كشف خادم ويب تم تكوينه بشكل غير صحيح الستار عن واحدة من أكثر عمليات التصيّد الاحتيالي بالعملات المشفّرة المدعومة بالذكاء الاصطناعي تخطيطًا التي وثّقها باحثو الأمن هذا العام. تقول شركة الأمن السيبراني Rapid7 إنها عثرت على البنية التحتية المكشوفة تقريبًا عن طريق الصدفة، وما وجدته بداخلها كان آلة احتيال مكتملة: ما يقرب من 900,000 رقم هاتف، وأدوات آلية للتحقق من الحسابات، وبرامج محافظ مزيّفة، وكود تمت كتابته بمساعدة مساعدي البرمجة بالذكاء الاصطناعي السائدين. أطلقت Rapid7 على الحملة اسم عملية ASTERIX، وهي توفّر نظرة نادرة ومفصّلة على كيفية دمج أدوات الذكاء الاصطناعي التوليدي في حملات التصيّد بالعملات المشفّرة التي كانت تتطلّب في السابق جهدًا يدويًا أكبر بكثير لتشغيلها.
Summary
أهم النقاط
- كشفت Rapid7 عملية ASTERIX، وهي حملة تصيّد احتيالي بالعملات المشفّرة مدعومة بالذكاء الاصطناعي، بعد العثور على خادم مكشوف تم تكوينه بشكل غير صحيح.
- احتوى مجموعة البيانات المكشوفة على ما يقرب من 885,000 رقم هاتف، بما في ذلك 316,002 رقم هاتف محمول ألماني، وأنتجت 43,066 حسابًا مطابقًا على Crypto.com.
- أنشأ المهاجمون تطبيقات محافظ مزيّفة تحاكي Trezor Suite وLedger Live وExodus، إلى جانب صفحات تصيّد تنتحل Crypto.com وBinance.
- استُخدم مساعدا البرمجة GitHub Copilot وClaude Code لكتابة الأدوات الخبيثة وتغليفها وتحسينها، وحاول المشغّلون التبديل بين نماذج الذكاء الاصطناعي بعد مواجهة قيود الأمان.
- أخطرت Rapid7 المزوّدين والسلطات المتأثرة، بما في ذلك فريق أمان Apple، بعد توثيق العملية.
Rapid7 تكشف عملية ASTERIX وحجمها الحقيقي
جمعت عملية ASTERIX بين رسائل البريد الإلكتروني الاحتيالية (التصيّد) والمكالمات الصوتية وبرامج المحافظ المزيّفة في خط احتيال واحد منسّق، والأرقام الكامنة وراءها لافتة للنظر. احتوى الدليل المكشوف لدى Rapid7 على ما يقرب من 885,000 رقم هاتف موزّعة عبر مجموعات بيانات متعددة، يبدو أن كلًا منها جُمِع لتغذية محرّك الاستهداف في العملية.
اكتشاف عملية ASTERIX ونطاقها
أكبر دفعة منفردة داخل تلك المجموعة كانت مجموعة بيانات ألمانية تضم 316,002 رقم هاتف محمول. بدلًا من إرسال رسائل عشوائية، مرّر المشغّلون تلك القائمة عبر أدوات تحقق آلية مصمّمة لتأكيد الأرقام التي تعود لحسابات نشطة في منصات تداول العملات المشفّرة. كان لتلك الخطوة أهميتها: فقد حوّلت كتلة من الأرقام المجهولة إلى قائمة منسّقة من الضحايا المحتملين.
استخدام مجموعات بيانات الهواتف والتحقق من الحسابات
من الأرقام الألمانية وحدها، حدّد المهاجمون 43,066 حسابًا على Crypto.com. ووفقًا لتقرير Crypto Briefing عن الخادم نفسه، أظهرت عمليات التحقق مقابل أنظمة Crypto.com معدل تطابق بلغ 13.6%، ما يعني أن نحو رقم واحد من كل سبعة أرقام تم اختبارها كان يطابق حسابًا حقيقيًا نشطًا. وعند تطبيق النسبة نفسها على قاعدة البيانات الكاملة المكوّنة من 885,000 رقم، يمكن نظريًا أن يشير ذلك إلى أكثر من 120,000 مستخدم نشط لمنصات التداول يستحقون الاستهداف — وهي تفصيلة تبرز مدى الاتساع الذي يمكن أن تبلغه حملة تصيّد بمجرد أن تقرن بيانات هواتف مسروقة أو مجمّعة بأداة تحقق موثوقة.
هنا تتوقف العملية عن الظهور كاحتيال عشوائي وتبدأ في الظهور كنظام استهداف. فبمجرد تأكيد أن الرقم فعّال، تقول Rapid7 إن الحملة أضافت سجلات مُثرية — أسماء وتفاصيل اتصال ومواقع ومعلومات متعلقة بالحساب في بعض الحالات — لجعل التواصل اللاحق يبدو شخصيًا بدلًا من أن يكون عامًا.
أساليب التصيّد: انتحال العلامات التجارية وتطبيقات المحافظ المزيّفة
تم توجيه الأهداف المؤكدة إلى حملة ضغط متعددة القنوات صُمّمت لتبدو كدعم عملاء شرعي. أشارت رسائل البريد الإلكتروني والمكالمات الهاتفية المنسّقة إلى تفاصيل حساب متطابقة، وهو ما تقول Rapid7 إنه جعل الانتحال أكثر إقناعًا بكثير من حملات التصيّد الجماعية المعتادة.
انتحال العلامات التجارية الكبرى في عالم العملات المشفّرة
انتحلت البنية التحتية للتصيّد هوية Crypto.com وBinance مباشرة، وهما من أكبر منصات التداول في القطاع، ما منح التواصل مظهرًا من المصداقية دفع الأهداف نحو المرحلة التالية من الفخ.
نشر تطبيقات محافظ مزيّفة
تمحورت تلك المرحلة التالية حول محافظ عملات مشفّرة مزيّفة بُنيت لتقليد برامج موثوقة. استرجعت Rapid7 نسخًا مزيّفة تشبه Trezor Suite وLedger Live وExodus، ومعبّأة لكل من macOS وWindows. بمجرد تثبيتها، كانت التطبيقات تطلب من المستخدمين إدخال عبارات الاسترداد المكوّنة من 12 إلى 24 كلمة — وهي المفتاح الرئيسي لأي محفظة عملات مشفّرة — ثم تُهرَّب مباشرة إلى المهاجمين عبر تيليغرام. كما وجدت Rapid7 أن العملية استضافت مُثبّتًا مزيّفًا لـ Claude Code حاول بهدوء تثبيت أحد هذه التطبيقات الخبيثة للمحافظ إلى جانب أداة البرمجة الشرعية بالذكاء الاصطناعي، ما يمزج منتجًا موثوقًا للمطورين مع حمولة خفية.
كيف دعمت أدوات الذكاء الاصطناعي حملة التصيّد بالعملات المشفّرة
ما يميّز عملية ASTERIX عن كتيّبات التصيّد الأقدم هو الدور الواضح للذكاء الاصطناعي التوليدي في بنائها. تُظهر الأدلة المسترجعة من الخادم المكشوف أن المشغّلين اعتمدوا على GitHub Copilot وClaude Code في البرمجة والبرمجة النصية وتغليف التطبيقات وأعمال البنية التحتية — وهو نوع العمل التقني الذي كان يتطلّب سابقًا مطوّرًا مخصصًا.
استخدام GitHub Copilot وClaude Code والتبديل بين أدوات الذكاء الاصطناعي
وجد تحقيق Rapid7 أن المحتالين استخدموا هذه المساعدات ليس فقط لكتابة كود وظيفي، بل لتحسينه بنشاط، بما في ذلك محاولات للالتفاف على حواجز الأمان المدمجة في الأدوات نفسها.
محاولات تجاوز قيود نماذج الذكاء الاصطناعي
في مرحلة ما، ورد أن Claude رفض طلبات مرتبطة بإخفاء الكود. بدلًا من التوقف عند هذا الحد، انتقل المشغّل إلى نموذج مختلف، Kimi، وحاول تجاوز قيوده أيضًا. تقول Rapid7 إنها لم تستطع تأكيد ما إذا كانت محاولة التجاوز تلك قد نجحت — بل إن الأدلة توثّق فقط نمطًا متعمّدًا من التنقّل بين الأدوات كلما اعترض أحد أنظمة الذكاء الاصطناعي.
لماذا يهم هذا الأمر: يُظهر هذا النمط أن حواجز الأمان في الذكاء الاصطناعي، رغم فائدتها، ليست عائقًا كاملًا عندما ينتقل مشغّل مصمّم ببساطة إلى نموذج آخر. ومع تكاثر أدوات البرمجة بالذكاء الاصطناعي، يزداد عدد الأبواب المتاحة لمن يحاول التسلّل متجاوزًا ضوابط الأمان.
الإخطار والاستجابة وما الذي سيأتي لاحقًا
على الرغم من حجم البيانات المتورطة، بدا النشاط اليومي للعملية صغيرًا بشكل مفاجئ. أظهرت سجلات النشاط المسترجعة من الخادم 20 عملية بحث عن عملاء محتملين فقط وست رسائل بريد إلكتروني للتصيّد أُرسلت خلال فترة تقارب أسبوعين، ما يشير إلى أن المشغّلين فضّلوا الدقة على الحجم — مجموعة صغيرة ومنتقاة من الأهداف عالية الاحتمال بدلًا من حملة بريد عشوائي واسعة.
إخطار المزوّدين والسلطات
اكتشفت Rapid7 الحملة بينما كانت أجزاء كبيرة من بنيتها التحتية لا تزال نشطة أو قيد التطوير، وتعاونت مع فريق أمان Apple قبل نشر نتائجها في 17 أغسطس 2026. كما أخطرت الشركة مزوّدين آخرين ذوي صلة بشأن البيانات المكشوفة والتطبيقات المزيّفة.
المخاطر المحتملة والتعرّض لمستخدمي العملات المشفّرة
بالنسبة لمنصات مثل Crypto.com، تثير الحادثة سؤالًا مباشرًا: ما مقدار الإشارات التي تسرّبها نقاط نهاية التحقق الآلي من الحسابات إلى محاولات الفحص الخارجية؟ إن معدل تأكيد يبلغ 13.6% في البحث عن طريق رقم الهاتف يكفي للمهاجم لبناء قائمة أهداف قابلة للاستخدام دون لمس كلمة مرور واحدة. وهذا حجة قوية لتشديد كيفية استجابة واجهات برمجة تطبيقات التحقق للاستعلامات الجماعية، إذ إن التسريب ليس في برنامج المحفظة — بل في نقطة التحقق التي تخبر المهاجم بمن يستحق الاستهداف من الأساس.
الدرس الأوسع للصناعة لا يتعلق كثيرًا بهذه العملية وحدها بقدر ما يتعلق بما تشير إليه. فقد جعلت مساعدات البرمجة بالذكاء الاصطناعي من الأسرع والأرخص بناء تطبيقات محافظ مزيّفة وبنية تحتية للتصيّد، وتُظهر عملية ASTERIX أن حواجز الأمان داخل تلك الأدوات يمكن تجاوزها ببساطة عن طريق الانتقال إلى نموذج أكثر تساهلًا. هذا المزيج — تطوير مدعوم بالذكاء الاصطناعي منخفض التكلفة إلى جانب مجموعات كبيرة من أرقام الهواتف المُتحقَّق منها — من المرجّح أن يستمر في الظهور في حملات التصيّد بالعملات المشفّرة مستقبلًا، سواء عاودت هذه الشبكة نفسها الظهور تحت اسم جديد أم لا.
الأسئلة الشائعة
ما هي عملية ASTERIX؟
عملية ASTERIX هي حملة تصيّد احتيالي بالعملات المشفّرة مدعومة بالذكاء الاصطناعي كشفتها Rapid7، استخدمت بيانات الهواتف والتحقق من الحسابات وتطبيقات محافظ مزيّفة لسرقة عبارات استرداد العملات المشفّرة.
كيف حدّد المهاجمون أهدافهم؟
استخدم المهاجمون مجموعات واسعة من بيانات أرقام الهواتف وأدوات تحقق آلية لتحديد أرقام الهواتف المرتبطة بحسابات نشطة في منصات تداول العملات المشفّرة، بما في ذلك أكثر من 43,000 حساب على Crypto.com تم تحديدها من مجموعة بيانات ألمانية تضم 316,002 رقمًا.
ما الدور الذي لعبته أدوات الذكاء الاصطناعي في حملة التصيّد؟
استُخدمت مساعدات البرمجة بالذكاء الاصطناعي مثل GitHub Copilot وClaude Code في مهام البرمجة والبرمجة النصية وتغليف التطبيقات وأعمال البنية التحتية ضمن عملية التصيّد، وقام المشغّلون بالتبديل بين النماذج بعد مواجهة قيود الأمان.
ما الخطوات التي اتُّخذت بعد اكتشاف عملية ASTERIX؟
أخطرت Rapid7 مزوّدي الخدمات والسلطات المعنيين، بما في ذلك فريق أمان Apple، ونشرت نتائجها في 17 أغسطس 2026 للمساعدة في الحد من الحملة.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”ما هي عملية ASTERIX؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”عملية ASTERIX هي حملة تصيّد احتيالي بالعملات المشفّرة مدعومة بالذكاء الاصطناعي كشفتها Rapid7، استخدمت بيانات الهواتف والتحقق من الحسابات وتطبيقات محافظ مزيّفة لسرقة عبارات استرداد العملات المشفّرة.”}},{“@type”:”Question”,”name”:”كيف حدّد المهاجمون أهدافهم؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”استخدم المهاجمون مجموعات واسعة من بيانات أرقام الهواتف وأدوات تحقق آلية لتحديد أرقام الهواتف المرتبطة بحسابات نشطة في منصات تداول العملات المشفّرة، بما في ذلك أكثر من 43,000 حساب على Crypto.com تم تحديدها من مجموعة بيانات ألمانية تضم 316,002 رقمًا.”}},{“@type”:”Question”,”name”:”ما الدور الذي لعبته أدوات الذكاء الاصطناعي في حملة التصيّد؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”استُخدمت مساعدات البرمجة بالذكاء الاصطناعي مثل GitHub Copilot وClaude Code في مهام البرمجة والبرمجة النصية وتغليف التطبيقات وأعمال البنية التحتية ضمن عملية التصيّد، وقام المشغّلون بالتبديل بين النماذج بعد مواجهة قيود الأمان.”}},{“@type”:”Question”,”name”:”ما الخطوات التي اتُّخذت بعد اكتشاف عملية ASTERIX؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”أخطرت Rapid7 مزوّدي الخدمات والسلطات المعنيين، بما في ذلك فريق أمان Apple، ونشرت نتائجها في 17 أغسطس 2026 للمساعدة في الحد من الحملة.”}}]}
تم إعداد المقال بمساعدة الذكاء الاصطناعي ومراجعته من قبل الفريق التحريري.
