تم اختراق CoinMarketCap بواسطة برنامج ضار بلغة JavaScript

CoinMarketCap، المنصة بيانات السوق سوق العملات الرقمية مع أكثر من 340 مليون زيارة شهريًا، واجهت حادثة اختراق بيانات في وقت مبكر من صباح اليوم. تنتهك هذه الحالة إدخال كود JavaScript ضار في ميزة "Doodles" الدوارة لموقع الويب، والتي تطلب من المستخدمين "التحقق من المحفظة"، وهو نافذة منبثقة تهدف إلى سرقة أموالهم. وفقًا لمحلل سلسلة يحمل اسم مستعار okHOTSHOT على X، تم نشر البرمجيات الخبيثة من خلال ملفات JSON المتلاعب بها المقدمة عبر واجهة برمجة التطبيقات الخلفية لـ CoinMarketCap تُستخدم بيانات السوق لتحميل "رسوم متحركة مرسومة بخطوط غير منتظمة" على الصفحة الرئيسية. عندما يتم تحميل رسم غير منتظم بعنوان "CoinmarketCLAP"، فإنه سينفذ في صمت JavaScript لتحويل المستخدمين إلى واجهة سحب في محفظة تُدعى "Impersonator"، وهي واجهة احتيالية لخداعهم في تفويض نقل الرموز. الهجوم ليس دائمًا واضحًا لجميع المستخدمين لأن الموقع يقوم بتدوير الرسوم التوضيحية العشوائية مع كل زيارة. ومع ذلك، تم الإبلاغ عن أن الوصول إلى نقطة النهاية /doodles/ كان قد فعل محفظة السحب في كل مرة. وقد حدد محققو Blockchain عنوانًا ضارًا معروفًا يتلقى موافقة الرموز: 0x000025b5ab50f8d9f987feb52eee7479e34a0000. يعتقد خبراء الأمن أن الهجوم قد استغل ثغرة في أداة الرسوم المتحركة المستخدمة لعرض الرسوم التخطيطية، والتي قد تكون Lottie أو أداة مشابهة، مما يسمح بتنفيذ JavaScript عشوائي من خلال تكوين JSON. وفقًا للمحللين في Coinspect، يبدو أن المهاجم قد حصل على وصول إلى الجزء الخلفي وحدد وقت انتهاء الثغرة، مما قد يكون قد تم التخطيط له مسبقًا. أصدرت CoinMarketCap بيانًا علنيًا حول انتهاك من خلال حساب X الرسمي الخاص بهم، قائلة: "لقد حددنا وأزلنا البرمجيات الخبيثة من موقعنا. فريقنا يواصل التحقيق واتخاذ خطوات لتعزيز الأمان". أفادت الشركة أيضًا أنه تم حذف نافذة المنبثقة المتأثرة وأن النظام قد تم استعادته بالكامل. على الرغم من أن الهجوم كان موجهًا فقط إلى واجهة المستخدم الأمامية، إلا أن خبراء الأمن يدعون المستثمرين إلى توخي الحذر عند الوصول إلى محافظهم. CoinMarketCap هي منصة يزورها العديد من المتداولين ومستثمري العملات الرقمية في كل دقيقة. "قد يكون حجم هذه الخدعة كبيرًا جدًا، ويبدو أنها قانونية تمامًا، ولا توجد علامات تحذير واضحة"، حسبما حسب تاجر على وسائل التواصل الاجتماعي. "أنت فقط تصل إلى موقع ويب تتحقق منه يوميًا. كن حذرًا هناك." يعتقد الخبراء أيضًا أن المستخدمين الذين قاموا بربط المحفظة أو الموافقة على المعاملات خلال فترة الانتهاك قد تم اختراقهم. كإجراء وقائي، يُنصح الذين وقعوا ضحية لبرامج ضارة بإلغاء كافة الموافقات على الرموز المميزة الحديثة وتجنب التفاعل مع النوافذ المنبثقة المماثلة على المنصات المتعلقة بسوق العملات الرقمية. وفقًا لتقرير كريبتوبوليتان يوم الخميس، حدث أحد أكبر انتهاكات البيانات المعروفة في تاريخ الإنترنت أيضًا هذا الأسبوع. يُزعم أنه تم تسريب أكثر من 16 مليار اسم مستخدم وكلمة مرور. أكدت BitoPro عملية سرقة العملات الرقمية بقيمة 11 مليون دولار من قبل مجموعة Lazarus في خبر ذي صلة، أكدت بورصة العملات الرقمية التايوانية BitoPro حدوث اختراق أدى إلى سرقة حوالي 11 مليون دولار من الأصول الرقمية. وقد ربطت الشركة الهجوم بمجموعة القراصنة المدعومة من الدولة الكورية الشمالية والمعروفة باسم Lazarus. وفقًا للموضوع X الذي تم نشره في 19 يونيو، فقد استشهد هذا الموضوع بالتشابه مع الحوادث السابقة المتعلقة بالتحويلات المالية الدولية غير القانونية والوصول غير المصرح به إلى منصات سوق العملات الرقمية. حدث الانتهاك في 8 مايو 2025، أثناء تحديث نظام المحفظة الساخنة العادية. قام المهاجم باستغلال أجهزة الموظفين لتجاوز المصادقة متعددة العوامل باستخدام رمز الجلسة المسروق من AWS. تم زرع البرمجيات الخبيثة من خلال هجوم الهندسة الاجتماعية الذي سمح للقراصنة بتنفيذ الأوامر، وإدخال البرامج النصية في نظام المحفظة وتقليد الأنشطة القانونية أثناء سحب الأموال. تم نقل الأصول عبر العديد من سلاسل الكتل، بما في ذلك Ethereum و Solana و Polygon و Tron، وتم غسلها من خلال منصات التداول اللامركزية وخلاطات مثل Tornado Cash و Wasabi Wallet و ThorChain