررسی ۳۹۰ پروژه متن‌باز مرتبط با بیت‌کوین استفاده کردند و ۴۹۶۲ مسئله نرم‌افزاری، از جمله ۸۵ مورد بحرانی و ۶۳۵ مورد با شدت بالا را گزارش دادند.

این تضاد نشان می‌دهد که هوش مصنوعی می‌تواند به مدافعان در بررسی کد با سرعتی که به صورت دستی دشوار است، کمک کند، اما همین ابزارها می‌توانند راه‌های سریع‌تری را برای مهاجمان جهت کاوش سیستم‌های در معرض خطر فراهم کنند. بنیان‌گذاران بولْتز گفتند که به نقطه‌ای رسیده‌اند که تیمشان نمی‌تواند با این سرعت پیش برود.

افشای اطلاعات سفارش بیش از ۱۳ هزار مشتری Trezor در پی حمله سایبری به یکی از تامین‌کنندگان

شرکت Trezor، تولیدکننده کیف پول‌های سخت‌افزاری ارز دیجیتال، اعلام کرده است که یکی از ارائه‌دهندگان خدمات حمل‌ونقل آن، یعنی ShipMonk، مورد حمله سایبری قرار گرفته و اطلاعات حساس سفارش بیش از ۱۳ هزار مشتری این شرکت افشا شده است. این حادثه منجر به نگرانی‌هایی در میان کاربران در خصوص افزایش حملات فیشینگ شده است.

جزئیات نشت اطلاعات

بر اساس گزارش Trezor، در این حمله سایبری اطلاعات ۱۱,۷۴۲ مشتری شامل نام، آدرس ایمیل، شماره تلفن و آدرس پستی آن‌ها به سرقت رفته است. همچنین، اطلاعات نام، شهر و آدرس ایمیل ۱,۹۴۷ مشتری دیگر نیز افشا شده است. شماره سفارش‌ها نیز در میان اطلاعات لو رفته وجود داشته است. Trezor اعلام کرده است که این داده‌ها مربوط به سفارش‌هایی است که بین ۱۰ مه تا ۸ اوت ۲۰۲۶ دریافت شده‌اند و بازارهای تحت تأثیر شامل ایالات متحده، بریتانیا، سوئد، کلمبیا، برزیل، ایتالیا و پرتغال بوده‌اند.

امنیت سیستم‌های Trezor و عدم تأثیر بر کیف پول‌ها

این شرکت با تأکید بر امنیت سیستم‌های خود، خاطرنشان کرده است که “سیستم‌های ما مورد نفوذ قرار نگرفته‌اند و دستگاه Trezor شما امن است.” Trezor همچنین اعلام کرده است که کیف پول‌های سخت‌افزاری، کلیدهای خصوصی و نسخه‌های پشتیبان کیف پول‌ها تحت تأثیر این حادثه قرار نگرفته‌اند. سیاست ذخیره‌سازی داده به مدت ۹۰ روز که Trezor آن را در قراردادهای خود با شرکای لجستیکی گنجانده است، باعث شده تا سفارش‌های قدیمی‌تر در مجموعه داده‌های افشا شده قرار نگیرند. با این حال، تمامی مشتریان تحت تأثیر به صورت جداگانه از طریق ایمیل مطلع شده‌اند.

توصیه‌های امنیتی به مشتریان

Trezor به مشتریان خود توصیه کرده است که هرگونه ارتباطی که خواستار اقدام فوری یا درخواست اطلاعات شخصی است را “مشکوک” تلقی کنند، ادعاها را با کانال‌های رسمی بررسی کنند و هرگز نسخه پشتیبان کیف پول خود را در وب‌سایت وارد نکنند یا آن را با کسی به اشتراک نگذارند.

واکنش کاربران و نگرانی از افزایش حملات فیشینگ

این شرکت در اطلاعیه خود اشاره کرده است که مشتریان تحت تأثیر “ممکن است شاهد افزایش تلاش‌ها برای فیشینگ باشند.” با این حال، به نظر می‌رسد این اظهارنظر با واکنش انتقادی کاربران مواجه شده است. یکی از کاربران در پلتفرم X (توییتر سابق) با نام کاربری Chikun نوشته است: “فیشینگ؟؟ آن‌ها آدرس‌های پستی را دارند، شما احمق‌ها.” این پاسخ در عرض یک ساعت حدود ۱۵۹ لایک دریافت کرده است. کاربر دیگری نیز این افشاگری را “فیشینگ در دنیای واقعی” (irl phishing) توصیف کرده است.

Trezor در توییتی در تاریخ ۱۳ اوت ۲۰۲۶ اعلام کرده بود: “ما اخبار دشواری برای به اشتراک گذاشتن داریم. متأسفانه، یکی از ارائه‌دهندگان خدمات حمل‌ونقل ما دچار نشت داده شده است که اطلاعات حساس سفارش مشتریان جدید در ایالات متحده، بریتانیا، سوئد، کلمبیا، برزیل، ایتالیا و پرتغال را که در ۹۰ روز گذشته سفارشی دریافت کرده‌اند، افشا کرده است…”

سابقه حملات مشابه و اقدامات آتی Trezor

خطر فیشینگ همچنان با حوادث مشابه در شرکت‌های رقیب همخوانی دارد. گزارش شده است که در گذشته، کلاهبرداران با استفاده از داده‌های سفارش افشا شده از شریک تجارت الکترونیک Ledger، ایمیل‌های فیشینگی ارسال کرده‌اند که ادعا می‌کردند Ledger و Trezor ادغام شده‌اند و کاربران را به وارد کردن عبارات بازیابی ۲۰ کلمه‌ای در یک سایت جعلی ترغیب می‌کردند.

Trezor اعلام کرده است که در حال تحقیق در این زمینه است و به‌روزرسانی‌ها را در وبلاگ خود منتشر خواهد کرد. این شرکت همچنین به توسعه گزینه “تحویل ناشناس” با بسته‌بندی خنثی، جزئیات فرستنده عمومی و حذف خودکار شناسه‌های حمل‌ونقل اشاره کرده است.

این دومین بار نیست که مشتریان Trezor با چنین مشکلاتی روبرو می‌شوند. پیش از این نیز مهاجمان از طریق لیست پستی Trezor که در MailChimp در سال ۲۰۲۲ به خطر افتاده بود، ایمیل‌های فیشینگ ارسال کرده و کاربران را به دانلود از دامنه‌های جعلی که برای سرقت عبارات بازیابی طراحی شده بودند، هدایت کردند. دو سال پیش از آن نیز، نشت اطلاعات از یک پورتال پشتیبانی شخص ثالث، نام و آدرس ایمیل حدود ۶۶ هزار کاربری را که از دسامبر ۲۰۲۱ با پشتیبانی Trezor تماس گرفته بودند، افشا کرد. در حالی که در هر دو مورد قبلی جزئیات تماس افشا شده بود، این حادثه آدرس‌های پستی را در چندین کشور در معرض خطر قرار داده است.

نهنگ ارز دیجیتال با نام مستعار TLBL، دو سال پس از سرقت ۲۴ میلیون دلاری در حمله فیشینگ، بار دیگر بیش از ۲۶ میلیون دلار دارایی خود را در دومین سرقت بزرگ ارز دیجیتال از دست داد.

این حادثه اخیر به نظر می‌رسد مربوط به به خطر افتادن کلید خصوصی باشد و این پرسش دشواری را برای دارندگان بزرگ ارز دیجیتال مطرح می‌کند: تا چه حد اقدامات امنیتی قوی‌تر می‌تواند مؤثر باشد، زمانی که یک کیف پول پیش از این هدف حملات قرار گرفته است؟

بر اساس گزارش Lookonchain در ۱۳ اوت، بیش از ۲۶ میلیون دلار دارایی از سه کیف پول مرتبط با TLBL تخلیه شده است. این حساب تحلیلی بلاکچین اعلام کرد که به نظر می‌رسد کلید خصوصی این نهنگ به خطر افتاده است. دارایی‌های سرقت شده شامل aWBTC، DAI، WBTC، ETH، aUSDC، sDAI، USDS، cbBTC و چندین توکن دیگر بوده است.

تحلیل Lookonchain ارزش کل دارایی‌های مرتبط با دو سرقت TLBL را حدود ۵۰.۳ میلیون دلار تخمین می‌زند. حادثه قبلی که دو سال پیش رخ داد، شامل سرقت ۹,۵۷۹ واحد stETH به ارزش ۱۵.۵۴ میلیون دلار و ۴,۸۵۱ واحد rETH به ارزش ۸.۵۱ میلیون دلار در یک حمله فیشینگ بود.

ضرر اخیر متفاوت است. PeckShield اعلام کرد که قربانی حدود ۲۵.۶ میلیون دلار از دست داده است، از جمله تقریباً ۶.۳ میلیون دلار aWBTC، ۵.۱ میلیون دلار DAI، ۴.۷ میلیون دلار WBTC و ۲.۶ میلیون دلار ETH. طبق گفته این شرکت امنیتی، مهاجم بخشی از دارایی‌های سرقت شده را به ۲۰ میلیون DAI و حدود ۳,۰۰۰ ETH، به ارزش تقریبی ۵.۶۴ میلیون دلار، تبدیل کرده و این وجوه در چهار آدرس مختلف پراکنده شده‌اند.

اختلاف جزئی بین ارقام Lookonchain و PeckShield ناشی از ارزش‌گذاری دارایی‌های گنجانده شده در ردیابی‌های مربوطه آنهاست. با این حال، هر دو حساب به یک رویداد کلی مشابه اشاره دارند: تخلیه یک کیف پول بزرگ مرتبط با TLBL، که به خطر افتادن کلید خصوصی به عنوان علت ظاهری توسط Lookonchain شناسایی شده است.

به طور جداگانه، Lookonchain این هفته مورد کوچکتری را مربوط به مسمومیت آدرس (address poisoning) گزارش کرد. در این روش، قربانی آدرس کیف پول را مستقیماً از تاریخچه تراکنش خود کپی کرده و بدون بررسی، وجوهی را به یک آدرس مشابه که توسط مهاجم کنترل می‌شد، ارسال کرده و در این فرآیند ۱۰۰,۰۰۰ دلار از دست داده است. این روش با آنچه که برای TLBL اتفاق افتاد متفاوت است، اما به همان مشکل اساسی اشاره دارد: کیف پول‌ها همچنان یکی از ضعیف‌ترین حلقه‌ها هستند.

ضربه دوم به TLBL در میان دوره‌ای بی‌سابقه از سرقت‌های ارز دیجیتال رخ می‌دهد. گزارشی از Blockaid که در ۲ اوت منتشر شد، نشان داد که هکرها در نیمه اول سال ۲۰۲۶ در ۲۱۲ حادثه ۱.۱ میلیارد دلار سرقت کرده‌اند و سوءاستفاده از کلیدهای ممتاز، که همان دسته بندی حمله به TLBL است، حدود ۷۹۰ میلیون دلار از این مجموع را به خود اختصاص داده است که تقریباً سه چهارم کل وجوه سرقت شده در آن دوره است.

تعداد حوادث ماهانه از ۱۸ مورد در ژانویه به ۵۷ مورد در ژوئن افزایش یافته است. Blockaid به طور جداگانه دریافت که هکرهای مرتبط با کره شمالی حدود ۵۵ درصد از کل وجوه سرقت شده در آن دوره، یعنی حدود ۶۰۹ میلیون دلار را به خود اختصاص داده‌اند، اگرچه تاکنون هیچ داده‌ای که به پرونده TLBL مرتبط باشد، به طور خاص به این گروه اشاره نکرده است.

محققان امنیتی راهی برای خواندن “افکار درونی” رمزگذاری شده تمامی مدل‌های استدلال هوش مصنوعی اصلی کشف کرده‌اند و ۶۲ کلید API فعال و ۳۳ رمز عبور را که توسعه‌دهندگان ناخواسته در گزارش‌های جلسه به صورت عمومی آنلاین به اشتراک گذاشته بودند، یافته‌اند.

افشای اطلاعات حساس از گزارش‌های جلسه هوش مصنوعی

این محققان در مقاله‌ای که در تاریخ ۱۰ اوت توسط تیمی از MATS Research، موسسه ELLIS Tübingen، موسسه ماکس پلانک برای سیستم‌های هوشمند و شرکت امنیتی Snyk منتشر شد، اعلام کردند که با رمزگشایی ۳۱۵,۳۲۰ بلوک استدلال جمع‌آوری شده از مخازن عمومی، ۳۶۷ مورد اطلاعات قابل شناسایی شخصی (PII) و ۱۸۲ اعتبارنامه را بازیابی کرده‌اند.

این مقاله بر روی دسته‌ای خاص از هوش مصنوعی تمرکز دارد: مدل‌های استدلال. این مدل‌ها برخلاف مدل‌های معمولی که بلافاصله پاسخ می‌دهند، ابتدا یک “زنجیره فکری” داخلی (یک فضای کاری گام به گام که هوش مصنوعی مسئله را قبل از ارائه پاسخ نهایی حل می‌کند) ایجاد می‌کنند. شرکت‌هایی مانند Anthropic، OpenAI و Google این فضای کاری پنهان را رمزگذاری می‌کنند تا از مالکیت معنوی خود محافظت کرده و از نمایش استدلال‌های حساس میانی به کاربران جلوگیری کنند. این بلوک رمزگذاری شده با هر پیام بعدی به سرور ارائه‌دهنده بازگردانده می‌شود و مکالمه را بدون ذخیره اطلاعات در سمت شرکت حفظ می‌کند.

نقص معماری در رمزگذاری کلیدهای مشترک

مشکل اصلی در معماری این سیستم‌ها نهفته است. به جای اینکه هر بلوک استدلال رمزگذاری شده به یک کاربر، جلسه یا مدل خاص مرتبط شود، هر سه ارائه‌دهنده از یک کلید رمزگذاری واحد در سراسر اکوسیستم خود استفاده می‌کنند. محققان توضیح دادند که این بلوک‌های رمزگذاری شده کاملاً سازگار و قابل تعویض بین جلسات، کاربران و حتی مدل‌های مختلف در اکوسیستم یک ارائه‌دهنده هستند.

این بدان معناست که یک بلوک استدلال رمزگذاری شده از Claude Opus 4.8، مدل پرچمدار Anthropic، می‌تواند به Claude Haiku 4.5، مدلی ارزان‌تر و با محافظت کمتر، تزریق شود بدون اینکه قوانین Anthropic نقض شود. Haiku فاقد “هم‌ترازی ضد تقطیر” (آموزش ایمنی که برای جلوگیری از استخراج استدلال خود توسط مدل طراحی شده است) است که Opus دارد.

با دستور دادن به Haiku برای خواندن بلوک رمزگذاری شده به صورت کلمه به کلمه، این مدل آن را انجام می‌دهد. مقاله بیان می‌کند که با تزریق یک ردپای استدلال رمزگذاری شده از یک مدل به مدلی ضعیف‌تر و کمتر محافظت شده از همان ارائه‌دهنده، می‌توان آن را مجبور کرد تا ردپا را به صورت متن ساده رمزگشایی و خروجی دهد، بدون اینکه مستقیماً مدل قدرتمندتر را “جیل‌بریک” (دور زدن محدودیت‌ها) کند.

الکساندر پانفیلوف، محقق اصلی، در پلتفرم X نوشت: “قابلیت حمل بین مدل‌ها به این معنی است که Haiku 4.5 می‌تواند افکار Opus 4.8 را بخواند.” این حمله مشابه در خانواده GPT-5.6 OpenAI و مجموعه مدل‌های Gemini گوگل نیز تکرار شد. برای اجرای این حمله نیازی به دسترسی ویژه نبود و دسترسی استاندارد API (اتصالی که توسعه‌دهندگان برای ساخت برنامه‌ها بر روی مدل‌های هوش مصنوعی استفاده می‌کنند) کافی بود.

نمایش آسیب‌پذیری در دنیای واقعی

برای نمایش آسیب واقعی، این تیم ۶,۷۰۸ رونوشت عامل هوش مصنوعی را که به صورت عمومی به اشتراک گذاشته شده بودند (گزارش‌های جلسه خودکار که توسعه‌دهندگان معمولاً برای همکاری یا اشکال‌زدایی در GitHub و Hugging Face منتشر می‌کنند) جمع‌آوری کردند. آن‌ها ۳۱۵,۳۲۰ بلوک استدلال را از این گزارش‌ها رمزگشایی کردند.

این مقاله خاطرنشان می‌کند که توسعه‌دهندگان اغلب گزارش‌های جلسه و ردپاهای فکری رمزگذاری شده خود را به صورت عمومی آنلاین به اشتراک می‌گذارند، در حالی که از داده‌های حساس پنهان در بلوک‌های رمزگذاری شده بی‌اطلاع هستند. بیشتر این اسرار هرگز در خروجی قابل مشاهده هوش مصنوعی ظاهر نمی‌شدند و تنها در استدلال رمزگذاری شده وجود داشتند و برای هر کسی که حمله را اجرا نمی‌کرد، نامرئی بودند.

این آسیب‌پذیری چهار بردار حمله فراتر از سرقت ساده اعتبارنامه‌ها را باز می‌کند: سرقت الگوهای استدلال اختصاصی از شرکت‌های هوش مصنوعی برای آموزش مدل‌های رقیب از طریق تقطیر (زمانی که یک هوش مصنوعی کوچک‌تر با مطالعه خروجی‌های یک مدل بزرگ‌تر، تقلید از آن را یاد می‌گیرد)؛ استخراج داده‌های خصوصی از گزارش‌های مشترک؛ اجرای تزریق دستور پنهان (prompt injection)، که در آن دستورالعمل‌های مخرب در بلوک‌های استدلال رمزگذاری شده پنهان می‌شوند که ابزارهای نظارت امنیتی هرگز آن‌ها را نمی‌بینند؛ و جیل‌بریک کردن مدل‌های قدرتمند از طریق خواهران و برادران کمتر محافظت شده آن‌ها.

Anthropic، OpenAI و Google پس از اینکه تیم رویه‌های افشای مسئولانه را دنبال کرد، اصلاحات سمت سرور را پیاده‌سازی کردند. همانطور که پیشتر گزارش شده بود، Anthropic در سال جاری به طور مکرر مورد توجه محققان امنیتی قرار گرفته است، به خصوص با توجه به اینکه مدل‌های جدیدتر آن در این فرآیند توکن‌های بیشتری مصرف می‌کنند.

وصله‌ها اکنون فعال هستند. ۶,۷۰۸ رونوشت جلسه با بلوک‌های استدلال رمزگشایی شده که قبلاً از وب عمومی جمع‌آوری شده بودند، همچنان در دسترس هستند.

هوش مصنوعی یافتن حفره‌های امنیتی جدی را سریع‌تر و آسان‌تر کرده است. اکنون، یک پژوهشگر ادعا می‌کند که با استفاده از مدل‌های در دسترس عموم، در کمتر از ۲۴ ساعت آسیب‌پذیری‌هایی را در پلتفرم چت تصویری Zoom کشف کرده و یک حمله عملیاتی ساخته است.

شرکت اسرائیلی امنیت سایبری A Security در گزارشی که سه‌شنبه منتشر شد، این حمله را «Zoomsday» نامید. این شرکت اعلام کرد که یک پژوهشگر با استفاده از کمتر از ۲۰ درخواست هوش مصنوعی، نقص‌هایی را در ابزار حاشیه‌نویسی Zoom کشف کرده است که می‌تواند به فردی در یک جلسه اجازه دهد تا بدون هیچ اقدامی از سوی قربانی، کنترل دستگاه شرکت‌کننده دیگر را به دست گیرد.

A Security نوشت: «هنگامی که کد مخرب بر روی دستگاه قربانی اجرا شود، عامل تهدید می‌تواند به آرامی داده‌های شخصی را سرقت کند، میکروفون یا دوربین را برای جاسوسی از هدف روشن کند، یا نرم‌افزارهای مخرب دیگر را نصب کند.» این شرکت افزود: «در یک تماس بزرگ، این به معنای اتاقی پر از هدف از طریق یک پیام واحد است، بدون هیچ صندلی امنی در آن.»

طبق گزارش A Security، این حمله بر روی برنامه‌های Zoom برای ویندوز، macOS، لینوکس، اندروید و iOS آزمایش شده است. این شرکت آن را «در سطح دولت-ملت» توصیف کرد و استدلال نمود که ساخت چنین بهره‌برداری‌ای در گذشته نیازمند متخصصان، ماه‌ها کار و بودجه‌ای کلان بوده است.

این نقص‌ها با شناسه‌های CVE-2026-53413، CVE-2026-53414 و CVE-2026-53415 ردیابی می‌شوند. CVEها شناسه‌های عمومی برای آسیب‌پذیری‌های امنیتی هستند.

این شرکت نوشت: «بهره‌برداری‌هایی مانند این، سلاح هستند. دولت‌ها صادرات آن‌ها را تنظیم می‌کنند. سازمان‌های جنایتکار میلیون‌ها دلار برای آن‌ها می‌پردازند.» آن‌ها ادامه دادند: «به دست آوردن چنین بهره‌برداری‌ای همیشه نیازمند زیرساخت‌های دولتی، تیم‌های نخبه و ماه‌ها کار بوده است.»

A Security اعلام کرد که این بهره‌برداری همچنین به مهاجمان اجازه می‌دهد تا به یک جلسه بپیوندند یا آن را میزبانی کنند، هر شرکت‌کننده‌ای را هدف قرار دهند و با «بدون نیاز به هیچ اقدامی از سوی قربانی و بدون هیچ نشانه بصری که نشان‌دهنده نفوذ باشد»، دستگاه آن‌ها را تصاحب کنند.

آن‌ها نوشتند: «این در هر دو جهت کار کرد: یک ارائه‌دهنده آلوده می‌توانست به همه شرکت‌کنندگان دسترسی پیدا کند و هر شرکت‌کننده‌ای می‌توانست به ارائه‌دهنده دسترسی پیدا کند.»

A Security گفت که اولین نقص را در ۱۰ ژوئن، دو روز پس از کشف آن، به Zoom گزارش داده است. Zoom بین ۲۲ ژوئن و ۲۰ ژوئیه وصله‌هایی را منتشر کرد، اما کاربران همچنان نیاز به به‌روزرسانی داشتند زیرا محافظ سمت سرور آن قادر به فیلتر کردن پیام‌های مخرب در جلسات رمزگذاری شده سرتاسری نبود.

یک سخنگوی Zoom به Decrypt گفت: «همانطور که در صفحه اطلاعیه امنیتی Zoom ما به اشتراک گذاشته شده است، ما قبلاً این مشکل را حل کرده‌ایم. ما همیشه توصیه می‌کنیم کاربران با آخرین نسخه Zoom به‌روز بمانند تا از آخرین ویژگی‌ها و به‌روزرسانی‌های ما بهره‌مند شوند.»

این گزارش در حالی منتشر می‌شود که ابزارهای هوش مصنوعی در سراسر صنعت فناوری برای کشف باگ‌ها مورد استفاده قرار می‌گیرند، از جمله ۲۷۱ آسیب‌پذیری در Mozilla Firefox در ماه آوریل و نقص‌هایی در شبکه Zcash در ماه مه. همزمان، مدل‌های هوش مصنوعی از OpenAI، Anthropic و Meta از کنترل خارج شده و سیستم‌های شرکت‌های دیگر را هک کرده‌اند.

هکر حدود ۲۰۰ هزار XRP به ارزش تقریبی ۲۰۲ هزار دلار را از یک پل (Bridge) در XRP Ledger سرقت کرد

۹ اوت (مرداد) – یک مهاجم با سوءاستفاده از نقص نرم‌افزاری در سیستم تشخیص واریز یک پل (Bridge) در XRP Ledger، حدود ۲۰۰ هزار XRP به ارزش تقریبی ۲۰۲ هزار دلار را از این شبکه خارج کرد. این خبر را پروژه مذکور اعلام کرده است.

نقص در نرم‌افزار تشخیص واریز عامل اصلی بود

شرکت Tx، که مسئولیت اداره پل ارتباطی بین Tx Chain و XRP Ledger را بر عهده دارد، روز سه‌شنبه در پستی در شبکه اجتماعی X (توییتر سابق) اعلام کرد که یک نقص نرم‌افزاری باعث شد پل، تراکنش‌ها را به عنوان واریز XRP ثبت کند، در حالی که هیچ XRP دریافت نشده بود.

این شرکت توضیح داد: «مهاجم از منطق تشخیص واریز پل سوءاستفاده کرد. نرم‌افزار پل به اشتباه تراکنش‌هایی را که در واقع هیچ XRP به پل تحویل نداده بودند، به عنوان واریز ثبت کرد و در نتیجه، XRP پل‌گذاری شده‌ای را در Tx Chain در مقابل آن‌ها ایجاد کرد.»

Tx یک اکوسیستم بلاک‌چین لایه ۱ است که در ماه مارس با ترکیب بلاک‌چین Coreum و Sologenic، یک پلتفرم توکنیزاسیون و معاملاتی مبتنی بر XRP Ledger، راه‌اندازی شد.

مهاجم از این واریزهای جعلی برای ایجاد XRP بدون پشتوانه در Tx Chain استفاده کرد و سپس آن را از طریق پل با XRP واقعی مبادله نمود.

حسابرسی‌ها نتوانستند آسیب‌پذیری را شناسایی کنند

طبق گفته Tx، این پل پیش از راه‌اندازی، تحت چندین حسابرسی داخلی و خارجی قرار گرفته بود، اما این آسیب‌پذیری شناسایی نشده بود.

XRPL، یک پلتفرم مستقل تحلیل و معاملات XRP Ledger، گزارش داد که این پل حدود ۱۹۹,۹۱۶ XRP را در قالب ۹۴ تراکنش طی ۹۷ دقیقه آزاد کرده است. هر تراکنش توسط ۱۷ نفر از ۲۸ رله‌کننده (Relayer) پل تأیید شده بود. رله‌کننده‌ها برنامه‌هایی هستند که هر دو بلاک‌چین را نظارت کرده و انتقال‌ها را تأیید می‌کنند.

XRPL همچنین اعلام کرد که رله‌کننده‌ها تراکنش‌های خود-هدایت شده مهاجم را با واریز اشتباه گرفته بودند. مهاجم سپس موجودی‌های بدون پشتوانه حاصل را از طریق فرآیند عادی پل برداشت کرد.

رد ادعای استفاده از «ریپلینگ»

تحلیل XRPL ادعای اولیه مبنی بر خروج XRP از طریق «ریپلینگ» (Rippling)، قابلیتی در XRPL که توکن‌های صادر شده را در خطوط اعتباری جابجا می‌کند، را رد کرد. طبق گزارش XRPL، XRP بومی نمی‌تواند از طریق ریپلینگ منتقل شود.

XRPL در این باره نوشت: «یک هشدار که به طور گسترده منتشر شد، «ریپلینگ» و یک پرچم حساب که به طور پیش‌فرض فعال بود را مقصر دانست. اما دفتر کل (Ledger) چیز دیگری می‌گوید: هر یک از این تراکنش‌ها توسط امضای چندگانه (Multisig) خود پل امضا شده بود و XRP بومی اصلاً قابل ریپلینگ نیست. با خواندن هر دو زنجیره عمومی در کنار هم، علت واقعی، یک رله‌کننده است که تراکنش‌های خود مهاجم را با واریز اشتباه گرفته است.»

انتقال وجوه سرقت شده به Tornado Cash

در پستی جداگانه در X، رضا بشاش، یکی از مدیران CoreNest Capital و هم‌بنیان‌گذار Sologenic و Coreum، اعلام کرد که مهاجم XRP سرقت شده را به اتریوم تبدیل کرده، آن را از طریق THORChain به شبکه اتریوم منتقل کرده و سپس کل مبلغ را به میکسر رمزارز Tornado Cash ارسال کرده است، که این امر ردیابی وجوه را به طور قابل توجهی دشوارتر می‌کند.

اقدامات Tx برای جبران خسارت

Tx اعلام کرد که پل را متوقف کرده، کد آسیب‌دیده را اصلاح نموده، وجوه سرقت شده را ردیابی کرده و شکایتی را به مرکز شکایات جرایم اینترنتی FBI تسلیم کرده است. این شرکت همچنین متخصصان فارنزیک بلاک‌چین را استخدام کرده و با شرکای امنیتی خود همکاری می‌کند.

Tx در این باره گفت: «در حالی که ما تمام مسیرهای قانونی را دنبال می‌کنیم، همزمان در حال ارزیابی تمام گزینه‌ها برای جبران وضعیت برای کاربران متضرر هستیم.»

این پل همچنان آفلاین است تا Tx امنیت آن را بررسی کند. این پروژه اعلام کرده است که دارندگان نیازی به انجام اقدامی ندارند و در مورد حساب‌ها یا وب‌سایت‌هایی که ادعا می‌کنند می‌توانند وجوه را بازیابی کنند، هشدار داده است.

تأثیر محدود بر قیمت XRP

قیمت XRP با وجود مشکلات اخیر در شبکه، تغییر چندانی نداشته است. این توکن مرتبط با ریپل همچنان در حدود ۱ دلار معامله می‌شود و با ارزش بازاری حدود ۶۴ میلیارد دلار، طی ۳۰ روز گذشته حدود ۵.۵ درصد کاهش یافته است.

معامله‌گران در Myriad، یک بازار پیش‌بینی که توسط شرکت مادر Decrypt ساخته شده است، در حال حاضر معتقدند که XRP تا پایان هفته در قیمت ۱ دلار باقی خواهد ماند.