البرامج الضارة لاختراق الحافظة وهجوم تسميم العناوين: تبديل محفظة العملات المشفرة أو رقم IBAN عند اللصق، والتحقق من الأحرف الوسطى والأخيرة¶

عندما تقوم بنسخ عنوان محفظة العملة المشفرة (BTC, ETH, USDT, SOL, TRX) أو رقم حساب مصرفي دولي (IBAN / SWIFT / ABA) ثم اضغط على لصق (Ctrl+V أو Cmd+V)، هناك تهديدان مختلفان يمكنهما إعادة توجيه أموالك بصمت إلى عصابة إجرامية: **برنامج ضار محلي Clipboard Hijacker ("Clipper") يعمل في ذاكرة جهاز الكمبيوتر الخاص بك والذي يقوم بتبديل النص داخل حافظة النظام لديك في أقل من 5 مللي ثانية، أو Vanity Address Poisoning Attack على السلسلة والذي يلوث سجل معاملات محفظتك باستخدام عنوان مشابه مزيف يطابق أول 4 إلى 6 وآخر 4 إلى 6 أحرف من وجهتك الحقيقية. يوفر هذا الدليل خطوات فورية لإلغاء blockchain أو المعاملات السلكية المعلقة، واكتشاف البرامج الضارة التي تراقب الحافظة المحلية وإزالتها، والتحقق من الأحرف الوسطى لكل عنوان وجهة قبل التوقيع على شاشة محفظة الأجهزة.

افعل هذا الآن¶

1. محاولة الاستبدال الفوري (Speed Up / Cancel) إذا كانت معاملة العملة المشفرة لا تزال معلقة في مجمع الذاكرة. افتح محفظتك (MetaMask, Rabby, Ledger Live, Electrum, Sparrow) وتحقق مما إذا كانت حالة المعاملة لا تزال معلقة / غير مؤكدة. في سلاسل Ethereum وEVM، انقر فورًا على Cancel (أو أرسل رسالة 0 ETH المعاملة إلى عنوانك الخاص باستخدام نفس الرقم المخصص بالضبط مع زيادة بنسبة 30 بالمائة في رسوم الغاز ذات الأولوية). على Bitcoin، قم بتنفيذ Replace-By-Fee (RBF) الإلغاء لتوجيه المدخلات مرة أخرى إلى محفظتك الخاصة قبل تعدين الكتلة التالية.
2. اتصل بوحدة مكافحة الاحتيال الإلكتروني في البنك الذي تتعامل معه على الفور إذا كان الأمر كذلك IBAN, ABAأو Sort Code تم تبديله عند اللصق. إذا قامت البرامج الضارة بالحافظة بتغيير رقم حساب مصرفي ملصق على سلك محلي، SWIFT نقل، أو SEPA للدفع، اتصل بخط الاحتيال الخاص بالبنك الذي تتعامل معه أو رقم الطوارئ المحلي لديك (911 في الولايات المتحدة وكندا، 112 في جميع أنحاء الاتحاد الأوروبي، 999 في المملكة المتحدة) للحصول على الأرقام المرجعية لجرائم الشرطة؛ انظر أرقام الطوارئ للاتصالات الدولية. اطلب فورا SWIFT MT192 / SEPA SCT Recall واذكر عدم التطابق بين اسم المستفيد واسم المقص البديل IBAN.
3. **حدد ما إذا كنت تواجه برنامج Local Clipper Malware أو تسمم العناوين على السلسلة. ** افتح محرر نص عادي (Notepad على ويندوز أو TextEdit على نظام التشغيل macOS)، انسخ عنوان محفظة معروفًا أو نموذج سلسلة (0x71C...89A)، والصقه في الملف النصي. إذا تحول النص الملصق إلى عنوان مختلف في اللحظة التي تضغط فيها Ctrl+V، جهازك مصاب بشكل نشط ببرنامج Clipper Malware؛ افصل الكمبيوتر عن شبكة Wi-Fi وEthernet على الفور. إذا لم يتغير النص الملصق في "المفكرة"، فقد قمت بنسخ العنوان المميز المسموم مباشرة من قائمة سجل المعاملات الأخيرة في محفظتك.
4. **تجميد منحدرات التبادل المركزي وتقديم طلب Tether (USDT) أو الدائرة (USDC) طلب القائمة السوداء للعقد الذكي. ** في حالة سرقة العملات المستقرة (USDT أو USDC) تم إرسالها إلى محفظة مسمومة أو مجزئة على Ethereum، Tron (TRC-20)، أو سولانا، تتبع تجزئة المعاملة (TXID) على كتلة اكسبلورر (Etherscan, Tronscan, Solscan) وأرسل تذكرة تجميد تنفيذ القانون في حالات الطوارئ إلى Tether (tether.to) أو دائرة (circle.com)، التي تمتلك مفاتيح العقود الذكية الإدارية (AddedBlackList / freeze) قادرة على تجميد المسروقة USDT/USDC مباشرة داخل محفظة المهاجم.
5. ** قم بإخلاء الأموال المتبقية من جهاز الكمبيوتر المصاب باستخدام جهاز منفصل ونظيف. ** لأن برنامج Clipper Malware (Laplas Clipper, ClipBanker, Lumma, RedLine) يتم تجميعها دائمًا تقريبًا داخل أداة سرقة بيانات الاعتماد والعبارات الأساسية الأوسع، افترض أن كل محفظة برامج (MetaMask, Phantom, Exodus) وكلمة المرور المحفوظة على هذا الكمبيوتر معرضة للخطر. لا تكتب العبارة الأولية أو المفاتيح الخاصة في الجهاز المصاب.

تشخيص الهجوم: البرامج الضارة المحلية لـ Clipper مقابل تسمم العناوين على السلسلة¶

على الرغم من أن كلا الهجومين يؤديان إلى وصول أموالك إلى محفظة المهاجم بدلاً من عنوان المستلم المقصود، إلا أن آلياتهما الفنية مختلفة تمامًا. يجب عليك تحديد الهجوم الذي حدث خلال أول 60 ثانية لأن Local Clipper Malware تعني أن نظام التشغيل الخاص بك قد تم اختراقه، بينما يحدث تسميم العناوين بالكامل على blockchain العامة دون أي برامج ضارة على جهازك.

1. كيف تعمل البرامج الضارة المحلية لـ Clipboard Hijacker ("Clipper").¶

المقص (Trojan.Clipper, Cryxos, ClipBanker, Laplas) عبارة عن عملية خلفية خفيفة الوزن، أو امتداد متصفح Chrome/Firefox ضار، أو حزمة مفتوحة المصدر مصابة بفيروس طروادة تسجل ارتباطًا بواجهة برمجة تطبيقات الحافظة لنظام التشغيل (AddClipboardFormatListener على ويندوز أو NSPasteboard على ماك). * ** مطابقة نمط Regex في الوقت الفعلي: ** في كل مرة تضغط فيها Ctrl+C (نسخ)، تقوم البرامج الضارة بفحص السلسلة المنسوخة مقابل التعبيرات العادية (Regex) تبحث عن الأنماط التي تطابق عنوان Bitcoin (bc1q..., 1..., 3...)، عنوان Ethereum/EVM (0x متبوعًا بـ 40 حرفًا سداسيًا عشريًا)، وهو ترون TRC-20 العنوان (T متبوعًا بـ 33 حرفًا)، أو عنوان Solana، أو عنوان أوروبي/بريطاني IBAN (DE89..., GB29...). * الاستبدال الفوري: في غضون 2 إلى 5 مللي ثانية، قبل أن تتحرك أصابعك من Ctrl+C ل Ctrl+V، تقوم البرامج الضارة بالكتابة فوق المخزن المؤقت لحافظة النظام لديك بعنوان مملوك للمهاجم. خدمات متقدمة مثل Laplas Clipper يمكنك حتى إنشاء عنوان مخصص في الوقت الفعلي سريعًا من قاعدة بيانات ضخمة محسوبة مسبقًا تضم ملايين عناوين المهاجمين بحيث تتطابق أول 3 إلى 4 أحرف وآخر 3 إلى 4 أحرف من عنوان الحافظة المستبدلة مع ما قمت بنسخه للتو.

2. كيفية عمل برنامج تسمم العنوان الغرور على السلسلة (بدون برامج ضارة)¶

في هجوم تسميم العنوان، لا يتم اختراق جهاز الكمبيوتر والهاتف والمحفظة. وبدلاً من ذلك، تقوم الجهات الفاعلة في تهديدات blockchain بتشغيل روبوتات آلية تراقب كل الجمهور USDT, USDC, ETH, TRX، و WBTC التحويل على Ethereum وTron وArbitrum وBSC وSolana. * مولد البادئة/اللاحقة الغرورية: في اللحظة التي ترسل فيها تحويلاً قانونيًا (حتى نقل اختباري للعقد الذكي لـ $10) إلى عنوان مستلم حقيقي، على سبيل المثال: * العنوان الحقيقي: 0x89205A3A3b2A69De6Dbf7f01ED13B2108B2c43e7 * يستخدم المهاجم مجموعات GPU لإنشاء عنوان محفظة مزيف ** أول 5 أحرف (0x89205...) وآخر 5 أحرف (...c43e7) متطابقة بنسبة 100 بالمائة** مع عنوان المستلم الحقيقي، في حين أن الأحرف الثلاثين الوسطى مختلفة تمامًا: * ** عنوان مشابه مسموم: ** 0x89205f91c48012b3847109ab84910283749c43e7 * تلويث سجل معاملاتك (Zero-Value أو Fake Token الانتحال): لأن العقود الذكية ERC-20 وTRC-20 (transferFrom) السماح لأي شخص بإصدار أ 0 USDT نقل الحدث من محفظتك بدون مفتاحك الخاص (أو إرسال $0.0001 "الغبار" أو يونيكود مزيف USDТ رمز مميز)، يقوم المهاجم بإدراج معاملة مزيفة في سجل المعاملات العامة لمحفظتك بحيث يوجد عنوانه المشابه المسموم في أعلى قائمة "المعاملات الأخيرة". * فخ اقتطاع واجهة المستخدم: لأن محافظ الهاتف المحمول والمتصفح (MetaMask, Trust Wallet, Ledger Live, TronLink, Etherscan) اقتطاع العناوين الطويلة المكونة من 42 حرفًا على الشاشة كـ 0x89205...c43e7 لتوفير المساحة، يبدو كل من العنوان الحقيقي والعنوان المسموم متطابقين بصريًا في سجل معاملاتك. الأسبوع المقبل، عندما تذهب لإرسال الحقيقية $50,000 عند نقل العنوان ونسخه بتكاسل من "آخر معاملة" خاصة بك في سجل محفظتك بدلاً من دفتر العناوين الخاص بك، فإنك تقوم بنسخ عنوان المهاجم المسموم. * الحساب المسبق للعقد الذكي Create2: في الهجمات المتقدمة التي تستهدف سندات الخزانة ذات القيمة العالية، يستخدم المهاجمون أداة EVM CREATE2 كود التشغيل لإنشاء ملايين من عناوين العقود الذكية الخاملة مسبقًا مع بادئة مكونة من 6 أحرف وتطابقات لاحقة مكونة من 6 أحرف (12 matching hex characters total). عندما يرسل الضحية أموالاً إلى العنوان الخامل، يقوم المهاجم بنشر عقد كاسحة في ذلك العنوان بالضبط CREATE2 عنوان لاستنزاف الأموال تلقائيا.

سير العمل في حالات الطوارئ: فرز المحفظة التي تم تبديلها أو تحويل رقم IBAN¶

اتبع شجرة القرار هذه فورًا بعد اكتشاف أن العنوان الملصق لا يطابق وجهتك المقصودة.

flowchart TD
    A["تم اكتشاف عنوان تشفير أو رقم IBAN خاطئ بعد اللصق"] --> B{"هل تم بث/إرسال المعاملة بالفعل؟"}
    B -- "لا (تم القبض عليه قبل التوقيع)" --> C["اختبار الحافظة في المفكرة: انسخ العنوان الحقيقي والصقه"]
    B -- "نعم (تم الإرسال بالفعل)" --> D{"هل هو تشفير في Mempool أم تشفير مؤكد أم رقم IBAN البنكي؟"}
    C --> E{"هل تغير النص الملصق في المفكرة؟"}
    E -- "نعم: البرامج الضارة المحلية Clipper" --> F["قطع الاتصال بالإنترنت على الفور؛ خدمات المسح/الامتدادات/المهام"]
    E -- "لا: التسمم بالعناوين على السلسلة" --> G["حذف جهة الاتصال المسمومة؛ القائمة البيضاء للعنوان الحقيقي في محفظة الأجهزة"]
    D -- "التشفير لا يزال معلقًا في Mempool" --> H["إلغاء البث مرة واحدة (EVM +30% Gas) أو Bitcoin RBF على الفور"]
    D -- "تم تأكيد التشفير على السلسلة" --> I["تتبع TXID: تجميد الملف في حالات الطوارئ باستخدام Tether (USDT) / Circle (USDC) / CEX"]
    D -- "رقم الحساب المصرفي الدولي / التحويل البنكي" --> J["اتصل بمكتب الاحتيال البنكي: اطلب استدعاء SWIFT MT192 / SEPA + الاستشهاد بعدم تطابق الاسم"]

مقارنة بين اختطاف الحافظة ونواقل التسمم بالعناوين¶

استخدم هذا الجدول المرجعي لتحديد كيفية حدوث تبادل العناوين وما هي عناصر الأدلة الجنائية الموجودة على نظامك أو مستكشف blockchain.

إجراءات الطوارئ خطوة بخطوة إذا تم إرسال الأموال إلى عنوان خاطئ¶

إذا ضغطت على "إرسال" أو قمت بالتوقيع على المعاملة قبل أن تلاحظ أن الأحرف الوسطى للعنوان تنتمي إلى Clipper أو Address Poisoner، فقم بتنفيذ هذه الخطوات على الفور.

1. إلغاء معاملة عملة مشفرة غير مؤكدة في مجمع الذاكرة (أول 10 إلى 60 ثانية)¶

إذا كانت شبكة blockchain مزدحمة أو قمت بتعيين رسوم غاز/ساتوشي منخفضة، فقد تظل معاملتك موجودة في mempool العام في انتظار تضمينها في الكتلة: * على Ethereum وArbitrum وPolygon وOptimism وBase وBSC (EVM سلاسل): 1. مفتوح MetaMask, Rabbyأو Trust Wallet وانظر إلى علامة التبويب النشاط. إذا كانت المعاملة معلقة، فانقر فوق الزر إلغاء على الفور وحدد رسوم العدوان / رسوم الغاز المرتفعة. 2. الاستبدال اليدوي للرقم (أكثر موثوقية): قم بتمكين تخصيص رقم المعاملة في الإعدادات المتقدمة لمحفظتك. ابحث عن معاملتك المعلقة على Etherscan للعثور على رقم Nonce الدقيق (على سبيل المثال، Nonce: 42). ابدأ فورًا بإرسال معاملة جديدة 0 ETH إلى عنوان محفظتك الخاصة، أدخله يدويًا 42 في الحقل "رقم مخصص"، وقم بتعيين الحد الأقصى لرسوم الأولوية (Gwei) ما لا يقل عن 30% إلى 50% أعلى من المعاملة المتوقفة. سيقوم عمال المناجم/المدققون بمعالجة الرسوم الأعلى الخاصة بك 0 ETH المعاملة أولاً، مما يؤدي إلى إبطال النقل الضار باستخدام Nonce 42. * ** على البيتكوين (BTC):** 1. أحدث المحافظ (Electrum, Sparrow, Ledger Live, BlueWallet) تمكين ** الاشتراك في الاستبدال بالرسوم (BIP-125 RBF)** بشكل افتراضي. 2. انقر بزر الماوس الأيمن فوق المعاملة الصادرة غير المؤكدة في سجل محفظتك وحدد إلغاء المعاملة (Double-Spend to Self) أو رسوم إضافية / تعديل المخرجات، مع تحديد معدل رسوم أعلى بكثير (sat/vB فحص ضد mempool.space) حتى يؤكد القائمون بالتعدين معاملة الاستبدال مرة أخرى إلى عنوان التغيير الخاص بك.

2. تجميد المسروقة USDT (الحبل) أو USDC (دائرة) عبر القائمة السوداء للعقود الذكية¶

على عكس Bitcoin أو Ethereum الأصليين، أكبر عملتين مستقرتين بالدولار الأمريكي، Tether (USDT) و دائرة (USDC)، تحتوي على وظائف إدارية مركزية (blacklist, freeze, destroyBlackFunds) مكتوبة مباشرة في عقودهم الذكية المميزة على Ethereum (ERC-20)، ترون (TRC-20) ، سولانا، بوليجون، و أفالانش. 1. مفتوح Etherscan.io أو Tronscan.org والصق تجزئة المعاملة (TXID). تحقق ما إذا كانت المسروقة USDT أو USDC لا يزال موجودًا داخل محفظة المهاجم/المقص أو محفظة مرحلية وسيطة. غالبًا ما يترك المسمومون عنوانًا مسروقًا USDT في العنوان المميز لساعات أو أيام قبل تبديله عبر التبادلات اللامركزية (DEXs) أو الجسور عبر السلسلة. 2. قم بتقديم تقرير طارئ على الفور إلى FBI IC3 (ic3.gov) وسلطات إنفاذ القانون المحلية، واتصل في نفس الوقت بـ قسم الامتثال / دعم إنفاذ القانون في Tether (tether.to/en/contact-us) أو ضع دائرة حول طلبات إنفاذ القانون مع تحديد ما يلي: * عنوان محفظة الضحية * عنوان محفظة وجهة المهاجم الذي يحمل التيار USDT/USDC التوازن * تجزئة المعاملة (TXID) والطابع الزمني 3. قم أيضًا بالإبلاغ عن السرقة في وقت واحد إلى شبكات الاستجابة للحوادث الاستخباراتية الخاصة بـ blockchain مثل ** Chainalogy ** و ** TRM Labs (Chainabuse.com)**, الختم 911 (Security Alliance بوت تيليجرام للطوارئ @seal_911_bot لاختراقات العملات المشفرة الحادة)، ومكاتب الامتثال لأي بورصة مركزية (Binance, Coinbase, OKX, Kraken, Bybit, FixedFloat, ChangeNOW) إذا قام المهاجم بتحويل الأموال إلى عنوان إيداع تبادلي.

3. استرجاع تحويل مصرفي تم تبديله بواسطة Clipper أو IBAN نقل¶

عندما تستهدف البرامج الضارة Clipper مستخدمي الأعمال أو الخدمات المصرفية الشخصية، فإنها تراقب النسخ IBAN سلاسل (مثل نسخ ملف IBAN من فاتورة PDF الخاصة بالمورد في Adobe Reader ولصقها في بوابة الخدمات المصرفية عبر الإنترنت) ومبادلة ملف IBAN باستخدام حساب أموال مع ترك اسم المستفيد دون تغيير. * استدعاء التحقق من المستفيد (VoP / Confirmation of Payee) وقواعد عدم تطابق الاسم: اتصل بوحدة الاحتيال الإلكتروني في البنك الذي تتعامل معه على الفور. اشرح أن Clipper Malware غيرت ما تم لصقه IBAN الرقم الموجود على جهاز الكمبيوتر الخاص بك وأن اسم حساب المستفيد الموجود في أمر الدفع لا يتطابق مع المالك القانوني للبديل IBAN. * بموجب لائحة المدفوعات الفورية للاتحاد الأوروبي (EU Regulation 2024/886) وتأكيد المملكة المتحدة للمدفوع لأمره (CoP) الأطر: يتعين على مقدمي خدمات الدفع التحقق من أن IBAN وتطابق اسم المستفيد قبل التنفيذ، ويجب إرسال رسالة فورية SEPA Credit Transfer (SCT) Recall (camt.056) بتهمة الاحتيال داخل نافذة المقاصة بين البنوك. * الحفاظ على المجموع الاختباري EIP-55 وأدلة Mod-97 IBAN: قم بتوثيق البيانات الدقيقة IBAN كان ذلك داخل فاتورة PDF الأصلية الخاصة بك مقابل IBAN تنتقل في سجل التدقيق المصرفي عبر الإنترنت. لان IBAN تتضمن السلاسل رقمين المجموع الاختباري ISO 7064 Mod-97-10 مباشرة بعد رمز البلد (على سبيل المثال، GB29 أو DE89)، غالبًا ما يؤدي الخطأ المطبعي البشري إلى فشل التحقق الرياضي لبوابة البنك Mod-97 على الفور. إثبات أن الخطأ IBAN كان لديك رقم فحص Mod-97 صالحًا رياضيًا يثبت لمحققي الاحتيال في البنك الذي تتعامل معه أن أداة Clipper الآلية استبدلت سلسلة الحساب بأكملها بدلاً من قيام المستخدم بارتكاب خطأ في ضغطة المفاتيح.

البحث عن البرامج الضارة المحلية Clipper والقضاء عليها (Windows وmacOS والمتصفحات)¶

إذا أثبت اختبار برنامج "المفكرة" الخاص بك أن الحافظة الخاصة بك تعمل بشكل نشط على تغيير عناوين المحفظة المنسوخة أو IBAN الأرقام، فإن جهازك يقوم بتشغيل حمولة Clipper نشطة. اتبع هذه الخطوات دون الاتصال بالإنترنت لعزله وإزالته.

المرحلة 1: التحقق مما إذا كان Clipper موجودًا داخل ملحقات متصفح الويب الخاص بك¶

قبل البحث في ملفات النظام، حدد ما إذا كان ملحق المتصفح الخادع هو المسؤول: 1. مفتوح Notepad.exe (ويندوز) أو TextEdit (macOS) باستخدام متصفح الويب الخاص بك مغلق تمامًا (تحقق عبر مدير المهام Ctrl+Shift+Esc أن لا خلفية chrome.exe أو msedge.exe العمليات قيد التشغيل). 2. اكتب عنوان إيثريوم مزيف (0x1111222233334444555566667777888899990000) في المفكرة، قم بتمييزه، ثم اضغط Ctrl+C، وانتقل إلى سطر جديد، ثم اضغط على Ctrl+V. 3. إذا لم يتغير العنوان في برنامج "المفكرة" عند إغلاق المتصفح، ولكنه يتغير عند النسخ من Chrome/Edge/Brave: لديك ملحق متصفح ضار (Malicious Clipper Extension). * افتح متصفحك، اكتب chrome://extensions (أو edge://extensions / about:addons)، وإزالة كل الإضافات غير المعروفة، وخاصة أدوات حظر الإعلانات المزيفة، أو محولات PDF، أو أدوات تبديل الوضع الداكن، أو معززات الصوت، أو العناصر المزيفة Ledger/Uniswap/MetaMask ملحقات المساعد. * إعادة ضبط مزامنة المتصفح على chrome.google.com/sync لذلك لا تقوم Google بإعادة تثبيت الامتداد الضار تلقائيًا عند تسجيل الدخول مرة أخرى.

المرحلة الثانية: تحديد عمليات Clipper على مستوى نظام التشغيل وقتلها في الوضع الآمن¶

إذا تغير العنوان حتى في الداخل Notepad مع إغلاق جميع المتصفحات، يكون لديك Clipper على مستوى نظام التشغيل (ClipBanker, Laplas, Phemedrone, RedLine).

على نظامي التشغيل Windows 10 وWindows 11¶

1. اقطع الاتصال بشبكة Wi-Fi وافصل شبكة Ethernet على الفور.
2. افتح ** مدير المهام (Ctrl + Shift + Esc)**، انقر فوق علامة التبويب تطبيقات بدء التشغيل، وقم بتعطيل أي برنامج غير مألوف (كثيرًا ما يتنكر Clippers على أنه Realtek HD Audio Helper, Windows Updater, Java Update Schedulerأو OneDrive Sync Host تقع في الداخل AppData\Roaming\ بدلا من C:\Windows\System32\).
3. افتح ** جدولة المهام (Win + R -> taskschd.msc)**. افحص كل مهمة في مكتبة جدولة المهام. تستمر Clippers بشكل كبير من خلال إنشاء مهمة مجدولة يتم تشغيلها كل دقيقة واحدة أو عند تسجيل دخول المستخدم، واستدعاء أمر PowerShell المخفي، .vbs نص, AutoIt3.exe البرنامج النصي، أو .exe المخزنة داخل:
4. C:\Users\<Username>\AppData\Roaming\
5. C:\Users\<Username>\AppData\Local\Temp\
6. C:\ProgramData\
7. اضغط Win + R، اكتب regedit، وتحقق من مفاتيح التشغيل الأساسية الأربعة حيث يقوم Clippers بتسجيل أنفسهم لبدء التشغيل عند بدء التشغيل:
8. HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
9. HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
10. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
11. HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run

على ماك (NSPasteboard اللصوص: Atomic Stealer AMOS, Poseidon)¶

1. قطع الاتصال بشبكة Wi-Fi.
2. افتح مراقبة النشاط وابحث عن العمليات غير الموقعة أو مراقبة نصوص Python/osascript المخفية NSPasteboard.
3. اضغط Cmd + Shift + G في الباحث والتحقق /Library/LaunchAgents/, /Library/LaunchDaemons/، و /Users/<YourUsername>/Library/LaunchAgents/ للمارقة .plist ملفات الثبات

الدفاع عن محفظة الأجهزة: كيفية جعل هجمات Clipper وPoisoning مستحيلة¶

حتى لو كان جهاز الكمبيوتر الخاص بك مصابًا ببرامج Clipper الضارة الأكثر تقدمًا على وجه الأرض، أو كان سجل معاملاتك ممتلئًا بمئات العناوين المزيفة المسمومة، لا يمكن لأي من الهجومين سرقة أموالك إذا اتبعت محفظة أجهزة صارمة (Ledger, Trezor, Keystone, Coldcard, GridPlus) بروتوكول التحقق من الشاشة الفعلي:

1. قاعدة التحقق من الأحرف "Middle-8 + Start-4 + End-4": لا تنظر أبدًا إلى شاشة جهاز الكمبيوتر الخاص بك للتحقق من العنوان، لأن ملحق المتصفح الضار يمكنه عرض العنوان الحقيقي على شاشة جهاز الكمبيوتر الخاص بك أثناء إرسال عنوان المهاجم إلى محفظتك في الخلفية. بدلاً من ذلك، انظر مباشرةً إلى شاشة OLED/E-Ink الفعلية لمحفظة جهازك وقارنها بـ قناة اتصال مستقلة ثانية (مثل صورة رمز QR الخاص بالمستلم على هاتفك الذكي أو قراءة صوتية تم التحقق منها للأحرف الوسطى):

0x 8920 [5A3A3b2A69De6Dbf7f01ED13B2108B] 2c43e7
   ====              ==========            ======
  Start-4          Verify Middle-10        End-6

1. لا تنسخ أبدًا عنوانًا من "المعاملات الأخيرة" أو سجل حظر Explorer: معالجة سجل معاملات محفظتك (Activity علامة التبويب في MetaMask أو Ledger Live أو Trust Wallet أو Etherscan) باعتبارها ** كتابات عامة غير موثوقة **. يمكن لأي شخص على وجه الأرض إدخال صفوف مزيفة في سجل معاملاتك العامة. بدلاً من ذلك:
2. احفظ كل الطرف المقابل المتكرر وعنوان إيداع التبادل ومحفظة التخزين البارد داخل محفظتك الأصلية دفتر العناوين / جهات الاتصال في القائمة البيضاء (Settings -> Contacts في MetaMask/Rabby) مع تسمية بشرية واضحة ("My Coinbase USDC Deposit").
3. بمجرد حفظ العنوان في دفتر العناوين الخاص بك، تحل المحافظ الحديثة محل العناوين المقتطعة 0x1234...5678 سلسلة سداسية عشرية مع شارة الاسم المحفوظ الخاصة بجهة الاتصال عبر الواجهة. إذا أظهرت إحدى المعاملات في السجل الخاص بك أحرفًا سداسية خام بدلاً من شارة جهة الاتصال المحفوظة لديك، فستعرف على الفور أنه عنوان محتال مسموم.
4. ** قم بالتبديل إلى عميل المحفظة الذي يركز على الأمان (Rabby, Frameأو Ledger Clear Signing) مع كشف التسمم:** تقوم محافظ مثل Rabby Wallet وMetaMask Blockaid Security Alerts تلقائيًا بوضع علامة على التحويلات لأول مرة إلى عنوان لم يتلق أموالاً منك من قبل، وتحذرك إذا كان العنوان يحاكي بصريًا جهة اتصال سابقة (Similarity Warning)، والاختباء 0-value عمليات نقل الرموز المميزة المخادعة من خلاصة نشاطك الرئيسي.

قائمة مراجعة العلاج بعد الحادث¶

• إخلاء أصول العملات المشفرة المتبقية إلى محفظة أجهزة أصلية جديدة تمامًا: باستخدام هاتف ذكي نظيف أو جهاز كمبيوتر غير منقوص، أنشئ عبارة أولية جديدة مكونة من 24 كلمة على محفظة الأجهزة وانقل جميع الرموز المميزة المتبقية ورموز NFT وأصول الغاز الأصلية من أي محفظة برامج (MetaMask, Phantom, Trust Wallet, Exodus) الموجودة على جهاز الكمبيوتر المصاب بـ Clipper.
• ** إلغاء موافقات الرموز المميزة ERC-20 / TRC-20 النشطة: ** الاستخدام revoke.cash (من جهاز نظيف) لإلغاء أي مخصصات إنفاق غير محدودة للرموز المرتبطة بالمحافظ الساخنة المعرضة للخطر.
• قم بإعادة تثبيت نظام التشغيل النظيف الكامل عبر USB إذا تم تأكيد برنامج Local Clipper Malware: قم بعمل نسخة احتياطية من المستندات الشخصية فقط وامسح جميع أقسام القرص باستخدام مثبت Windows/macOS USB النظيف الذي تم إنشاؤه على جهاز كمبيوتر منفصل (راجع موقعنا ملحقات المتصفح الضارة ودليل إزالة خاطفي الحافظة).
• تدوير جميع كلمات المرور المحفوظة في المتصفح وإلغاء الجلسات النشطة: قم بتغيير كلمات المرور للبريد الإلكتروني والخدمات المصرفية والتبادلات المركزية (Coinbase, Binance, Kraken)، وقم بتسجيل الخروج من كافة الجلسات النشطة.
• ** تقديم التقارير الرسمية لإنفاذ القانون واستخبارات blockchain: **
• الولايات المتحدة: أرسل ملف FBI IC3 (ic3.gov) تقرير يتضمن تجزئة المعاملة بالضبط (TXID)، وعنوان محفظتك، وعنوان محفظة Clipper/Poisoned الخاصة بالمهاجم.
• المملكة المتحدة: إبلاغ إجراءات الاحتيال (actionfraud.police.uk).
• الاتحاد الأوروبي / عالمي: تقرير عبر بوابات اليوروبول الوطنية للجرائم الإلكترونية، Chainabuse (chainabuse.com) و Etherscan / Tronscan "عنوان التقرير/الإبلاغ" بحيث يتم تمييز عنوان المهاجم علنًا باللون الأحمر Fake_Phishing / Address Poisoning لافتة تحذيرية لضحايا المستقبل.

الأسئلة المتداولة¶

كيف تمكن المحتال من جعل Etherscan أو Tronscan يُظهران ملف $0 USDT التحويل يخرج من محفظتي (From: My Wallet -> To: Scammer Wallet) إذا لم يكن لديهم مفتاحي الخاص أو العبارة الأولية؟¶

هذا أمر غريب لكيفية استخدام العقود الذكية القياسية ** ERC-20 و TRC-20 المميزة ** (`transferFrom` وظيفة) مكتوبة على Ethereum وTron وBSC. عندما يتصل طرف ثالث `transferFrom(Sender, Recipient, Amount)`، يتحقق العقد الذكي مما إذا كان لدى المتصل بدل مصرح به (`approve`) لذلك `Amount`. لأن بدلك الافتراضي لشخص غريب هو `0`، يدعو `transferFrom(Your_Wallet, Scammer_Vanity_Wallet, 0)` يتطلب بدل `0 <= 0`، والذي يتم تقييمه على أنه **صحيح** وينجح دون الحاجة إلى توقيعك أو مفتاحك الخاص. لم يتم اختراق محفظتك أبدًا؛ لقد دفع المهاجم ببساطة بضعة سنتات من الغاز لجعل عقد USDT ينبعث للعامة `Transfer` سجل الأحداث يدرج عنوانك في `From` العمود حتى يظهر عنوانهم المشابه في سجل الصادر لمحفظتك.

لماذا أرسل لي المحتال معاملة مزيفة 50,000 USDT مباشرة بعد أن أرسلت أ $10 معاملة تجريبية لصديقي؟¶

غالبًا ما يرسل مستخدمو العملات المشفرة ذوو الخبرة مبلغًا صغيرًا `$10` اختبار المعاملة أولاً، والتحقق من أن صديقهم قد استلمها، ثم انتقل إلى علامة التبويب "الأنشطة الأخيرة" في محفظتهم لنسخ عنوان الوجهة للمعاملة الرئيسية `$50,000` نقل. معالجة التسمم بالروبوتات المخصصة لمراقبة الصغار `$1 to $100` التحويلات. في غضون 10 ثانية من الخاص بك `$10` اختبار النقل الذي يؤكد على السلسلة، يقوم الروبوت الآلي للمهاجم بإنشاء عنوان مميز يطابق الأحرف الخمسة الأولى والأخيرة من عنوان صديقك ويبث تحويل رمزي مزيف من محفظتك إلى عنوانه المميز بحيث ** عنوانه المسموم يقع في صف واحد أعلى في قائمة الأنشطة الحديثة الخاصة بك من عنوانك الحقيقي `$10` نقل الاختبار **.

هل يمكن أن تصيب البرامج الضارة Clipper جهاز iPhone (iOS) أو هاتف Android أم أنه يؤثر فقط على أجهزة الكمبيوتر التي تعمل بنظام Windows وMac؟¶

في حين أن أدوات الاستماع إلى الحافظة في الخلفية الكلاسيكية هي الأكثر شيوعًا على نظامي التشغيل Windows وmacOS، إلا أن الأجهزة المحمولة مستهدفة أيضًا. بدءًا من **iOS 14+** و**Android 12+**، يعرض نظام التشغيل لافتة نخب مرئية في الجزء العلوي من الشاشة (`"App pasted from Chrome"`) عندما يقرأ أحد التطبيقات الحافظة الخاصة بك، ويمنع تطبيقات الخلفية من قراءة الحافظة أو الكتابة فوقها بصمت دون التركيز على المقدمة. ومع ذلك، فإن تطبيقات المحفظة المحمولة المزيفة (`fake Ledger Live`, `fake Trust Wallet`أو Android المحمل على الجانب `.apk` أحصنة طروادة مثل `SharkBot` و `Xenomorph`) ولا يزال بإمكان لوحات المفاتيح المحمولة الضارة اعتراض اللصق وتبديله `IBAN` وعناوين التشفير أثناء فتح التطبيق على الشاشة.

إذا أرسلت عن طريق الخطأ $25,000 في USDT إلى عنوان مسموم، هل هناك أي احتمال أن يتفاوض المهاجم على إرجاع "مكافأة القبعة البيضاء" إذا أرسلت إليهم رسالة على السلسلة (IDM)؟¶

في حالات نادرة جدًا، وقضايا رفيعة المستوى تنطوي على أصول يمكن تتبعها بملايين الدولارات، اقترن ضغط إنفاذ القانون برسالة بيانات مدخلة على السلسلة (`UTF-8 hex message` تم إرسال معاملة ETH صغيرة إلى عنوان المهاجم مع تقديم مكافأة تتراوح من 10 إلى 20 بالمائة أو تحذير من تجميد Tether الوشيك والتعرض لـ CEX KYC) إلى عوائد جزئية. ومع ذلك، **لا تدفع مطلقًا أي "متسلل لاسترداد العملات المشفرة" تابع لجهة خارجية أو أي رسوم مقدمة**، وأعط الأولوية للحصول على **Tether (`USDT`) أو الدائرة (`USDC`) لإدراج رصيد العقد الذكي في القائمة السوداء وتجميده أولاً**. بمجرد تجميد Tether المسروقة `USDT` داخل عنوان المهاجم، لا يمكن للمهاجم أبدًا إنفاق هذه الرموز المميزة أو نقلها، ويمكن لـ Tether حرق الرموز المميزة المجمدة وإعادة إصدارها (`re-mint`) وإعادتها إلى الضحية التي تم التحقق منها عند استلام أمر تنفيذ قانون أو أمر محكمة صالح.

أدلة ذات صلة¶

• تسمم البرامج الضارة والعناوين المزيفة لـ Clipper في عمليات تحويل العملات المشفرة والتحويلات المصرفية بصيغة IBAN
• ملحقات المتصفح الضارة، وخاطفي الحافظة، وإزالة البرامج الإعلانية
• استنزاف محفظة العملات المشفرة وتسوية العبارات الأولية
• CAPTCHA وهمية ClickFix PowerShell البرامج الضارة للحافظة Win+R وعلاج Lumma Infostealer
• اختراق البريد الإلكتروني التجاري للشركات (BEC) واستدعاء الاحتيال عبر الإنترنت
• أرقام الطوارئ حسب البلد

المصادر والتوجيهات الرسمية¶

• مكتب التحقيقات الفيدرالي (FBI) مركز شكاوى جرائم الإنترنت (IC3) (الولايات المتحدة): إعلانات الخدمة العامة بشأن تسمم عناوين العملات المشفرة والبرامج الضارة Infostealer/Clipper.
• عمليات الربط المحدودة (tether.to) ودائرة الإنترنت المالية (circle.com): تجميد تطبيق القانون، القائمة السوداء (AddedBlackList)، وإجراءات استرداد الأصول المسروقة USDT و USDC.
• مجلس المدفوعات الأوروبي (EPC) والاتحاد الأوروبي (Regulation (EU) 2024/886): تحويل رصيد SEPA (SCT) إجراءات استدعاء الاحتيال والتحقق من المستفيد (VoP / IBAN-التحقق من الاسم) المعايير.
• المركز الوطني للأمن السيبراني (NCSC) (المملكة المتحدة): التخفيف من البرامج الضارة واختراق امتدادات المتصفح والاحتيال في إعادة توجيه الدفع.
• إطار عمل MITRE ATT&CK®: التقنية T1115 (جمع بيانات الحافظة ومعالجتها).