Tag: امنیت و هک

هشدار فیشینگ جدید، کاربران Trezor را هدف قرار داده است

شرکت سازنده کیف پول‌های سخت‌افزاری Trezor اعلام کرد که ارائه‌دهنده شخص ثالث این شرکت مورد نفوذ قرار گرفته است و به کاربران هشدار داد که ایمیلی با عنوان «هشدار امنیتی حیاتی: آسیب‌پذیری STM32 Entropy» توسط این شرکت ارسال نشده و در واقع یک تلاش برای فیشینگ بوده است.

این شرکت از کاربران خواست تا روی هیچ لینکی کلیک نکنند.

در به‌روزرسانی‌ای که در پلتفرم X منتشر شد، Trezor اعلام کرد که دامنه مورد استفاده را مسدود کرده و در حال بررسی چگونگی دسترسی هکرها به دامنه قانونی آن است. پیام فیشینگ مورد نظر تلاش می‌کرد تا کاربران را متقاعد کند که یک نقص امنیتی جدی در میکروکنترلرهای STM32 که در دستگاه‌های این شرکت استفاده می‌شوند، کشف شده است. طبق این هشدار ساختگی، میکروکنترلرهای STM32 قادر به تولید عبارت بازیابی با تصادفی بودن ناکافی هستند که به طور بالقوه می‌تواند دارایی‌های کاربران را در معرض خطر قرار دهد. این ایمیل ادعا می‌کند که تا ۲۵ درصد از دستگاه‌ها ممکن است تحت تأثیر قرار گرفته باشند.

به گفته نیک نیومن، مدیرعامل و هم‌بنیان‌گذار Casa، این مشکل ممکن است به کاربران Trezor محدود نباشد. وی خاطرنشان کرد که گزارش‌هایی از پیام‌های مشابه در میان افرادی که از دستگاه BitBox استفاده می‌کنند نیز منتشر شده است.

این اولین بار نیست که یک شریک شخص ثالث مرتبط با Trezor دچار نقض امنیتی می‌شود. در ماه اوت، این پلتفرم از حادثه امنیتی مشابهی با شریک لجستیک خود، ShipMonk، پرده برداشت که منجر به افشای اطلاعات شخصی تعداد زیادی از مشتریان شد.

اطلاعات افشا شده شامل اطلاعات تماس و تحویل بود. افشاگری قبلی تعداد افراد تحت تأثیر را ۱۳,۶۸۹ نفر اعلام کرده بود. با این حال، Trezor بعداً تأیید کرد که حدود ۶۷,۰۰۰ مشتری اضافی در ایالات متحده تحت تأثیر قرار گرفته‌اند، که این رقم را به ۸۰,۶۸۹ نفر رساند که اطلاعاتشان افشا شده بود.

یک تست امنیتی جداگانه نیز نگرانی‌هایی را در مورد تراشه TROPIC01 موجود در کیف پول Safe 7 شرکت Trezor ایجاد کرده بود. در ماه ژوئن، محققان Donjon شرکت Ledger دریافتند که با استفاده از تجهیزات تخصصی و دسترسی فیزیکی به دستگاه، یک مهاجم می‌تواند در هنگام بررسی سفت‌افزار توسط تراشه، اختلال ایجاد کند.

محققان از یک لیزر متمرکز با طول موج ۱۰۶۴ نانومتر برای ایجاد خطا در طول فرآیند بوت و به‌روزرسانی استفاده کردند. این امر می‌توانست اجرای سفت‌افزار اصلاح شده را امکان‌پذیر سازد. با این حال، Trezor اعلام کرد که این یافته دارایی‌های کاربران را در معرض خطر قرار نمی‌دهد.

زک‌ایکس‌بی‌تی (ZachXBT)، کارآگاه بلاکچین، در گذشته در مورد کیف پول‌های سخت‌افزاری صریح بوده است. وی پیش از این گفته بود که تمام کیف پول‌های سخت‌افزاری «آشغال کامل» هستند و او از آن‌ها برای تراکنش‌های مهم یا ذخیره وجوه استفاده نمی‌کند و پیشنهاد کرده بود که یک آیفون جداگانه فقط برای استفاده کیف پول در نظر گرفته شود.

سازنده کیف پول سخت‌افزاری ترزور (Trezor) روز چهارشنبه به کاربران خود هشدار داد که هکرها به ارائه‌دهنده ایمیل شخص ثالث این شرکت نفوذ کرده و از آن برای توزیع ایمیل فیشینگ با پوشش هشدار امنیتی حیاتی استفاده کرده‌اند.

هشدار ترزور درباره ایمیل فیشینگ

ترزور در پلتفرم X نوشت: «لطفاً توجه داشته باشید که ایمیل با عنوان «هشدار امنیتی حیاتی: آسیب‌پذیری آنتروپی STM32» از سوی ما ارسال نشده و یک تلاش برای فیشینگ است. روی هیچ لینکی کلیک نکنید.»

این شرکت اعلام کرد که دامنه مورد استفاده در این حمله را مسدود کرده و در حال تحقیق درباره چگونگی دسترسی هکرها به دامنه قانونی خود است.

ایمیل جعلی ترزور ادعا می‌کند که مهندسان این شرکت «یک آسیب‌پذیری حیاتی در سطح سخت‌افزار» را در میکروکنترلرهای STM32 مورد استفاده در دستگاه‌های خود کشف کرده‌اند. سپس به دروغ ادعا می‌کند که این نقص، تخمین زده می‌شود یک چهارم دستگاه‌ها را تحت تأثیر قرار داده و ممکن است عبارات بازیابی (recovery phrases) را با آنتروپی (تصادفی بودن) ناکافی مواجه کند. این ادعا احتمالاً با هدف سوءاستفاده از ترس‌های مرتبط با اکسپلویت اخیر Coldcard که بیش از ۱۳۰ میلیون دلار بیت‌کوین را از کاربران ربود، مطرح شده است.

ترزور بیانیه‌ای صادر کرد و این ایمیل را جعلی خواند و درست پس از ساعت ۴:۳۰ بعدازظهر به وقت شرقی به کاربران خود هشدار داد. این هشدار ساعت‌ها پس از آن منتشر شد که چندین کاربر گزارش دادند ایمیل کلاهبرداری فیشینگ را از آدرسی دریافت کرده‌اند که به نظر می‌رسید آدرس ایمیل قانونی ترزور باشد.

گسترش احتمالی حمله

نیک نیومن، هم‌بنیان‌گذار و مدیرعامل شرکت Casa، گفت که این کمپین ممکن است فراتر از ترزور گسترش یافته باشد و افزود که او همین موضوع را از کاربران Bitbox نیز شنیده است.

نیومن در X گفت: «به احتمال زیاد یک ارائه‌دهنده ایمیل بازاریابی مورد نفوذ قرار گرفته است. هوشیار باشید و به ایمیل‌های ارائه‌دهندگان که سعی دارند شما را از طریق لینک‌های مشکوک وادار به انجام اقداماتی کنند، اعتماد نکنید.»

هشدارهای مشابه از سوی کارشناسان امنیتی

جیمسون لوپ، محقق امنیت بیت‌کوین و مدیر ارشد امنیتی Casa، هشدار مشابهی را مطرح کرد.

او در پلتفرم X نوشت: «عوامل تهدید ممکن است ارائه‌دهندگان ایمیل مورد استفاده ترزور و BitBox را به خطر انداخته باشند. ایمیل‌های مخربی که ادعا می‌کنند هر دو دارای مولدهای عدد تصادفی (RNG) معیوب هستند و نیاز به به‌روزرسانی امنیتی دارند، ارسال می‌شوند و این ایمیل‌ها به نظر نمی‌رسد جعل شده باشند. هیچ توصیه امنیتی رسمی در این زمینه صادر نشده است!»

سابقه حملات فیشینگ

در ماه اوت، ترزور و شرکت سازنده کیف پول سخت‌افزاری Foundation به کاربران در مورد تلاش‌های فیشینگ که از ترس‌های امنیتی کیف پول سخت‌افزاری سوءاستفاده می‌کردند، هشدار دادند. این هشدار پس از آن صادر شد که محققان آسیب‌پذیری‌هایی را در دستگاه‌های Coldcard افشا کردند.

در همان ماه، ترزور گزارش داد که نفوذ در ارائه‌دهنده خدمات حمل‌ونقل ShipMonk، داده‌های مشتریان متعلق به ۸۰,۶۸۹ نفر از جمله نام، آدرس ایمیل، شماره تلفن و آدرس پستی را افشا کرده است. این شرکت هشدار داد که اطلاعات فاش شده می‌تواند در حملات فیشینگ پیچیده‌تر مورد استفاده قرار گیرد.

مالون لام، شهروند سنگاپوری و ساکن جدید میامی، در واشینگتن دی.سی. به مشارکت در یک توطئه بین‌المللی جرایم سایبری که بیش از ۲۴۵ میلیون دلار ارز دیجیتال را سرقت و پولشویی کرده بود، اعتراف کرد.

اعتراف به گناه

ژانین فریس پیرو، دادستان، پس از حضور لام در برابر قاضی فدرال، کالین کولار-کوتلی، این اعتراف را اعلام کرد. طبق اطلاعیه مطبوعاتی رسمی، لام ۲۲ ساله به یک فقره مشارکت در توطئه RICO (قانون سازمان یافته فساد و اعمال اخاذی) اعتراف کرد و قاضی جلسه رسیدگی به وضعیت پرونده را برای ۸ دسامبر ۲۰۲۶ تعیین کرد. اسناد دادگاه ادعا می‌کنند که این تشکیلات جنایی حداقل از اکتبر ۲۰۲۳ آغاز شده و تا ماه مه ۲۰۲۵ ادامه داشته است.

شبکه گسترده و روش‌های فریب

این گروه از طریق ارتباطات در پلتفرم‌های بازی آنلاین گسترش یافته و شامل افرادی از کالیفرنیا، کنتیکت، نیویورک، فلوریدا و همچنین سایر کشورها بود. اعضای آن برای جمع‌آوری اطلاعاتی که به آنها در تخلیه کیف پول‌های ارز دیجیتال قربانیان کمک می‌کرد، از مهندسی اجتماعی و گاهی اوقات از ورود غیرقانونی به منازل استفاده می‌کردند.

دادستان آمریکا، پیرو، اظهار داشت: «اگر امپراتوری جرایم سایبری بسازید، ما شما را پیدا خواهیم کرد، عملیاتتان را متلاشی خواهیم کرد و شما را پاسخگو خواهیم دانست. این متهم یک شبکه بین‌المللی را رهبری می‌کرد که از طریق فریب قربانیان را مورد آزار و اذیت قرار می‌داد، حریم خصوصی آنها را نقض می‌کرد و صدها میلیون دلار ارز دیجیتال را سرقت می‌کرد. ما با همکاری شرکای خود در FBI و IRS-CI، به شکار مجرمانی که از فناوری برای سرقت از مردم بی‌گناه استفاده می‌کنند، ادامه خواهیم داد.»

سبک زندگی لوکس و دستگیری

لام که با نام‌های مستعار “آن هاتاوی”، “$$$” و “کینگ گریوی” فعالیت می‌کرد، ظاهراً سازماندهی عملیات را بر عهده داشت، اهداف را انتخاب می‌کرد و نقش‌ها را بین همدستان تقسیم می‌کرد. وجوه سرقت شده سپس به شدت صرف کالاهای لوکس و خدمات می‌شد. این گروه تا ۵۰۰ هزار دلار برای یک شب خدمات کلوب شبانه پرداخت می‌کرد، کیف‌های دستی به ارزش ده‌ها هزار دلار برای هدیه دادن در مهمانی‌های کلوب شبانه خریداری می‌کرد و ساعت‌هایی به ارزش ۱۰۰ هزار دلار تا بیش از ۵۰۰ هزار دلار می‌خرید.

آنها همچنین ده‌ها هزار دلار صرف لباس‌های لوکس می‌کردند، خانه‌هایی را در لس آنجلس، همپتونز و میامی اجاره می‌کردند، جت‌های خصوصی و یک تیم امنیتی خصوصی استخدام می‌کردند و خودروهای لوکس به ارزش بین ۱۰۰ هزار دلار تا ۳.۸ میلیون دلار خریداری می‌کردند. نیروهای انتظامی لام را در ۱۸ سپتامبر ۲۰۲۵ در خانه اجاره‌ای‌اش در میامی دستگیر کردند.

شبکه لیکویید اعلام کرد که شرکت Blockstream، توسعه‌دهنده زیرساخت بیت‌کوین و پشتوانه این شبکه جانبی، در حال مذاکره با هکرهایی است که حدود ۳۲۰ میلیون دلار از این شبکه را مورد سوءاستفاده قرار دادند تا وجوه سرقت شده را به طور کامل بازگردانند.

مذاکرات برای بازگرداندن وجوه

لیکویید در گزارشی در پلتفرم X اعلام کرد: «مذاکرات بین Blockstream و افراد مسئول برای تضمین بازگشت وجوه باقی‌مانده در جریان است.»

این مذاکرات پس از آن آغاز شد که روز یکشنبه حدود ۴۰۰۰ بیت‌کوین از شبکه خارج شد. نقص فنی در نرم‌افزار Elements که زیربنای شبکه لیکویید است، امکان ایجاد توکن‌های L-BTC بدون پشتوانه را فراهم کرد که با بیت‌کوین ذخیره شده مبادله شدند. هکرها روز دوشنبه ۳۴۰۰ بیت‌کوین را بازگرداندند و حدود ۶۰۰ بیت‌کوین باقی مانده که ارزش آن حدود ۴۷ میلیون دلار است، هنوز بازگردانده نشده است.

لیکویید جزئیات مذاکرات یا جدول زمانی مشخصی برای بازگرداندن بیت‌کوین‌های باقی‌مانده را اعلام نکرد.

نحوه سوءاستفاده و تبادل وجوه

طبق گزارش لیکویید، افراد ناشناس پس از سرقت توکن‌ها، بیت‌کوین‌ها را از طریق SideSwap، یکی از اعضای فدراسیون لیکویید که خدمات برداشت را ارائه می‌دهد، مبادله کردند. بررسی‌های تراکنش نرم‌افزار، توکن‌های بدون پشتوانه را قبل از آغاز فرآیند برداشت معتبر دانسته بود.

توسعه‌دهندگان لیکویید توضیح دادند: «از آنجایی که شکست اعتبارسنجی در سطح تراکنش و قبل از آغاز فرآیند برداشت رخ داد، هم گره SideSwap و هم گره‌های توزیع‌شده جهانی فاکشنری‌های شبکه لیکویید، LBTC را معتبر شناختند.»

ذخایر لیکویید پس از این برداشت و برداشت‌های دیگری که قبل از توقف عملیات پردازش شدند، از حدود ۴۲۰۵ بیت‌کوین به ۱۹۷ بیت‌کوین کاهش یافت. طبق اعلام لیکویید، توکن‌های USDT و سایر توکن‌های صادر شده توسط لیکویید تحت تأثیر این آسیب‌پذیری قرار نگرفتند، اما کاربران در زمان توقف شبکه قادر به انجام تراکنش نبودند.

اطمینان‌بخشی به کاربران

لیکویید برای اطمینان‌بخشی به کاربران اعلام کرد: «فاکشنری‌های فدراسیون لیکویید هک نشده‌اند و هیچ کلید خصوصی‌ای به خطر نیفتاده است. مکانیزم برداشت که مجوز برداشت به آدرس‌های مجاز را صادر می‌کند، طبق طراحی عمل کرده است.»

در زمان وقوع این سوءاستفاده، افراد مسئول در پیامی در بلاک‌چین بیت‌کوین خود را محققان امنیتی کلاه سفید معرفی کردند. با این حال، برخی از جمله چارلز گیلمت، مدیر ارشد فناوری Ledger، پس از بازگرداندن بخش عمده وجوه، نسبت به ادعای کلاه سفید بودن این افراد ابراز تردید کردند.

گیلمت در پلتفرم X نوشت: «کلاه سفیدها هنوز ۶۰۰ بیت‌کوین را در اختیار دارند. اگر این یک پاداش مذاکره شده تحت یک قرارداد رمزنگاری شده که در زنجیره امضا شده باشد، بود، بیشتر شبیه اخاذی است تا هک کلاه سفید!»

به‌روزرسانی اضطراری و بازگشت عملیات

طبق گفته توسعه‌دهندگان شبکه لیکویید، Blockstream در حال آماده‌سازی یک به‌روزرسانی اضطراری است، در حالی که این اصلاحیه پس از اعمال وصله‌ای بر روی گره‌های پل خود در روز دوشنبه، تحت بررسی قرار دارد. پس از نهایی شدن به‌روزرسانی، اپراتورهای شبکه اقدامات بیشتری را برای از سرگیری عملیات و اصلاح وضعیت شبکه، از جمله رد برداشت نامعتبر، انجام خواهند داد.

لیکویید اعلام کرد: «اولین اولویت‌های ما بازگرداندن وجوه باقی‌مانده و از سرگیری ایمن و هرچه سریع‌تر عملیات عادی شبکه است.»

هارمونی، رقیب سابق اتریوم، پیشنهاد توقف فعالیت بلاک‌چین خود را در روز یکشنبه مطرح کرده و دلیل آن را تهدیدهای فزاینده از سوی عوامل هوش مصنوعی و بازیگران دولتی عنوان کرده است.

تهدیدهای فزاینده و پیشنهاد توقف فعالیت

این اعلامیه در حالی منتشر می‌شود که صنعت ارزهای دیجیتال تلاش می‌کند تا در برابر حملات سایبری پیچیده‌تر که با مدل‌های پیشرفته هوش مصنوعی مانند Claude Mythos از Anthropic و GPT-6 Astra از OpenAI تقویت شده‌اند، از خود دفاع کند.

تیم هارمونی در پستی در شبکه اجتماعی X نوشت: «تهدیدهای ناشی از بازیگران دولتی و عوامل هوش مصنوعی بیش از حد بزرگ هستند. از زمان راه‌اندازی شبکه اصلی ما در سال ۲۰۱۹، جامعه ما در برابر حملات و تغییرات مقاومت کرده است، اما زمان آن فرا رسیده است که شبکه هارمونی را به طور کامل متوقف کنیم.»

مهاجرت توکن ONE به اتریوم و اقتصاد جدید

برای کاهش این تهدید، هارمونی پیشنهاد کرده است که توکن ONE هارمونی به اتریوم منتقل شود و از توکن‌های جدید صادر شده برای تأمین مالی ابتکار جدید اکوسیستم با عنوان «اقتصاد ریمیکس برای ویدئوی هوش مصنوعی» (The Remix Economy for AI Video) استفاده شود. اعتبارسنج‌ها (Validators) که تراکنش‌های شبکه را تأیید می‌کنند، می‌توانند نقش‌های مدیریتی را بر عهده بگیرند یا به کسب‌وکار ویدئوی هوش مصنوعی بپیوندند.

هارمونی که در سال ۲۰۱۹ راه‌اندازی شد، یک بلاک‌چین لایه ۱ است که از اثبات سهام (Proof-of-Stake) استفاده می‌کند، جایی که اعتبارسنج‌ها توکن‌های خود را برای کمک به امنیت شبکه متعهد می‌کنند، و از شاردینگ (Sharding) بهره می‌برد که تراکنش‌ها را به گروه‌های کوچک‌تر تقسیم کرده و به صورت موازی پردازش می‌کند. هدف این طراحی، پرداختن به «معمای سه‌گانه بلاک‌چین» (blockchain trilemma) از طریق افزایش ظرفیت بدون به خطر انداختن امنیت یا تمرکز کنترل است.

جزئیات مهاجرت توکن ONE

طبق گفته هارمونی، این مهاجرت، موجودی توکن‌های ONE را در آخرین بلاک شبکه ثبت خواهد کرد – فرآیندی که «اسنپ‌شات» (snapshot) نامیده می‌شود – تا تخصیص هر دارنده به توکن‌های جایگزین در اتریوم مشخص شود. این فرآیند شامل کیف پول‌ها، توکن‌های استیک شده، پاداش‌های اعتبارسنج‌ها، قراردادهای هوشمند و صرافی‌های متمرکز خواهد بود.

توکن‌های جایگزین به همان آدرس‌های کیف پول در اتریوم ایردراپ (airdrop) خواهند شد و سهام‌های واگذار شده و پاداش‌های ادعا نشده به خزانه مدیران (governor vaults) فردی منتقل می‌شوند. لیستینگ‌های صرافی نیز به توکن جدید منتقل خواهند شد.

اگرچه این پیشنهاد بیان می‌کند که دارندگان نیازی به ثبت درخواست ندارند، اما کاربران با دارایی در قراردادهای هوشمند با مهلت زمانی جداگانه‌ای روبرو هستند.

تیم هارمونی نوشت: «کیف پول‌های چند امضایی (Multisig safes)، استخرهای نقدینگی (liquidity pools) و برنامه‌های آن‌چین (onchain apps) قابل مهاجرت نیستند؛ از کاربران خواسته می‌شود قبل از ۱۰ سپتامبر ۲۰۲۶ از تمام قراردادهای هوشمند خارج شوند.»

هارمونی همچنین پیشنهاد کرده است که از یک استخر ۱.۳۷۲ میلیون دلاری برای پرداخت به اعتبارسنج‌های واجد شرایط و نمایندگان آن‌ها در چهار قسط فصلی استفاده شود، مشروط بر اینکه اعتبارسنج‌ها سهام خود را حفظ کنند، توافق‌نامه‌ای را امضا کنند و به عنوان مدیر خدمت کنند.

این تیم نوشت: «کل عرضه و نرخ انتشار توکن ONE بدون تغییر باقی خواهد ماند. توکن‌های صادر شده از طریق انتشار اکنون به مأموریت جدید ما، «اقتصاد ریمیکس برای ویدئوی هوش مصنوعی»، با توجه به بازخورد مدیران، اختصاص داده خواهد شد.»

حملات هوش مصنوعی و ارزهای دیجیتال

این پیشنهاد مهاجرت، جدیدترین نمونه از حملاتی است که منجر به افزایش نظارت بر شبکه‌های بلاک‌چین شده است.

در ماه اوت، هارمونی پس از اینکه یک مهاجم حدود ۴ میلیارد توکن ONE غیرمجاز ایجاد کرد، وقوع یک سوءاستفاده را تأیید کرد. این تیم یک وصله (patch) منتشر کرد و اعلام کرد که در حال بررسی بازگردانی (rollback) است که با بازیابی نسخه قبلی بلاک‌چین، تراکنش‌ها را معکوس می‌کند.

پست روز یکشنبه در X نشان می‌دهد که هوش مصنوعی نقش بزرگ‌تری در امنیت ارزهای دیجیتال ایفا می‌کند، به طوری که شرکت‌ها حملات احتمالی با کمک هوش مصنوعی را گزارش می‌دهند و توسعه‌دهندگان از این فناوری برای یافتن و رفع آسیب‌پذیری‌ها استفاده می‌کنند.

در ماه ژوئیه، شرکت Coinkite، سازنده کیف پول Coldcard، اعلام کرد که مشکوک است مهاجمی از هوش مصنوعی برای یافتن نقصی استفاده کرده که حدس زدن کلیدهای کیف پول را آسان‌تر می‌کند – آسیب‌پذیری‌ای که بررسی هوش مصنوعی خودشان آن را نادیده گرفته بود. این شرکت پس از اینکه سرقت‌ها از ۱۰۰ میلیون دلار فراتر رفت، در ماه اوت امنیت خود را بازنگری کرد.

پس از حمله به Coldcard، توسعه‌دهندگان تیم قرمز بیت‌کوین (Bitcoin Red Team) را تشکیل دادند تا قبل از اینکه مهاجمان بتوانند از آسیب‌پذیری‌ها سوءاستفاده کنند، آن‌ها را بیابند. این گروه مدل‌های هوش مصنوعی، از جمله Kimi K3 از Moonshot AI، را با بررسی انسانی ترکیب می‌کند تا کیف پول‌ها، برنامه‌های پرداخت و سایر نرم‌افزارهای بیت‌کوین را بررسی کرده و سپس به صورت خصوصی به توسعه‌دهندگان در مورد نقص‌ها اطلاع دهد.

طبق گفته Calle، یکی از اعضای مستعار و توسعه‌دهنده این تیم، این گروه به حدود ۲۰ تا ۲۵ داوطلب رسیده است. او گفت که هیچ مشکلی در پروتکل زیربنایی بیت‌کوین پیدا نکرده است.

Calle به Decrypt گفت: «دلیل وجود تیم قرمز بیت‌کوین در حال حاضر این است که ما باید تا حد امکان سریع‌تر از مهاجمان جلوتر باشیم.»

شبکه لایه ۲ بیت کوین، لیکویید نتورک (Liquid Network)، از وقوع یک حادثه امنیتی خبر داده است که در آن هکرهای مدعی کلاه سفید، حدود ۴۰۰۰ بیت کوین به ارزش ۳۲۰ میلیون دلار را از کیف پول لیکویید فدراسیون برداشت کرده‌اند.

تلاش برای تماس با عاملان حادثه

شرکت بلاک‌استریم (Blockstream) در تلاش است تا از طریق پیام امضا شده در بلاک‌چین با طرف‌های درگیر در این حادثه تماس برقرار کند.

جزئیات حادثه و اقدامات صورت گرفته

لیکویید در به‌روزرسانی خود اعلام کرد که وجوه با استفاده از کلید مجوز خروج از استیبل کوین (SideSwap PAK) برداشت شده است، اما تاکید کرد که خود این کلید به خطر نیفتاده و هیچ کلید دیگری نیز در معرض خطر نبوده است. صرافی‌های ارز دیجیتال مطلع شده‌اند و در حال حاضر واریز و برداشت LBTC را تعلیق کرده یا در شرف تعلیق آن هستند.

لیکویید همچنین اعلام کرد که سایر دارایی‌های موجود در شبکه، از جمله USDT، DePix و دارایی‌های دنیای واقعی، تحت تأثیر این حادثه قرار نگرفته‌اند. این شبکه همچنین گره‌های پل (bridge nodes) خود را به طور موقت غیرفعال کرده است، به این معنی که تراکنش‌های جدید قابل ثبت نیستند. در نتیجه، سایدچین (sidechain) در حال حاضر عملاً متوقف شده است تا این مسئله مورد بررسی قرار گیرد.

در بیانیه‌ای آمده است: «کیف پول‌های لیکویید تحت تأثیر قرار خواهند گرفت و ما از هرگونه ناراحتی احتمالی عذرخواهی می‌کنیم. اعضای فدراسیون به طور فعال در حال تلاش برای حل این مشکل هستند تا بتوانیم فعالیت عادی شبکه را بازیابی کنیم.»

مذاکرات در بلاک‌چین

گفتگوی عمومی بین بلاک‌استریم و طرفی که مدعی است هکر کلاه سفید پشت این برداشت است، در بلاک‌چین ادامه دارد. به گفته سمسون مو (Samson Mow)، به نظر می‌رسد هکر ترجیح می‌دهد به جای ایمیل، به صورت عمومی ارتباط برقرار کند و پیام‌های خود را از طریق داده‌های تراکنش بیت کوین منتشر می‌کند.

این تبادل نظر در ساعت ۱۱:۳۰ صبح به وقت اقیانوس آرام (PDT) آغاز شد، زمانی که هکر نوشت: «ما کلاه سفید هستیم. از طریق بلاک‌چین با ما تماس بگیرید.» بلاک‌استریم در ساعت ۱۲:۳۱ بعد از ظهر روز ۶ سپتامبر پاسخ داد و از هکر خواست تا از طریق ایمیل با تیم امنیتی این شرکت تماس بگیرد. بعدها، بلاک‌استریم یک پیام رمزگذاری شده و امضا شده با PGP را به کلید هکر ارسال کرد.

در ساعت ۷:۲۰ بعد از ظهر، هکر اعلام کرد که قصد دارد بیشتر وجوه را بازگرداند و پرسید که آیا آدرس مشخص شده مورد قبول است یا خیر. حدود یک ساعت بعد، آنها اظهار داشتند که ابتدا باید باگ برطرف شود و افزودند: «زنجیره در آخرین کامیت در معرض خطر است. اطمینان حاصل کنید که همه نودها وصله شده‌اند. سپس پس از تأیید رفع مشکل، پول را با خیال راحت بازمی‌گردانیم.»

بلاک‌استریم در ساعت ۸:۳۰ بعد از ظهر پاسخ داد: «بله، متشکریم.» تا ساعت ۹:۱۲ بعد از ظهر به وقت اقیانوس آرام، حدود ۳۹۹۸.۵ بیت کوین بدون تغییر باقی مانده بود. هیچ پیام دیگری از هیچ یک از طرفین منتشر نشد.

تردیدها در مورد ادعای کلاه سفید

چارلز گیومِت (Charles Guillemet)، مدیر ارشد فناوری لجر (Ledger)، نسبت به ادعای کلاه سفید بودن هکرها ابراز تردید کرد و خاطرنشان ساخت که محققان امنیتی قانونی معمولاً یک پل را تخلیه نمی‌کنند و سپس درخواست تماس از طریق بلاک‌چین را مطرح نمی‌کنند.

او این حادثه را با هک رونین (Ronin) مقایسه کرد که در آن مهاجمان پس از به خطر افتادن کلیدهای اعتبارسنجی، حدود ۶۲۵ میلیون دلار سرقت کردند، و همچنین با سوءاستفاده از پروتکل اولر (Euler)، که در آن مهاجم پس از سرقت به دنبال مذاکره برای بازگرداندن وجوه بود.

این اقدام برای ارسال پیام از طریق سیگنال (Signal) نیز نظر گیومِت را مبنی بر اینکه این رفتار شبیه فعالیت‌های معمول کلاه سفیدها نیست، تغییر نداد. با این حال، این مقام اجرایی خاطرنشان کرد که گروه‌های جنایتکار نیز معمولاً با قربیان خود تماس نمی‌گیرند.

گوگل یک نقص امنیتی با شدت بالا در مرورگر کروم را پس از اطلاع از سوءاستفاده فعال مهاجمان از آن، برطرف کرد.

این باگ موتور V8 کروم را که برای اجرای جاوا اسکریپت و WebAssembly استفاده می‌شود، تحت تأثیر قرار می‌دهد. گوگل هنوز هویت مهاجمان، قربانیان یا قابلیت‌های دقیق این اکسپلویت را مشخص نکرو‌ده است.

این شرکت در اطلاعیه‌ای امنیتی که روز پنجشنبه منتشر شد، اعلام کرد: «گوگل از وجود یک اکسپلویت فعال برای CVE-2026-85046 در فضای واقعی آگاه است. همچنین از تمام محققان امنیتی که در طول چرخه توسعه با ما همکاری کردند تا از بروز باگ‌های امنیتی در کانال پایدار جلوگیری شود، سپاسگزاریم.»

این وصله امنیتی در نسخه‌های Chrome 152.0.7977.82 و 152.0.7977.83 برای سیستم‌عامل‌های ویندوز و مک، و نسخه 152.0.7977.82 برای لینوکس گنجانده شده است. گوگل اعلام کرده است که این به‌روزرسانی «طی روزها/هفته‌های آینده منتشر خواهد شد.»

CVE-2026-85046 یک باگ از نوع “type-confusion” (سردرگمی نوع داده) است. این‌گونه نقص‌ها زمانی رخ می‌دهند که نرم‌افزار داده‌ها را با نوع اشتباهی پردازش می‌کند و منجر به خطاهای حافظه یا رفتارهای غیرمنتظره می‌شود. گوگل هنوز مشخص نکرو‌ده است که آیا این باگ می‌تواند برای اجرای کد از راه دور مورد استفاده قرار گیرد یا خیر.

سالواتوره گولیژیا، محقق امنیتی که با نام مستعار Serotav نیز شناخته می‌شود، در تاریخ ۴ آگوست این نقص را گزارش داد. گوگل به پاس این گزارش، مبلغ ۱۰۰۰ دلار جایزه باگ به او اهدا کرد.

گوگل در مجموع ۱۲ اصلاحیه امنیتی را در این به‌روزرسانی ارائه کرده است که شامل ۹ باگ با شدت بالا و ۲ باگ با شدت متوسط می‌شود. این شرکت جزئیات برخی از این موارد را تا زمانی که اکثر کاربران و پروژه‌های شخص ثالث تحت تأثیر قرار گرفته، وصله‌های امنیتی را نصب کنند، منتشر نخواهد کرد.

گوگل هنوز زمان انتشار اطلاعات بیشتر در مورد این اکسپلویت را اعلام نکر‌ده است.

اگرچه گوگل هنوز CVE-2026-85046 را به حملات علیه کاربران ارزهای دیجیتال مرتبط نکر‌ده است، اما کیف پول‌های مرورگری، حساب‌های صرافی و افزونه‌های معاملاتی پیش از این از طریق روش‌های دیگری هدف حملات قرار گرفته‌اند.

در نوامبر ۲۰۲۵، محققان کشف کردند که یک افزونه مخرب کروم، تراکنش‌های پنهان SOL را به مبادلات کاربران اضافه می‌کر‌ده است. یک ماه بعد، یک کارآفرین سنگاپوری اعلام کرد که بدافزاری که خود را به شکل یک بازی جا زده بود، بیش از ۱۴۰۰۰ دلار از کیف پول‌های متصل به مرورگر او را تخلیه کرده است. او معتقد بود که این حمله شامل توکن‌های احراز هویت سرقت شده و یک آسیب‌پذیری روز صفر قبلی در کروم بوده است؛ با این حال، هیچ ارتباطی با CVE-2026-85046 گزارش نشد. اخیراً نیز در ماه آگوست، محققان ده‌ها افزونه جعلی کیف پول فایرفاکس را کشف کردند که اطلاعات حساس کیف پول‌ها را سرقت می‌کردند.

بزرگترین صرافی ارز دیجیتال جهان به مشتریان خود نسبت به افزایش حملات فیشینگ که سرمایه‌گذاران رمزارز را هدف قرار می‌دهند، هشدار داد و از آنها خواست تا نهایت احتیاط را رعایت کنند.

در این گزارش، گام‌های ضروری برای محافظت بهتر در برابر این مجرمان سایبری تشریح شده است.

بایننس توضیح داد که مهاجمان پیام‌های متنی جعلی با عنوان “هشدار امنیتی” ارسال می‌کنند تا کاربران را فریب داده و آنها را وادار به کلیک بر روی لینک‌های مخرب کنند، که این امر می‌تواند منجر به زیان‌های جبران‌ناپذیر شود.

این تیم افشا کرد که چنین کلاهبرداری‌هایی اغلب به شکل اطلاعیه‌هایی رسمی ظاهر می‌شوند، مانند “تنظیمات حساب شما تغییر کرده است” یا “ورود مشکوک شناسایی شد”. علاوه بر این، این پیام‌ها ممکن است حاوی یک لینک کوتاه شده باشند که از کاربران می‌خواهد “فوراً تأیید کنند” و با ایجاد حس فوریت، قربانیان را قبل از تفکر وادار به اقدام می‌کنند.

این شرکت تأکید کرد: “به یاد داشته باشید: بایننس هرگز از شما نمی‌خواهد که برای “تأیید” یا “امن‌سازی” حساب خود، روی لینکی در پیام متنی کلیک کنید.”

بایننس همچنین سه گام حیاتی را برای افزایش سطح حفاظت تشریح کرد. اول، کاربران هرگز نباید روی لینک‌های ناآشنا کلیک کنند؛ در عوض، باید با استفاده از Binance Verify، اعتبار آنها را بررسی کنند.

در مرحله بعد، کاربران باید ویژگی “لیست سفید آدرس برداشت” (Withdrawal Address Whitelist) را در تنظیمات امنیتی خود فعال کنند. در این پیام آمده است: “پس از فعال‌سازی، وجوه فقط به آدرس‌هایی که از قبل تأیید کرده‌اید، قابل انتقال خواهد بود.”

سوم، کاربران باید “کد ضد فیشینگ” (Anti-Phishing Code) را فعال کنند و به خاطر داشته باشند که ایمیل‌های واقعی بایننس همیشه حاوی کدهای منحصر به فرد کاربران هستند. اگر پیامی این کد را نداشته باشد، از سوی صرافی نیست.

در نهایت، بایننس به کسانی که پیام‌های مشکوک دریافت کرده‌اند یا قبلاً روی لینکی کلیک کرده‌اند، توصیه کرد که فوراً از طریق اپلیکیشن با پشتیبانی رسمی مشتریان تماس بگیرند.

این شرکت اخیراً فعالیت‌های قابل توجهی داشته است، از جمله حذف برخی ارزهای دیجیتال که دیگر معیارهای لازم را ندارند و افزودن ارزهای دیگر برای همسویی با آخرین روندهای بازار.

ماه گذشته، بایننس اعلام کرد که تمام خدمات خود را با ICON (ICX)، Secret (SCRT) و Storj (STORJ) خاتمه خواهد داد. حذف این ارزها دیروز (۳ سپتامبر) انجام شد، اما قیمت توکن‌های تحت تأثیر بلافاصله پس از اعلام این خبر به شدت سقوط کرد.

چنین واکنش‌هایی طبیعی است، زیرا بایننس بزرگترین صرافی ارز دیجیتال باقی می‌ماند و حذف پشتیبانی آن منجر به کاهش نقدینگی، کاهش دسترسی و آسیب به اعتبار می‌شود. کاهش‌های مشابهی نیز در ماه ژوئن برای Alchemix (ALCX)، Ardor (ARDR)، NFPrompt Token (NFP) و Marlin (POND) پس از اعلام خداحافظی این شرکت مشاهده شد.

اوایل این هفته، این صرافی PONS را به بخش Binance Alpha خود اضافه کرد (مرکزی برای کشف پروژه‌های نوظهور ارز دیجیتال قبل از دریافت پشتیبانی رسمی). این آلت‌کوین پرطرفدار پس از این خبر روند صعودی را در پیش گرفت و عملکرد چشمگیر خود را ادامه داد. این ارز در دو هفته گذشته حدود ۱۵۰۰ درصد افزایش یافته و ارزش بازار آن به نزدیک ۵۰۰ میلیون دلار رسیده است.

افشای اطلاعات ۶۷ هزار مشتری دیگر Trezor در پی نقض امنیتی شرکت حمل‌ونقل

شرکت Trezor، تولیدکننده کیف پول‌های سخت‌افزاری، روز جمعه اعلام کرد که اطلاعات شخصی ۶۷ هزار مشتری دیگر این شرکت در پی نقض امنیتی در شرکت ارائه‌دهنده خدمات حمل‌ونقل ShipMonk افشا شده است. این اطلاعات شامل نام، آدرس ایمیل، شماره تلفن، آدرس منزل و شماره سفارشات مشتریان می‌شود.

جزئیات نقض امنیتی

تمامی این مشتریان در ایالات متحده سکونت دارند و سفارشات خود را بین نوامبر ۲۰۱۹ تا اوت ۲۰۲۱ ثبت کرده‌اند. این بدان معناست که برخی از اطلاعات افشا شده، نزدیک به هفت سال قدمت دارند. شرکت ShipMonk دو روز پیش این موضوع را به Trezor اطلاع داده است.

Trezor در بیانیه‌ای اعلام کرد: «دو روز پیش، ما به‌روزرسانی را از ارائه‌دهنده خدمات حمل‌ونقل خود، ShipMonk، دریافت کردیم. با اندوه فراوان به اطلاع می‌رسانیم که نقض امنیتی اخیر، مشتریان بیشتری را نسبت به آنچه در ابتدا تصور می‌شد، تحت تأثیر قرار داده است. ۶۷ هزار مشتری دیگر از ایالات متحده که بین نوامبر ۲۰۱۹ تا اوت ۲۰۲۱ سفارش داده بودند…»

این شرکت همچنین اعلام کرد که بارها از ShipMonk تأییدیه کتبی مبنی بر حذف این اطلاعات را دریافت کرده بود، مطابق با قرارداد و سیاست حفظ داده‌ها. Trezor از اینکه متوجه شده این اطلاعات حذف نشده‌اند، ابراز ناامیدی کرده است.

افزایش تعداد مشتریان متأثر

هنگامی که Trezor در ماه اوت این نقض امنیتی را فاش کرد، دامنه محدود آن را به سیاست حذف ۹۰ روزه اطلاعات نسبت داد که ادعا می‌کرد در قراردادهای شرکای لجستیکی خود گنجانده است. این ادعا اکنون به طور قابل توجهی ضعیف به نظر می‌رسد. تعداد مشتریان متأثر از ۱۳,۶۸۹ نفر به حدود ۸۰,۷۰۰ نفر افزایش یافته است.

عدم تأثیر بر سیستم‌های Trezor

سیستم‌های خود Trezor مورد نفوذ قرار نگرفته‌اند و دستگاه‌ها، کلیدهای خصوصی و نسخه‌های پشتیبان کیف پول‌ها دست‌نخورده باقی مانده‌اند. خطر اصلی این است که این اطلاعات، هویت صاحبان تأیید شده کیف پول‌های سخت‌افزاری را در آدرس‌های پستی مشخص فاش می‌کند. Trezor علاوه بر ایمیل‌ها، تماس‌ها و نامه‌های جعلی، به مشتریان متأثر در مورد خطرات امنیتی فیزیکی هشدار داده و مجدداً تأکید کرده است که هرگز نباید یک نسخه پشتیبان از کیف پول را به اشتراک گذاشت یا در وب‌سایتی وارد کرد.

سابقه حملات مشابه

پیش از این، در ماه فوریه، صاحبان کیف پول‌های سخت‌افزاری Trezor و رقیب آن Ledger نامه‌های جعلی دریافت کرده بودند که با هولوگرام، کدهای QR و امضاهای جعلی مدیران چاپ شده بود و از آنها می‌خواست یک بررسی امنیتی ساختگی را فعال کنند، در غیر این صورت دسترسی به کیف پول‌هایشان را از دست می‌دادند.

در آن زمان، دیوید سیهون بک، مشاور جرایم سایبری، به Decrypt گفته بود که نامه‌ای که حاوی نام و آدرس منزل باشد، نشان‌دهنده این است که «ما می‌توانیم شما را پیدا کنیم» و داده‌های سرقت شده سال‌ها مفید باقی می‌مانند، زیرا افراد به ندرت نقل مکان می‌کنند یا شماره تلفن خود را تغییر می‌دهند.

ریشه نفوذ و مظنونان

این نفوذ به یک نقص حیاتی تزریق SQL در ابزار تجزیه و تحلیل Metabase بازمی‌گردد که در ۶ اوت فاش شد و به مهاجمان غیرمجاز اجازه داد تا اعتبارنامه‌های پایگاه‌های داده متصل را سرقت کنند. شرکت‌های تولیدکننده لپ‌تاپ Framework و سازنده فرم Tally نیز در همین موج نفوذ قرار گرفتند. گزارش شده است که ShipMonk ایمیل‌های اخاذی منتسب به گروه ShinyHunters را دریافت کرده است، هرچند این نسبت هنوز تأیید نشده است.

اقدامات Trezor برای امنیت بیشتر

Trezor اعلام کرده است که در حال تلاش برای ارائه سریع‌تر گزینه تحویل ناشناس است. این گزینه شامل تحویل در قفسه‌های قفل‌شونده، بسته‌بندی خنثی و جزئیات فرستنده عمومی است تا خریداران نیازی به ارائه آدرس منزل نداشته باشند.

آنتراپیک پس از دسترسی غیرمجاز مدل‌های کلود به سیستم‌های کامپیوتری در جریان ارزیابی‌های امنیت سایبری، تدابیر حفاظتی خود را در تست و آموزش تشدید کرد.

آنتراپیک روز دوشنبه در پستی وبلاگی اعلام کرد که این حوادث نشان‌دهنده شکست در امنیت عملیاتی و دو مورد شکست در هم‌راستایی بوده است: استدلال انگیزشی و تمایل به ایجاد آسیب.

آنتراپیک نوشت: «اگرچه ما معتقد نیستیم که این حوادث به تنهایی مشکلات عملیاتی را نشان می‌دهند، اولویت اول ما رسیدگی به مسائل خاص مهار و نظارت بود.»

آنتراپیک در ماه ژوئیه فاش کرد که مدل‌های کلود به سیستم‌های سه شرکت نفوذ کرده‌اند. یک محیط ارزیابی شخص ثالث به اینترنت عمومی متصل بود، حتی با وجود اینکه به مدل‌ها گفته شده بود که در یک شبیه‌سازی بدون دسترسی به اینترنت قرار دارند.

آنتراپیک گفت که کلود ممکن است شواهد دسترسی واقعی به اینترنت را به گونه‌ای تفسیر کرده باشد که باور آن مبنی بر شبیه‌سازی بودن سیستم‌ها را حفظ کند.

آنها نوشتند: «مدل مایل بود تا در راستای هدف محدود حل یک ارزیابی امنیت سایبری، اقدامات مضر را در اینترنت واقعی انجام دهد. با این حال، ما همچنین معتقدیم که خودِ پیکربندی ارزیابی در رفتار مدل‌ها در این حوادث نقش داشته است.»

آنتراپیک خاطرنشان کرد که یک تست جداگانه که توسط مؤسسه امنیت هوش مصنوعی بریتانیا انجام شد، شامل اقداماتی غیرمجاز توسط کلود میتوس در اینترنت زنده پس از اینکه ارزیاب‌ها عمداً به آن دسترسی به اینترنت دادند، بود. این شرکت گفت که مدل‌های دخیل در هر دو مجموعه حوادث، عمداً بدون تدابیر امنیتی سایبری که با محصولات منتشر شده عمومی آن همراه است، مورد ارزیابی قرار گرفتند.

پس از حوادث ۳۰ ژوئیه، آنتراپیک به طور موقت ارزیابی‌های سایبری مدل‌های پیش از انتشار را متوقف کرد و تدابیر حفاظتی سخت‌گیرانه‌تری را معرفی نمود. اکنون تست‌ها باید در محیط‌های ایزوله (sandbox) تأیید شده و آفلاین با محدودیت‌های مشخص و نظارت بلادرنگ اجرا شوند. یک طبقه‌بندی‌کننده جدید، نقض‌های مرزی مشکوک را مسدود کرده، تست را پایان داده و یک انسان را مطلع می‌سازد. آنتراپیک ارزیابی‌هایی را که نیاز به دسترسی به اینترنت دارند به صورت جداگانه بررسی خواهد کرد.

این شرکت نوشت: «علاوه بر تلاش‌های متمرکز بر ارزیابی‌ها و آموزش‌های پرخطر، ما نظارت آفلاین خود را برای پوشش اکثر اشکال دیگر استفاده از عامل‌های داخلی گسترش دادیم. ما همچنین در حال ساخت کنترل‌هایی بر روی استنتاج داخلی خود هستیم تا از کارکنان آنتراپیک در اجرای تصادفی عامل‌هایی با کاهش‌های ضعیف‌تر از موارد ذکر شده در بالا جلوگیری کنیم.»

حوادث کلود پس از یک شکست مشابه در OpenAI رخ داد، زمانی که مدل‌های آن در ماه ژوئیه به Hugging Face نفوذ کردند تا پاسخ‌هایی برای یک آزمون امنیت سایبری به دست آورند. بازرسان دریافتند که حدود ۱۲۰۰ عامل از طریق یک تابلوی پیام غیرمجاز هماهنگ شده بودند و حدود ۷۰۰ نفر به این تلاش پیوستند. برخی از آنها برای کمک به دیگران، اجرای خود را پایان دادند.

پس از افزایش هک‌های مبتنی بر هوش مصنوعی در طول تابستان، آنتراپیک، OpenAI و بیش از ۱۰۰ سازمان دیگر بعداً خواستار دفاع سایبری قوی‌تر، از جمله کنترل‌های دسترسی سخت‌گیرانه‌تر، اشتراک‌گذاری تهدیدات و نظارت دقیق‌تر بر عامل‌های هوش مصنوعی شدند.