اختراق حساب منصّة التداول: كلمة المرور سليمة والرصيد ناقص، فمن أين دخلوا؟
لحسابك ثلاثة أبواب: الدخول والسحب والتداول. لكل باب قفل مختلف، وما يُسترجع بعد الاختراق يتحدّد بأي باب فُتح وكم دقيقة مرّت.
| الباب | ماذا يحدث إذا فُتح وحده | القفل العملي |
|---|---|---|
| الدخول | يدخل أحدهم إلى الحساب دون أن يسحب شيئًا بالضرورة | مفتاح مرور أو تطبيق مصادقة، وإخراج الرسائل النصية من مسار الاسترجاع، وتحصين البريد |
| السحب | الأصول تخرج على الشبكة، وهذه المرحلة لا رجعة فيها | قائمة عناوين بيضاء مع مهلة انتظار، وقفل سحب لفترة محدّدة |
| التداول | الرصيد ينقص وسجلّ السحب فارغ | حذف مفاتيح API غير المستعملة، وقراءة فقط، وتقييد بعناوين IP |
| القاعدة الزمنية: ما دام المال داخل المنصّة فالتجميد ممكن. بعد تأكّد المعاملة على الشبكة لا يملك أحد إرجاعها. لذلك يسبق إقفالُ الحساب تغييرَ كلمة المرور. | ||
1. حساب المنصّة عند من يحوّل دخله شهريًا: ممرّ مال بثلاثة أبواب
2. رسالة على واتساب ورقم معلّق بالإقامة: مدخلان محلّيان قبل أي كلام تقني
3. باب الدخول: كيف يُفتح الحساب دون كسر كلمة المرور
4. المصادقة الثنائية تُغلق بابًا واحدًا وتترك ثلاث فجوات
5. من يملك بريدك يملك مفاتيح بقيّة حساباتك
6. باب السحب: ما تقفله القائمة البيضاء وما تتركه مفتوحًا
7. باب التداول: كيف ينقص الرصيد دون عملية سحب واحدة
8. ما الذي جعل هذه الهجمات أرخص وأسرع؟ أرقام بسنواتها ومصادرها
9. إذا شككت أن الحساب اختُرق: ترتيب الإقفال في الدقائق الأولى
10. ما الذي يُسترجع فعلًا، وأين يُقدَّم البلاغ في الخليج
11. تركيب الأقفال على الأبواب الثلاثة قبل أن يقع شيء
12. عبارات شائعة عن أمان الحسابات تحتاج تصحيحًا
13. مصطلحات تتكرر في صفحات الأمان ولا يشرحها أحد
الراتب ينزل، وجزء منه يتحوّل إلى عملة مستقرّة على المنصّة، ثم يخرج إلى الأهل بعد يوم أو يومين. لمن يعيش هذه الدورة، حساب المنصّة ممرّ يمرّ منه مال الأسرة قبل أن يكون أداة استثمار. وأغلب ما يُكتب عن حماية هذا الحساب يدور حول كلمة المرور والرمز الذي يليها، بينما الحالات التي تصل إلى الدعم تحكي شيئًا آخر: صاحب الحساب لم يفقد كلمة مروره ولم يُعطِ رمزًا لأحد، ومع ذلك نقص الرصيد. السبب أنّ للحساب ثلاثة مداخل منفصلة، وأنّ القفل الذي وضعه معظم الناس يقفل مدخلًا واحدًا منها.
1. حساب المنصّة عند من يحوّل دخله شهريًا: ممرّ مال بثلاثة أبواب
الحساب على أي منصّة كبيرة يُدار في الخلفية عبر ثلاث صلاحيات منفصلة تمامًا: صلاحية الدخول إلى
الحساب، وصلاحية إخراج الأصول منه، وصلاحية إصدار أوامر بيع وشراء داخله. لكل صلاحية منها آلية تحقّق
خاصة بها، ولكل واحدة قفل مختلف. ومن أقفل الأولى وحدها بقي البابان الآخران مفتوحين عنده، وما يضيع
عند الاختراق حوالةُ الشهر التي ينتظرها أهلك في البيت.
ولأنّ الصلاحيات منفصلة، فالاختراق أيضًا ينفصل. يمكن أن يدخل أحدهم إلى الحساب ولا يستطيع سحب
شيء. ويمكن أن ينقص الرصيد دون أن تُسجَّل عملية سحب واحدة. ويمكن أن يخرج المال دون أن يظهر في سجلّ
الدخول أنّ أحدًا سجّل دخوله. هكذا يتصرّف كل باب حين يُفتح وحده. والجدول التالي خريطة المقال كلّه.
| الباب | كيف يُفتح | ما الذي يقفله | الوهم الشائع |
|---|---|---|---|
| باب الدخول | كلمة المرور + المصادقة الثنائية + مسار استرجاع الحساب | مفتاح مرور أو مفتاح أمان، تطبيق مصادقة، إخراج الرسائل النصية من مسار الاسترجاع، تحصين البريد | «فعّلت المصادقة الثنائية، انتهى الموضوع» |
| باب السحب | طلب سحب إلى عنوان | قائمة عناوين بيضاء + مهلة انتظار للعنوان الجديد + قفل سحب لمدة محدّدة | «القائمة البيضاء تمنع كل شيء» |
| باب التداول | صلاحيات مفتاح API | فصل الصلاحيات، تقييد عناوين IP، حذف المفاتيح غير المستعملة، منع صلاحية السحب | «ما كنت أعرف أنّ هذا الباب موجود» |
وإذا كنت تشكّ الآن أنّ حسابك اختُرق، فابدأ من فقرة ترتيب الإقفال في الدقائق الأولى ثم عد إلى
هنا. ومن يبدأ من الصفر فالأفضل أن يقرأ دليل البداية في العملات الرقمية جنبًا إلى
جنب مع هذا.
2. رسالة على واتساب ورقم معلّق بالإقامة: مدخلان محلّيان قبل أي كلام تقني
في الخليج يبدأ أكثر ما يصل إلى الدعم من نقطتين لا علاقة لهما بالتقنية: رسالة تصل على واتساب،
ورقم جوال معلّق بورقة الإقامة. كلاهما يقع خارج شاشة المنصّة، ولا ينفع فيهما طول كلمة المرور.
«خدمة عملاء المنصّة» في محادثة خاصة. تنبيه عن نشاط مريب على حسابك، ورابط لتأكيد الهوية،
وموظّف مهذّب يردّ خلال ثوانٍ ويطمئنك. تنجح هذه البداية عندنا لأنّ واتساب وتيليجرام قناة كل شيء تقريبًا،
من موعد المستوصف إلى ترتيب الحوالة، فلا يبدو غريبًا أن تصل المنصّة من الباب نفسه. والقاعدة التي تحسم
الأمر أنّ منصّات التداول لا تبدأ محادثة معك على أي من التطبيقين، ولا تطلب رمز تحقّق، ولا تطلب وصولًا
إلى شاشتك. قناتها تذكرة الدعم داخل التطبيق ولا شيء غيرها.
الرقم الذي يمشي مع الإقامة. رقم الجوال هنا مرتبط بمشغّل محلّي وبإقامة لها تاريخ انتهاء،
والحياة العملية تفرض تغييره من حين لآخر: تنتقل من مشغّل إلى آخر، أو تنتهي إقامتك فتغادر ويُعاد الرقم
إلى الشركة بعد فترة، أو تحتفظ برقمين وتترك أحدهما يخمد. والحساب على المنصّة يبقى مربوطًا بالرقم القديم
في خانة الاسترجاع. رقم أُعيد إصداره لشخص آخر يعني أنّ رسائل التحقّق تصل إلى من لا تعرفه، وأنّ طريق
استرجاع حسابك صار بيد غيرك دون أن يُخترق شيء: لا مهاجم ولا برمجية خبيثة، والباب مع ذلك مفتوح لمن أخذ
الرقم بعدك. ومن يحوّل جزءًا من راتبه شهريًا إلى أهله فهذه أقرب نقطة قد تقطع عليه الحوالة.
في المنصّة والبريد وحدّث الرقم أو احذفه من مسارات الاسترجاع أولًا. تحديث الرقم بعد فقدانه أصعب بكثير،
لأنّ إثبات ملكية الحساب نفسه يمرّ عادةً عبر ذلك الرقم.
ورسالة ثالثة تأتي بعد وقوع الحادثة. يصلك على القناة نفسها حساب يحمل شعار المنصّة أو اسم
«فريق الاسترجاع» أو «محقّق بلوكتشين»، ويعرض إعادة أموالك مقابل رسوم مقدّمة أو «ضريبة إفراج» أو مبلغ
لتغطية «رسوم الشبكة». هذه المرحلة الثانية من الهجوم نفسه. لا جهة رسمية ولا دعم منصّة يطلب مالًا مقدّمًا مقابل استرجاع، وصياغات هذه الرسائل المتكرّرة
مجموعة في دليل أنماط الاحتيال.
3. باب الدخول: كيف يُفتح الحساب دون كسر كلمة المرور
باب الدخول يُفتح بأربعة مسارات معروفة، ولا يقوم أيٌّ منها على كسر كلمة المرور. أمّا أن يجلس أحدهم
أمام شاشة يجرّب الكلمات حتى تُفتح فأمر موجود، لكنّه أبطأ ما في القائمة وأقلّه نفعًا. وما يقع فعلًا
يبدأ عادةً بكلمة مرور صحيحة في يد غيرك.
الطريق الأول: كلمة مرور صحيحة مسرّبة من مكان آخر. حين يُخترق متجر إلكتروني أو منتدى قديم
سجّلت فيه قبل سنوات، يخرج بريدك وكلمة مرورك في قائمة. تُجرَّب القائمة آليًا على مئات المواقع، ومنها
منصّات التداول. لا يُكسَر هنا شيء، والعملية كلّها تقوم على عادة تكرار الكلمة نفسها في أكثر من
موقع.
الطريق الثاني: صفحة تسجيل دخول تنقل ما تكتبه إلى الموقع الحقيقي لحظةً بلحظة. الصفحة المزيّفة
تجلس في المنتصف وتمرّر كل حرف تكتبه إلى المنصّة الحقيقية في اللحظة نفسها. وحين تفتح تطبيق المصادقة
وتُدخل الرمز المكوّن من ستة أرقام، يمرّ الرمز كما هو، فيكتمل الدخول عنده قبل أن ينتهي عدّاد الثلاثين
ثانية. وهنا نقطة يجهلها
كثيرون: لا فرق بين رمز يصل برسالة نصية ورمز من تطبيق مصادقة أمام هذا الأسلوب. كلاهما يمرّ.
والذي يوقف هذا الأسلوب من أصله وسيلة دخول مرتبطة باسم النطاق نفسه، أي مفتاح المرور (passkey) أو
مفتاح الأمان المادي. المفتاح هنا يفحص العنوان الذي يخاطبه قبل أن يوقّع، فإن كان غير الموقع الذي
سُجّل عليه رفض التوقيع، ولا ينفع معه أنّ الصفحة مطابقة للعين حرفًا بحرف.
الطريق الثالث: سرقة الجلسة بدل سرقة كلمة المرور. هذا أهدأ الطرق وأكثرها إفلاتًا من
الانتباه. حين تسجّل دخولك ويسألك المتصفّح «تذكّرني»، يُحفظ في جهازك ملف صغير يثبت للمنصّة أنّك دخلت
فعلًا (كوكي الجلسة). برنامج خبيث يصل إلى الجهاز عبر نسخة مقرصنة أو إضافة متصفّح أو مرفق، ينسخ هذا الملف
ويُرسله خلال دقائق من الإصابة. المهاجم يضعه في متصفّحه فيجد الحساب مفتوحًا أمامه دون كلمة مرور ودون
رمز. والنقطة الجوهرية أنّه لا يحدث حدث تحقّق أصلًا، فلا توجد لحظة تتدخّل فيها المصادقة
الثنائية. وعائلات هذه البرمجيات معروفة بأسمائها مثل LummaC2 وRedLine وRaccoon وVidar. وهذه العائلة تحديدًا تستهدف
الكريبتو، فتمرّ على ملفات المحافظ المحلّية وعلى أي ملف نصّي كُتبت فيه العبارة الاحتياطية. إن حصل ذلك
فالمسألة تتجاوز حساب المنصّة، وتفصيلها في مقال
تسرّب العبارة الاحتياطية.
الطريق الرابع: تبديل شريحة SIM (انتزاع الرقم). يتّصل المهاجم بشركة الاتصالات ويقنع الموظّف
بأنّه صاحب الخط، ويطلب نقل الرقم إلى شريحة جديدة. المدخل الغالب هنا هندسة اجتماعية على خدمة العملاء أو
شراء ذمّة موظّف داخلي، ولا يوجد في المسار كلّه أي اختراق تقني لجهازك أو لحسابك. لهذا لا تنفع كلمة
مرور طويلة ولا جهاز حديث في منعه. وبمعزل عن الشريحة، من يملك وصولًا إلى شبكة الإشارات بين المشغّلين
يستطيع اعتراض الرسائل النصية وهي في الطريق دون أن يمسّ حسابك لدى المشغّل ولا هاتفك، وهذا موثّق في
عروض باحثين وشهادات أمام الكونغرس الأمريكي.
الإنترنت عبر الواي فاي وتصل إشعارات التطبيقات. الانقطاع العابر يحدث، لكن استمراره ساعة في مكان
تغطيته جيدة يستحقّ اتصالًا بالمشغّل من خط آخر قبل أي شيء.
4. المصادقة الثنائية تُغلق بابًا واحدًا وتترك ثلاث فجوات
تفعيل المصادقة الثنائية خطوة صحيحة ومهمّة، والحسابات التي بلا مصادقة ثنائية تُفتح أسرع بكثير.
المشكلة في الجملة التي تأتي بعدها: «أنا مؤمَّن». هناك ثلاث حالات تمرّ من فوق هذه الطبقة، وكل حالة
تمرّ بطريقة مختلفة.
الحالة الأولى: الرمز محميّ، والباب الخلفي مفتوح. فعّلت تطبيق المصادقة، لكن صفحة «نسيت كلمة
المرور» ما زالت تقبل التحقّق برسالة نصية أو ببريد. المهاجم لا يحتاج إلى تجاوز التطبيق حين يستطيع
ببساطة أن يسلك مسار الاسترجاع. صفحة «نسيت كلمة المرور» تفتح الحساب برسالة نصية حتى لو كان فوقها
تطبيق مصادقة.
الحالة الثانية: الرمز يمرّ لحظيًا. شرحها في القسم السابق. أي رمز مؤقّت، سواء وصل برسالة أو
ولّده تطبيق على هاتفك، قابل للتمرير عبر صفحة وسيطة خلال ثوانٍ صلاحيته.
الحالة الثالثة: لا يوجد تحقّق من الأساس. كوكي الجلسة المسروق يجعل المهاجم يبدأ من نقطة ما
بعد تسجيل الدخول. لا توجد محاولة دخول ليعترضها التطبيق، ولا إشعار «تسجيل دخول من جهاز جديد» بالضرورة.
هذه الحالة هي الأقلّ شهرة والأصعب اكتشافًا، والردّ العملي عليها يقع خارج خانة المصادقة كلّها: نظافة
الجهاز، ومراجعة الجلسات المفتوحة وإنهاؤها دوريًا.
| وسيلة التحقّق | هل تمنع انتزاع الرقم؟ | هل تمنع التصيّد بالتمرير اللحظي؟ | هل تمنع سرقة كوكي الجلسة؟ |
|---|---|---|---|
| رمز عبر رسالة نصية (SMS) | لا | لا | لا |
| تطبيق مصادقة (TOTP) | نعم | لا | لا |
| مفتاح مرور (passkey) أو مفتاح أمان مادي | نعم | نعم | لا، لأنّ الهدف ما بعد الدخول |
| مراجعة الأجهزة والجلسات + نظافة الجهاز | لا ينطبق | لا ينطبق | الردّ العملي الوحيد على هذا المسار |
الخلاصة العملية من الجدول خطوة واحدة تُنفَّذ الآن: افتح صفحة الأمان وأخرج الرسائل النصية من مسار
استرجاع الحساب، ثم فعّل مفتاح مرور إن كانت المنصّة تدعمه. الخيار الذي تعرضه عليك أغلب المنصّات
تلقائيًا هو أضعف ما في القائمة، ولا يتغيّر إلا بيدك أنت.
5. من يملك بريدك يملك مفاتيح بقيّة حساباتك
رابط إعادة ضبط كلمة المرور يصل إلى البريد، وكذلك تنبيه عنوان السحب الجديد، ورمز تأكيد الجهاز
الجديد، وطلب مراجعة الحساب لدى الدعم. من يملك البريد يملك سلسلة الاسترجاع كلّها. لذلك فإنّ تحصين حساب المنصّة وترك البريد
بكلمة مرور قديمة وبلا مصادقة ثنائية يؤجّل المشكلة ولا يحلّها.
الحادثة التي تشرح هذه النقطة أفضل من أي كلام نظري وقعت على Coinbase وطالت ما لا يقلّ عن 6,000
مستخدم في الفترة الممتدة من مارس إلى 20 مايو 2021. تُتداول هذه الحادثة كثيرًا على أنّها انتزاع شرائح،
وهذا غير دقيق. السبب الفعلي كان خللًا في إجراء استرجاع الحساب المعتمد على الرسائل النصية. كان
المهاجمون يعرفون البريد وكلمة المرور ورقم الهاتف، وكانوا يملكون وصولًا إلى بريد الضحية، ومن
خلال ذلك الخلل تجاوزوا التحقّق الثاني النصّي. ورجّحت الشركة أنّ بيانات الاعتماد جُمعت عبر تصيّد.
عوّضت Coinbase المتضرّرين وعدّلت إجراء الاسترجاع لاحقًا. وما يبقى من الحادثة أنّ مسار الاسترجاع هو الباب الخلفي
الحقيقي، وأنّ البريد كان في قلب المسار.
عمليًا يعني هذا أنّ للبريد المستعمل مع المنصّات وضعًا خاصًا. بريد منفصل عن البريد الذي تسجّل به في
المتاجر والتطبيقات، بكلمة مرور فريدة، وبمفتاح مرور أو مفتاح أمان، ومسار استرجاعه لا يعتمد على رسالة
نصية. وبهذا لا يبقى للمهاجم بابٌ يبدأ منه إعادة ضبط كلمة المرور.
6. باب السحب: ما تقفله القائمة البيضاء وما تتركه مفتوحًا
لنفترض أنّ الباب الأول فُتح رغم كل شيء. هنا يبدأ دور الباب الثاني، وهو الباب الذي يقف بين المهاجم
وبين إخراج الأصول فعليًا. أدوات هذا الباب موجودة في كل منصّة كبيرة تقريبًا، وإن اختلفت مسمّياتها من
واحدة إلى أخرى داخل صفحة إعدادات الأمان.
القائمة البيضاء لعناوين السحب. تُفعّلها فيصير السحب ممكنًا إلى عناوين سجّلتها مسبقًا فقط. أي
عنوان آخر يُرفض حتى لو كان الحساب مفتوحًا أمام المهاجم بالكامل. وأهمّ من التفعيل نفسه ما يحيط به:
إضافة عنوان جديد إلى القائمة تخضع عادةً لمهلة انتظار تتراوح بين 24 و48 و72 ساعة حسب المنصّة والحالة،
وإيقاف الخاصية نفسه يفرض قيدًا زمنيًا على السحب (على Binance مثلًا يترتّب على تعطيلها منع السحب 24
ساعة). هذه المهل هي جوهر الحماية، لأنّها تحوّل عملية كانت تستغرق دقيقتين إلى عملية تحتاج يومًا، واليوم
كافٍ لوصول إشعار إليك ولإقفال الحساب.
قفل السحب لمدّة محدّدة. بعض المنصّات أضافت خاصية تسمح لك بإقفال السحب على الشبكة لفترة
تختارها (تتراوح مثلًا بين يوم وسبعة أيام)، وتُعلن أنّها لا تستطيع هي نفسها فكّ القفل قبل انتهاء
المدّة. الاستعمال الطبيعي لها هو فترات السفر أو الفترات التي لا تنوي فيها تحريك شيء، ووظيفتها أنّها
تُغلق الباب من جهة لا يملك المهاجم فيها أي مدخل، ولا حتى عبر الدعم الفني.
رمز مكافحة التصيّد. عبارة تختارها أنت، فتظهر داخل كل رسالة رسمية تصلك من المنصّة على البريد
أو الجوال (متاح على Binance وBybit وOKX وغيرها). أي رسالة تدّعي أنّها من المنصّة ولا تحمل عبارتك
مزيّفة، وهذا حكم قاطع لا يحتاج تدقيقًا في اسم المرسِل. وهي العلامة الجاهزة الوحيدة التي تحسم أمر
رسائل «خدمة العملاء» التي تحدّثنا عنها.
إدارة الأجهزة والجلسات. صفحة تعرض الأجهزة المسجَّل دخولها والجلسات النشطة، وتتيح إنهاءها عن
بُعد. الجلسة المسروقة لا يكشفها سجلّ الدخول ولا إشعارات الحساب، وإنهاء الجلسات من هذه الصفحة يقطعها
في اللحظة نفسها ويفرض تسجيل دخول جديدًا على كل جهاز. وبعض المنصّات تضيف طبقات مستقلّة كـ«كلمة مرور الأموال» أو «موافقة التداول» لدى Bybit،
وهي أقفال إضافية منفصلة عن كلمة مرور الدخول.
للدخول، والأوامر تبقى قابلة للإصدار، ولا علاقة لها بصلاحيات مفاتيح API. من يظنّ أنّه أنهى الموضوع
بتفعيلها يكون قد أقفل بابًا واحدًا من ثلاثة. وإذا وجدت سحبًا عالقًا أو حسابًا مقفلًا فجأة، فالتفصيل
في تجميد السحب وقفل الحساب والسحب العالق قيد المعالجة.
7. باب التداول: كيف ينقص الرصيد دون عملية سحب واحدة
الباب الثالث هو الأقلّ ذكرًا والأغرب في نتائجه: الرصيد ينقص وسجلّ السحب فارغ تمامًا. الآلية بسيطة.
مفتاح API هو وسيلة تسمح لبرنامج خارجي بالتعامل مع حسابك دون كلمة مرور ودون رمز تحقّق. من ينشئ مفتاحًا
لروبوت تداول أو لتطبيق يتابع المحفظة يمنح ذلك البرنامج صلاحيات دائمة، والصلاحيات قابلة للفصل: قراءة
فقط، أو تداول، أو سحب.
الحادثة التي أثبتت أنّ هذا باب مستقلّ وقعت مع خدمة روبوتات التداول 3Commas، حيث تسرّب ما يقارب
100,000 مفتاح API لحسابات على منصّات مختلفة. المهاجمون لم يحاولوا السحب أصلًا، لأنّ أغلب
المفاتيح لم تكن تملك تلك الصلاحية. ما فعلوه أنّهم أصدروا أوامر تداول غير مصرَّح بها على أزواج
ضعيفة السيولة: يشترون بحساب الضحية بسعر مرتفع مقابل أوامر بيع وضعوها هم، فينتقل الفارق إليهم بينما
يبقى «الرصيد» في حساب الضحية على هيئة عملة لا تساوي ما دُفع فيها. لا سحب، ولا عنوان خارجي، ولا شيء
تمنعه القائمة البيضاء. ورافق ذلك تصيّد بمواقع تنتحل اسم الخدمة نفسها لجمع مفاتيح إضافية. وتكرّر النمط
في واقعة أخرى عبر خدمة روبوت (Skyrex) أدّت إلى تسرّب مفاتيح واستُعملت لإصدار أوامر شراء لرمز AXS
بنحو مليون دولار من حساب على Binance.
القواعد العملية هنا قليلة وواضحة. لا تُمنح صلاحية السحب لأي روبوت أو خدمة خارجية مهما كانت
سمعتها، والصلاحية المطلوبة للمتابعة والتحليل هي القراءة فقط. تقييد المفتاح بعناوين IP محدّدة (متاح
على OKX وعدد من المنصّات) يجعل المفتاح المسروق بلا قيمة خارج ذلك العنوان. والأهم عمليًا هو المراجعة:
افتح صفحة إدارة API في حسابك واحذف كل مفتاح لا تستعمله اليوم. مفاتيح أُنشئت لتجربة روبوت قبل سنتين
ونُسيت تبقى فعّالة، وهي الحالة الأكثر تكرارًا. من لم ينشئ مفتاحًا قط فبابه الثالث مغلق أصلًا، ومع ذلك
تستحقّ الصفحة نظرة واحدة للتأكّد.
فالصلاحيات هناك تعمل بمنطق شبيه لكنّه منفصل تمامًا، وتُدار عبر
سحب صلاحيات الرموز الممنوحة للعقود. الباب الذي نتحدّث عنه هنا داخل المنصّة فقط.
8. ما الذي جعل هذه الهجمات أرخص وأسرع؟ أرقام بسنواتها ومصادرها
الأرقام في هذا القسم مجمّعة عمدًا في مكان واحد، لأنّ لكلٍّ منها سنة وجهة إحصاء، ولأنّ الأرقام تتغيّر
بينما الأبواب الثلاثة لا تتغيّر. اقرأها بوصفها قياسًا لحجم الظاهرة في سنواتها المذكورة.
- التصيّد صار منتجًا يُشترى. عُدد جاهزة تُباع كخدمة، مع قوالب تحاكي شاشات دخول منصّات بعينها
وأتمتة للاستيلاء على الحساب (نموذج BlueKit كما حلّلته CloudSEK). الأثر أنّ تنفيذ الهجوم لم يعد
يستلزم خبرة تقنية. - نقل الرقم صار عن بُعد. مع الشرائح الإلكترونية انضغط زمن تفعيل الرقم على جهاز آخر إلى ما دون
خمس دقائق، بعد أن كان يستلزم زيارة فرع واستلام شريحة. - برمجيات سرقة المعلومات: نحو 5.8 مليون جهاز مصاب ونحو 1.8 مليار بيان اعتماد مسروق في حصيلة
2025، وظهور كلمات المرور المسروقة وكوكيز الجلسات في 86% من حوادث الاختراق. - إعادة استعمال بيانات الاعتماد: يعيد نحو 80% إلى 85% من الناس استعمال كلمة المرور نفسها،
وفي حصيلة 2025 نشأت 22% من الحوادث عن حشو بيانات الاعتماد، وضمّت 31% من مجموع الحوادث بيانات
اعتماد مسروقة. - انتزاع الشرائح في الإحصاء الأمريكي (IC3): 982 بلاغًا بخسائر 25,983,946 دولارًا في سنة 2024،
مقابل 2,026 بلاغًا بخسائر 72,652,571 دولارًا في سنة 2022. وفي تقرير 2025 شكّل انتزاع الشرائح 10% ضمن
أبرز خمسة تهديدات. - خارج الولايات المتحدة: سجّلت Cifas البريطانية 289 حالة انتزاع شريحة غير مصرَّح به في 2023
مقابل نحو 2,900 حالة في 2024 (زيادة تقارب 1,055%)، وأفادت IDCARE الأسترالية بارتفاع استشارات نقل
الرقم وانتزاع الشريحة بنحو 240% في 2024 مقارنةً بـ2023. - استنساخ الصوت: ثوانٍ معدودة من تسجيل تكفي لتوليد صوت مشابه، وتشير تحليلات إلى أنّ أدوات جيل
2026 تجتاز التحقّق الصوتي لدى موظّف بشري بنسبة تقارب 70% إلى 80%، مع إحصاء يشير إلى ارتفاع محاولات
الاحتيال بالتزييف العميق بنحو 1,300%. - المعايير والمنصّات: الإصدار الرابع من دليل الهوية الرقمية لدى NIST (SP 800-63B-4، نُشرت
نسخته النهائية في 31 يوليو 2025) وضع الرموز النصية والهاتفية في فئة الوسائل المقيَّدة، وأكّدت Google
في 24 فبراير 2025 توجّهها لاستبدال التحقّق النصّي في Gmail. وبالمقابل أظهر مسح أنّ نحو 61% من منصّات
الكريبتو كانت تعتمد الرسائل النصية افتراضيًا للتحقّق الثاني في 2024.
يعني انحسار الخطر. انتزاع الرقم في الغالب أوّل حلقة في سلسلة: يُنتزع الرقم، ثم تُعاد كلمة مرور
البريد، ثم يُفتح الحساب. والضحية تُبلّغ عن النتيجة التي رأتها (اختراق حساب، احتيال استثماري،
انتحال هوية)، فتُقيَّد الحادثة تحت تصنيف آخر ويظهر انتزاع الرقم أصغر من حجمه في كل الإحصاءات.
9. إذا شككت أن الحساب اختُرق: ترتيب الإقفال في الدقائق الأولى
هذا القسم مكتوب لمن يقرأ الآن وقلبه يدقّ. رتّب خطواتك بحسب ما يمكن إنقاذه في الدقيقة القادمة:
الأصول التي ما زالت داخل المنصّة قابلة للإنقاذ، والتي خرجت على الشبكة انتهت. نفّذ ما يلي بالترتيب
المكتوب.
- انتقل إلى جهاز آخر نظيف. إن كان الاختراق عبر برمجية خبيثة، فكل ما تكتبه على الجهاز المصاب
يصل إليهم فورًا، بما في ذلك كلمة المرور الجديدة. استعمل هاتف شخص تثق به أو جهازًا لم تستعمله في
التنزيل والتصفّح. - أقفل الحساب على المنصّة أولًا. أغلب المنصّات توفّر تعطيلًا فوريًا للحساب أو إيقاف السحب من
داخل إعدادات الأمان، وبعضها يوفّره عبر الدعم مباشرةً. هذه الخطوة تسبق تغيير كلمة المرور، لأنّ الهدف
منع خروج المال قبل أي شيء آخر. - أنهِ كل الجلسات والأجهزة. من صفحة إدارة الأجهزة، أخرِج الجميع. من دون هذه الخطوة يبقى
المهاجم داخلًا عبر جلسته حتى لو غيّرت كلمة المرور عشر مرات. - احذف مفاتيح API كلّها. دون استثناء، وحتى لو بدت قديمة وغير مستعملة. يمكن إنشاء مفاتيح جديدة
لاحقًا بهدوء. - انتقل إلى البريد فورًا. غيّر كلمة مروره، وأنهِ جلساته، ثم افحص ثلاثة أشياء تحديدًا: قواعد
إعادة التوجيه، ومرشّحات الرسائل التي قد تُخفي إشعارات المنصّة، وعناوين الاسترجاع وأرقام الهواتف
المضافة. المهاجم الذي يخطّط للبقاء يضيف مسار استرجاع خاصًا به ويترك لك الواجهة كما هي. - اتّصل بشركة الاتصالات إن كان الرقم متورّطًا. إذا انقطعت الشبكة أو وصلك إشعار بنقل الخط،
اتّصل من خط آخر واطلب إيقاف الشريحة الجديدة واسترجاع الرقم، واطلب تدوين بلاغ احتيال لديهم برقم مرجع.
رقم المرجع هذا يُطلب لاحقًا في البلاغ الشرطي. - وثّق قبل أن يختفي. صوّر سجلّ الدخول، وسجلّ عمليات السحب، ومعرّفات المعاملات على الشبكة
(TxID)، وعناوين الوجهة، والتوقيتات. المنصّات قد تُخفي بعض السجلّات عن الحساب المقفل، والجهات الرسمية
تطلب هذه التفاصيل. - نظّف الجهاز أو اعزله. لا تعد إلى استعمال الجهاز المشتبه به لإدارة المال قبل فحصه أو إعادة
ضبطه من المصنع. ولا تنقل ملفات منه إلى الجهاز الجديد.
وإذا وجدت أنّ المنصّة سبقتك وأقفلت الحساب من طرفها، فهذا في العادة إجراء حماية بعد رصد نشاط شاذّ،
وتفاصيل التعامل معه في مقال تجميد السحب وقفل الحساب. وإن كان الموضوع إيداعًا لم يصل
بدل سحب خرج، فالمسار مختلف تمامًا ومشروح في إيداع لم يُقيَّد في الحساب.
ولا تشارك شاشتك عبر برنامج وصول عن بُعد، ولا تعطِ العبارة الاحتياطية لأحد بأي حال. أي طلب من هذا
النوع أثناء الأزمة هو الاحتيال الثاني وقد بدأ.
10. ما الذي يُسترجع فعلًا، وأين يُقدَّم البلاغ في الخليج
السؤال الذي يتكرّر بصيغة واحدة تقريبًا: «هل يرجع المال؟». الإجابة تتحدّد بموقع المال في هذه
اللحظة وحده، مهما كان حجم المبلغ. والجدول التالي يختصر الحالات الستّ.
| أين المال الآن | هامش الاسترجاع | ما الذي يحدّده |
|---|---|---|
| ما زال داخل الحساب على المنصّة (قبل السحب) | قائم | سرعة إقفال الحساب. هذه هي المرحلة الوحيدة التي تملك فيها المنصّة صلاحية التجميد فعليًا |
| طلب سحب قيد المراجعة أو الانتظار | ممكن | وجود مهلة انتظار أو تعليق أمني يجعل طلب الإلغاء قابلًا للوصول قبل التنفيذ |
| خرج على الشبكة وتأكّدت المعاملة | معدوم عمليًا | لا أحد يملك إلغاء معاملة مؤكَّدة. ما يبقى بعدها هو التتبّع والبلاغ فقط |
| وصل إلى حساب على منصّة أخرى | محدود | طلب تجميد عبر جهة رسمية هو السبيل الوحيد الذي يُجدي، وقيمته في سرعة البلاغ |
| مرّ إلى محفظة خاصة أو خلّاط أو جسر بين الشبكات | شبه معدوم | لا يوجد إجراء فردي فعّال في هذه المرحلة |
| تبخّر عبر أوامر تداول غير مصرَّح بها دون سحب | شبه معدوم | الأمر المنفَّذ ليس قابلًا للإلغاء، والمسألة تصبح تقديرًا داخليًا من المنصّة |
ثلاث ملاحظات تُقرأ مع الجدول. الأولى أنّ فرصة الاسترجاع تنكمش بسرعة كبيرة مع الوقت. بلاغٌ خلال عشر
دقائق يمسك المال وهو ما زال داخل الحساب، وبعد ساعتين يكون قد خرج على الشبكة ونزل إلى السطر الذي يقول
«معدوم عمليًا» في الجدول أعلاه.
الثانية أنّ تعويض المنصّة للمتضرّر يحدث، وحدث فعلًا في حادثة Coinbase المذكورة سابقًا، لكنّ
الاستثناء لا يُقاس عليه. الصياغة الشائعة في شروط الخدمة تضع إدارة وسائل التحقّق ومسؤولية حماية بيانات الدخول
على المستخدم، فاقرأ بند المسؤولية في شروط منصّتك قبل أن تترك فيها مبلغًا يهمّك.
الثالثة أنّ تتبّع المعاملة على الشبكة متاح مجانًا لأي أحد، وكثيرون يحسبونه استرجاعًا. رؤية
العنوان الذي وصل إليه المال لا تمنحك القدرة على تحريكه ما دمت لا تملك مفاتيحه. التفصيل الكامل لهذه النقطة في
مقال احتمالات استرجاع الأموال بعد الاحتيال.
والبلاغ الذي يفتح هذه الاحتمالات يُقدَّم على خطّين في وقت واحد، لأنّ كل خطّ يعالج جزءًا مختلفًا من
الحادثة.
الخط الأول: الجرائم الإلكترونية لدى الشرطة المحلّية. أغلب دول الخليج توفّر قناة إلكترونية
لتقديم بلاغ الجرائم الإلكترونية إلى جانب مراكز الشرطة، ومنها منصّة eCrime في الإمارات و«كلنا أمن» في السعودية. البلاغ هنا هو
ما يفتح الباب أمام أي مخاطبة رسمية لمنصّة أخرى وصل إليها المال. اذهب إليه ومعك ما وثّقته: معرّفات
المعاملات، وعناوين الوجهة، وسجلّ الدخول، والتوقيتات، ورقم مرجع بلاغ شركة الاتصالات إن وُجد.
الخط الثاني: قسم مكافحة الاحتيال لدى شركة الاتصالات. يخصّ حالات نقل الخط أو إصدار شريحة
بديلة. اطلب إيقاف الشريحة الجديدة وإرجاع الرقم، وأصرّ على تسجيل الطلب بلاغَ احتيال برقم مرجع
مكتوب، فالمكالمة العابرة مع خدمة العملاء لا تترك أثرًا يثبت به لاحقًا أنّ الرقم كان خارج سيطرتك
ساعة الاختراق.
ثم تأتي مسألة تحدّد سرعة كل ما سبق: هل المنصّة مرخَّصة محلّيًا أم عالمية بلا كيان في بلدك؟ إن كانت
مرخّصة لدى جهة تنظيم الأصول الافتراضية في بلدك (VARA في دبي أو FSRA في سوق أبوظبي العالمي)، فأمامك قناة شكوى تنظيمية إلى جانب الدعم الفني، والمخاطبة الرسمية تجد جهة محلّية
تستقبلها. أمّا مع منصّة عالمية بلا كيان محلّي، فالطريق الواقعي هو تذكرة الدعم الرسمية داخل التطبيق
لطلب التجميد، ثم مخاطبتها عبر الجهة الرسمية في بلدك، وهذا يستغرق وقتًا أطول. الفرق العملي أنّ الجهة
المرخّصة محلّيًا يصلها طلب التجميد في عشرات الدقائق لا في ساعات، وهذه الدقائق هي التي تمسك المال داخل
الحساب قبل خروجه. ومعايير تقييم المنصّة من هذه الزاوية
مشروحة في كيف تعرف أنّ منصّة التداول موثوقة.
11. تركيب الأقفال على الأبواب الثلاثة قبل أن يقع شيء
هذه قائمة العمل الفعلية، مرتّبة على الأبواب الثلاثة. تنفيذها كاملًا يستغرق نحو نصف ساعة مرّة
واحدة، ومراجعتها بعد ذلك دقائق كل بضعة أشهر.
على باب الدخول
- فعّل مفتاح مرور (passkey) أو مفتاح أمان مادي إن كانت المنصّة تدعمه. هذه الوسيلة الوحيدة التي توقف
التصيّد بالتمرير اللحظي، لأنّها لا توقّع إلا لاسم النطاق الأصلي. - وإن لم يكن متاحًا، فتطبيق مصادقة بدل الرسائل النصية. واحتفظ برموز الاحتياط في مكان غير متصل
بالإنترنت. - افتح مسار الاسترجاع وراجعه. هذه الخطوة يتخطّاها الجميع تقريبًا وهي الأهمّ. أخرج الرسائل
النصية من الاسترجاع حيثما أمكن، واحذف الأرقام القديمة، وتأكّد أنّ عنوان البريد المسجَّل هو البريد الذي
تسيطر عليه فعلًا. - بريد مخصَّص للمنصّات، منفصل عن بريد المتاجر والاشتراكات، بكلمة مرور فريدة ومصادقة قوية.
- كلمة مرور فريدة لكل حساب عبر مدير كلمات مرور. إعادة الاستعمال هي المدخل الأرخص من بين كل ما
ذُكر. - اسأل شركة الاتصالات عمّا تتيحه من قيود على الخط نفسه: منع نقل الرقم إلى مشغّل آخر، أو منع إصدار
شريحة بديلة دون حضور صاحب الخط. التسميات وحدود الخدمة تختلف من بلد إلى بلد ومن مشغّل إلى آخر، وبعضهم
لا يوفّرها أصلًا، والسؤال المباشر أسرع من البحث.
على باب السحب
- فعّل القائمة البيضاء لعناوين السحب وسجّل عناوينك المعتادة، واترك مهلة الانتظار للعناوين الجديدة
مفعّلة. - اضبط رمز مكافحة التصيّد، واحفظه في ذهنك. عبارة قصيرة لا تُخمَّن ولا تظهر في حساباتك العامة.
- استعمل قفل السحب المؤقّت في فترات السفر أو الفترات التي لا تنوي فيها تحريك شيء.
- راجع صفحة الأجهزة والجلسات وأنهِ كل ما لا تعرفه، واجعلها عادة كل بضعة أشهر.
على باب التداول
- افتح صفحة إدارة API واحذف كل مفتاح لا تستعمله اليوم.
- ما تبقّى: قراءة فقط ما لم يكن هناك سبب تشغيلي واضح، ولا صلاحية سحب لأي خدمة خارجية إطلاقًا،
وتقييد بعناوين IP إن كانت المنصّة تدعمه.
خارج الأبواب الثلاثة
- نظافة الجهاز: لا برامج مقرصنة ولا نسخ مفعّلة بطرق غير رسمية، ولا إضافات متصفّح مجهولة، ونظام
محدَّث. هذا هو أصل مسار سرقة الجلسة. - ما لا تنوي تحريكه هذا الشهر لا سبب لبقائه على المنصّة. الفرق بين الحفظ على المنصّة والحفظ الذاتي
وحدوده مشروح في دليل المحافظ.
هذه الإعدادات كلّها تُضبط من صفحة الأمان داخل حسابك، وأسماؤها ومواقعها تختلف قليلًا من منصّة إلى
أخرى وتتغيّر مع تحديثات الواجهة، فابحث عن الوظيفة داخل صفحة الأمان. وإن كنت تقارن قبل فتح حساب
جديد، فالمقارنة الكاملة في دليل مقارنة المنصّات. والبطاقات التالية تختصر الوصول إلى
صفحات التسجيل الرسمية للمنصّات التي تتوفّر فيها هذه الأدوات:
Binance
Bybit
OKX
Gate.io
KuCoin
إفصاح عن الروابط التابعة: بعض الروابط روابط شركاء. قد نحصل على عمولة دون أي تكلفة إضافية عليك. هذه ليست نصيحة استثمارية.
12. عبارات شائعة عن أمان الحسابات تحتاج تصحيحًا
هذه العبارات تتكرّر في المجموعات وفي تعليقات المقاطع، وكلٌّ منها صحيح جزئيًا وناقص في الجزء الذي
يهمّ.
| ما يُقال | الواقع |
|---|---|
| «كلمة مرور طويلة ومعقّدة تكفي» | كلمة المرور الصحيحة نفسها هي مدخل أكثر تلك المسارات، فطولها لا يغيّر شيئًا فيها |
| «فعّلت المصادقة الثنائية، الحساب آمن» | مسار الاسترجاع النصّي يتجاوزها، والتمرير اللحظي يمرّر رمزها، وسرقة الجلسة لا تُحدث تحقّقًا أصلًا |
| «القائمة البيضاء تمنع خروج أي شيء» | تقفل باب السحب وحده. صلاحية التداول عبر مفتاح API تُنقص قيمة الرصيد دون سحب |
| «أستعمل محفظة أجهزة، فلا يعنيني الأمر» | ما تحتفظ به على المنصّة لا علاقة له بمحفظة الأجهزة. مسألتان منفصلتان تمامًا |
| «المنصّة ستعوّض في النهاية» | حدث التعويض حين ثبت خلل لدى المنصّة نفسها. أمّا الشروط المعتادة فتضع إدارة وسائل التحقّق على المستخدم |
| «حادثة Coinbase كانت انتزاع شرائح» | السبب المعلن كان خللًا في إجراء الاسترجاع المعتمد على الرسائل النصية، والمهاجم كان يملك وصولًا للبريد |
| «الأرقام انخفضت، فالخطر تراجع» | انتزاع الرقم يُبلَّغ عنه عادةً بوصفه نتيجته (اختراق حساب أو انتحال هوية)، فيظهر أصغر من حجمه |
| «بعد الاختراق أستعين بشركة استرجاع» | من يطلب رسومًا مقدّمة لاسترجاع أموالك هو المرحلة الثانية من الهجوم نفسه |
13. مصطلحات تتكرر في صفحات الأمان ولا يشرحها أحد
هذه المصطلحات تظهر في صفحات الأمان وفي ردود الدعم الفني دون شرح، ومعرفتها تختصر نصف الحيرة.
- حشو بيانات الاعتماد (Credential stuffing): تجربة آلية لأزواج بريد وكلمة مرور مسرّبة من موقع
على مواقع أخرى، اعتمادًا على أنّ الناس يعيدون استعمال الكلمة نفسها. - التصيّد بالتمرير اللحظي (AiTM): صفحة وسيطة تنقل ما تكتبه إلى الموقع الحقيقي في اللحظة
نفسها، فيكتمل الدخول عند المهاجم بالرمز الذي أدخلته أنت. - كوكي الجلسة (Session cookie): ملف صغير يحفظه المتصفّح ليثبت للموقع أنّك سجّلت دخولك. من
يملكه يدخل دون كلمة مرور ودون رمز. - برمجيات سرقة المعلومات (Infostealer): برنامج خبيث يجمع من الجهاز كلمات المرور المحفوظة
وكوكيز الجلسات وملفات المحافظ، ويُرسلها خلال دقائق من الإصابة. - TOTP: الرمز المؤقّت المكوّن من ستة أرقام الذي يولّده تطبيق مصادقة على جهازك ويتغيّر كل ثلاثين
ثانية، دون حاجة إلى شبكة الاتصالات. - مفتاح المرور (Passkey): وسيلة دخول مرتبطة باسم النطاق ومحفوظة في جهازك، ترفض التوقيع لموقع
مزيّف حتى لو بدا مطابقًا تمامًا. ومفتاح الأمان المادي يعمل بالمنطق نفسه في قطعة منفصلة. - رمز مكافحة التصيّد: عبارة تختارها لتظهر داخل رسائل المنصّة الرسمية. غيابها من رسالة تدّعي
أنّها من المنصّة يكفي للحكم بأنّها مزيّفة. - صلاحيات مفتاح API: ما يُسمح به للبرنامج الخارجي المرتبط بحسابك، ويُفصل عادةً إلى قراءة
وتداول وسحب. لكل صلاحية أثر مختلف تمامًا عند التسرّب. - القائمة البيضاء لعناوين السحب: قائمة العناوين المسموح السحب إليها. أي عنوان خارجها يُرفض، وإضافة
عنوان جديد تخضع لمهلة انتظار. - تبديل شريحة SIM (انتزاع الرقم): نقل رقمك إلى شريحة يملكها شخص آخر بإقناع شركة الاتصالات، ودون أي
اختراق تقني لجهازك.
