داخل الآلة: كيف يعمل محتالو العملات المشفرة
اختطاف محركي البحث «Bing» و«DuckDuckGo»

مسارا الهجوم

كشفت تحقيقاتنا عن عمليتان متوازيتان مختلفتان تمامًا تعمل هذه العمليات في وقت واحد لدفع مواقع التصيد الاحتيالي إلى صدارة نتائج بحث «بينغ» و«دوك دوك جو».

الطريقة أ: هجوم «حقن نتائج بحث ياهو» (Yahoo SERP Injection)

يمكن القول إن هذا هو الأكثر أناقة من الناحية التقنية هجوم «سيو» غير المشروع الذي قمنا بتوثيقه في عام 2026. ويستغل هذا الهجوم ثغرة جوهرية في الطريقة التي يقيّم بها محرك البحث «بينغ» مصداقية الروابط — وبالتحديد، عدم قدرته على التمييز بين الروابط التحريرية الحقيقية وصفحات نتائج البحث التي يتم إنشاؤها ديناميكيًّا من نطاقات موثوقة.

ينتقل «مؤشر السلطة» (AS 24) الموروث من ياهو عبر صفحات البحث على الأجهزة المحمولة إلى نطاقات التصيد الاحتيالي — ويقبل «بينغ» هذه الإشارة على أنها شرعية

الآلية — خطوة بخطوة

الخطوة 1 — إنشاء عنوان URL الخاص بشركة الاتصالات الموثوقة. يقوم المهاجمون بإنشاء عناوين URL على نقاط نهاية البحث عبر الهاتف المحمول التابعة لـ Yahoo عبر عدة نطاقات فرعية دولية: no.search.yahoo.com (النرويج)، fr.search.yahoo.com (فرنسا)، mx.search.yahoo.com (المكسيك)، pl.search.yahoo.com (بولندا)، gr.search.yahoo.com (اليونان)، qc.search.yahoo.com (كيبيك)، chfr.search.yahoo.com (السويسرية الفرنسية)، co.search.yahoo.com (كولومبيا). تحتوي هذه الصفحات على «مؤشر الموثوقية» الموروث من ياهو: 23–24.

الخطوة 2 — تضمين رابط التصيد الاحتيالي. يحتوي كل عنوان URL على استعلام بحث عشوائي تمامًا وبريء — «pele+fifa»، «Jean-Paul+Sartre»، «Radio+Stars»، «jucheck.exe» — لكن نص الرابط هو: curvefi.co Curve Finance. تضمن الاستعلامات العشوائية عدم اكتشافها من قبل مرشحات البريد العشوائي عن طريق مطابقة الأنماط.

الخطوة 3 — الزحف والفهرسة القسريان. يقوم المهاجمون بدفع «Bingbot» إلى الزحف إلى عناوين URL هذه باستخدام خدمات «البينغ» الجماعية، وإدراج التعليقات في المنتديات والمدونات، وأدوات تشغيل الزحف الآلي.

أدلة SEMrush الأولية — curvefi.co

المفارقة القاسية: يحتوي الموقع على صفر الكلمات المفتاحية العضوية، صفر حركة المرور في قاعدة بيانات SEMrush — ومع ذلك، فإنها تظهر في نتائج Bing/DDG لعبارة «Curve Finance» بفضل «السلطة المستعارة» من Yahoo.

المحور ب: شبكة PBN المنسقة

وهنا يصبح التحقيق مقلقًا حقًّا. خمسة مواقع تصيد احتيالي منفصلة — rabbys.at، dexscreener.at، monero-wallet.at، trezorsuite.at، و keplr.me — جميعها تشترك في مجموعة متطابقة من مصادر الروابط الخلفية. هذه ليست مصادفة. هذا هو عملية إجرامية منظمة واحدة تنفيذ حملات تصيد احتيالي متعددة من خلال بنية تحتية واحدة.

مشغل واحد، و9 متبرعين بـ PBN، و5 أهداف للتصيد الاحتيالي — تبلغ احتمالية أن يكون هذا مجرد مصادفة حوالي 0.00001%

الدليل الدامغ — البنية التحتية المشتركة

ملفات تعريف نطاقات التصيد الاحتيالي

مزرعة المقالات المدعومة بالذكاء الاصطناعي

يستخدم إصدار aster-dex.at النهج المختلط، حيث تم الجمع بين تقنية «Yahoo Injection» ومحتوى مدونات تم إنشاؤه بواسطة الذكاء الاصطناعي، ونُشر على مواقع تم اختراقها أو أنشئت خصيصًا لهذا الغرض في فيتنام وإيطاليا وإندونيسيا وسويسرا.

مقالات تم إنشاؤها بواسطة الذكاء الاصطناعي على مواقع تم اختراقها — عناوين متطابقة، ونطاقات مختلفة، وجميعها تشير إلى نفس هدف التصيد الاحتيالي

تحمل جميع مقالات المدونة عناوين متطابقة تقريبًا: "لماذا لا تزال عمليات مبادلة التوكنات ومجمعات السيولة تشكل عقبة حتى أمام المتداولين المخضرمين في البورصات اللامركزية", "لماذا لا يزال صانعو السوق الآليون يفاجئون المتداولين". وهذه هي مقالات تم إنشاؤها بواسطة الذكاء الاصطناعي تم وضعها على مواقع تحمل الرموز AS 21–36، وجميعها ترتبط بموقع aster-dex.at.

تسلل التعليقات غير المرغوب فيها

يتبع موقع keplr.me نهجًا مختلفًا تمامًا — وهو نشر تعليقات غير مرغوب فيها بشكل صريح على مواقع ذات مصداقية عالية لا علاقة لها بالموضوع. وتقوم أسماء مستخدمين مزيفة مثل «ZackaryThymn» و«Fritzkah» و«Jamesboach» بإدراج روابط لمحافظ العملات المشفرة في مواقع تعليم الفلسفة (filozofija.edu.rs، AS 45)، ومنصات تعزيز مشاركة الموظفين (bavave.com، AS 63)، والمهرجانات الفنية (lea-festival.com، AS 50).

مواقع شرعية تستضيف دون علمها روابط تصيد — مخبأة بين تعليقات المستخدمين التي تبدو عادية

الحضيض: الرسائل غير المرغوب فيها المتعلقة بالأدوات الآلية

bscscan.cfd يستخدم الطريقة الأكثر فظاظةً على الإطلاق: حزم روابط خلفية مدفوعة الثمن بالجملة من مواقع تحمل أسماءً مثل rankongoogle.agency و linksjump.click. جميع المصادر لها قيمة AS تساوي 0. ويُعد نطاق المستوى الأعلى .cfd مؤشراً معروفاً على البريد العشوائي. ومع ذلك، في محرك بحث Bing، حتى هذا الأسلوب يعمل جزئياً — حيث يمكن أن يؤثر حجم الروابط منخفضة الجودة على الترتيب في محركات البحث بالنسبة للنطاقات الجديدة تماماً التي لا يوجد لها سجل سلبي.

«1000 رابط خلفي مقابل 9.99 دولار» — أرخص أدوات احتيال تحسين محركات البحث (SEO) التي لا تزال تعمل جزئيًا على محرك البحث «Bing»

لماذا يعتبر كل من «بينغ» و«دوك دوك جو» عرضة للخطر بشكل خاص

نظام جوجل متعدد الطبقات لمكافحة الرسائل غير المرغوب فيها مقابل نظام الكشف الأقل نضجًا لدى بينغ — الفجوة التي يستغلها المحتالون

استراتيجية استهداف الكلمات المفتاحية

تكشف ملفات تعريف الكلمات المفتاحية عن الدقة الجراحية في اختيار الأهداف. لا يستهدف المشغلون مصطلحات العلامات التجارية الأساسية فحسب، بل يستهدفون أيضًا مواقع «typosquats» («محفظة رابي», «محفظة روبي», «dexscrenner») وحتى الاستعلامات باللغة الصينية («بورصة أستر» (المركز رقم 25).

الاستهداف متعدد اللغات: الإنجليزية، الفرنسية، الصينية، الفيتنامية — تمتد العملية عبر القارات

السياق التاريخي: مشكلة «Trust Wallet» و«DuckDuckGo»

حتى بعد أن تخلت «Trust Wallet» عن استخدام «DDG» كمتصفح افتراضي، لا تزال الثغرة الأمنية الأساسية قائمة. أي مستخدم يقوم بـ يختار DuckDuckGo يدويًّا حرصًا على الخصوصية — وهي فئة سكانية تتداخل إلى حد كبير مع مستخدمي العملات المشفرة — لا تزال معرضة لهذه الهجمات بالذات حتى اليوم. وقد استخدمت عمليات الاحتيال الموثقة في هذا التقرير أشكالاً مختلفة من هذه التقنية منذ عدة سنوات، مع التكيف مع قيام محركات البحث بتصحيح الثغرات الأمنية الفردية تدريجيًّا.

كيف تحمي نفسك

• أبدًا ربط محفظتك من إحدى نتائج البحث
• إضافة إلى المفضلة المواقع الشرعية مباشرةً
• استخدم محرك البحث DDG !bang الاختصار: !g curve finance يفرض البحث عبر Google
• تثبيت ملحق MetaMask للكشف عن عمليات التصيد الاحتيالي
• تحقق من أي نطاق على PhishDestroy قبل التوصيل

توصيات موجهة إلى مايكروسوفت/بينغ

1. الكشف الديناميكي عن الصفحات: تصنيف صفحات نتائج البحث (ياهو، بايدو، جوجل) واستبعاد قيمة الروابط من الروابط الصادرة
2. الكشف المنسق عن شبكة الملاحة القائمة على البيانات (PBN): عندما تشير 9 نطاقات إلى 5 مواقع مختلفة بنماذج متطابقة، يُعتبر ذلك تلاعبًا
3. طبقة انتحال الهوية التجارية: الكشف عن هجمات استبدال نطاقات المستوى الأعلى (dexscreener.at ≈ dexscreener.com)
4. مراقبة نطاقات .AT: تشديد الرقابة على نطاقات .at المسجلة حديثًا في نتائج بحث العملات المشفرة
5. الطريق السريع إلى DuckDuckGo: إنشاء واجهة برمجة تطبيقات (API) مخصصة لإزالة الرسائل غير المرغوب فيها يمكن لـ DDG الوصول إليها مباشرةً

الأدلة متاحة للجميع. النطاقات موثقة. الضحايا حقيقيون. الحل بيد مايكروسوفت.

مشغل واحد. 26 رابطًا للتصيد الاحتيالي في «بينغ». التكلفة: دولاران لكل نطاق.

مشغل واحد، 26 نطاقًا، مسجل واحد

أجرينا استعلامات RDAP على جميع نطاقات التصيد الاحتيالي البالغ عددها 26 نطاقًا. وأظهرت جميعها نفس الجهة المسجلة: شركة «NiceNIC International Group Co., Limited» المحدودة. ليس «معظم». وليس «الأغلبية». تم الاستعلام عن جميع الـ 23 بنجاح — مسجل متطابق، مع وجود 3 أخطاء في حدود المعدل قبل التحقق (تتطابق أنماط بنيتهما التحتية).

تم التحقق من 23 من أصل 23. نفس مسجل النطاق. نفس العميل. لم تُتخذ أي إجراءات بشأن إساءة الاستخدام.

بيانات التسجيل في برنامج RDAP — مستندات التسجيل الجماعي

دليل «2 دولار» — خطوة بخطوة

انسَ أمور تحسين محركات البحث (SEO) المعقدة. انسَ أشهرًا من بناء الروابط. إليك تسلسل الهجوم الكامل والمُثبت الذي يضمن لك المركز الأول في نتائج بحث «بينغ».

أربع خطوات، و2 دولار، و«بينغ» تتصدر موقعاً للتصيد الاحتيالي في المرتبة الأولى

الخطوة 1: سجل «Typosquat»

الخطوة 2: نسخ علامة العنوان (0 دولار، 5 دقائق)

يقوم المشغل بنسخ النص بالضبط <title> العلامة والوصف التعريفي المأخوذان من الموقع الإلكتروني للمشروع الفعلي. هذه هي الخطوة الأهم على الإطلاق. الصفحة نفسها تُستنزف رصيد المحفظة أو تستخرج عبارة البذرة — لكن <title> هذا ما يصنفه «بينغ».

الخطوة 3: الإرسال إلى شبكة PBN المخفية (0 دولار، دقيقة واحدة)

يزور المشغل أيًا من المواقع الـ15 التابعة لـPBN (bye.fyi, atomizelink.icu، وما إلى ذلك)، ويكتب اسم النطاق في حقل بعنوان «أدخل عنوان URL الخاص بك»، ثم ينقر على «تقصير». وبمجرد الضغط على زر الإرسال، يتم إنشاء صفحة على جميع المواقع الخمسة عشر في آن واحد — حيث تتشارك هذه المواقع قاعدة بيانات واحدة.

الخطوة 4: الانتظار (2-8 أسابيع، 0 دولار)

تفصيل التكلفة الإجمالية

داخل محرك التخفي

لقد قمنا باستخراج وتحليل كود HTML الأصلي من شبكة PBN. وتستخدم كل صفحة في كل نطاق نفس محرك الإخفاء.

ما يراه المستخدمون مقابل ما يراه Bingbot — الـ z-index: 1000000 يخفي الجدار 3,500 رابطًا

بنية الصفحة: 400 كيلوبايت من HTML، أكثر من 3,500 رابط، 4 طبقات

<body style="overflow: hidden;">
  <div style="position:absolute; top:0; left:0;
              width:100%; height:5000px;
              background:white; z-index:1000000;
              font-size:32px; text-align:center;">
    <p>The domain report has Expired!</p>
  </div>

// work.js — identical on all 15 domains:
window.location.replace("https://scrib.li/ai-article-generator");

<p>Learn More Here <a rel="nofollow"
     href="https://PHISHING-TARGET.finance">PHISHING-TARGET.finance</a></p>
... x 3,500 links ...

الدليل: شبكة واحدة، قاعدة بيانات واحدة

orbit-protocol-lending.net يظهر عبر عدة نطاقات تابعة لشبكة PBN مع أرقام تعريف متسلسلة من نفس قاعدة البيانات:

قاعدة بيانات واحدة. 15 نطاقًا أماميًا. تعرض جميع الشاشات محتوى متطابقًا من نفس النظام الخلفي.

تطابق المعرّفات عبر «العلامات التجارية» المختلفة = نظام خلفي واحد، مشغل واحد. 15 نطاقًا. نفس قالب HTML. نفس CSS (style.css). نفس جافا سكريبت (work.js). نفس الصفحات التي تحتوي على 3,500 رابط.

شبكة PBN الثانية — شبكة فحص النطاقات

توفر شبكة روابط منفصلة وأكثر فعالية روابط خلفية من نوع «dofollow» إلى أهداف محددة. الخادم الرئيسي: all-aged-domains.com — تثبيت لـ WordPress 6.6.2 يقدم ملفات CSS وJS والقوالب إلى 50-80 نطاقًا تابعًا.

لماذا يقع «بينغ» في هذا الفخ؟

الروبوت المُدرَّع من «جوجل» يمنع عمليات التصيد الاحتيالي عند البوابة. أما البواب الودود من «بينغ» فيبقي الباب مفتوحًا.

ثغرة «Title-Match»

app.thnuster.cc يحتوي على رابط خلفي واحد فقط — وهو صفحة من نتائج بحث ياهو مخزنة في ذاكرة التخزين المؤقت. ويحتل المرتبة الأولى في محرك بحث «بينغ» عند البحث عن عبارة «Thruster Finance». وهذا يثبت أن ترتيب «بينغ» لعمليات البحث المتعلقة بالعلامات التجارية ذات المنافسة المنخفضة يعتمد بشكل أساسي على:

1. المطابقة التامة لعلامة العنوان بشأن استعلام البحث
2. تم فهرسة النطاق (أي إشارة — حتى لو كانت رابطًا واحدًا يحمل علامة «nofollow» — تكفي)
3. لا توجد إشارات سلبية تدل على انعدام الثقة (النطاق جديد، وسجله خالٍ من أي مشاكل)

تتطلب «جوجل» وجود إشارات قوية تدل على المصداقية، كما أنها تقوم بمقارنة النتائج مع نطاقات العلامات التجارية المعروفة. أما «بينغ» فلا تفعل ذلك.

نتائج Bing رقم 1 (تم التحقق منها عبر SerpAPI، أبريل 2026)

قائمة الحماية المحدثة (العلامات التجارية في الجزء الثاني)

التوصيات (الجزء الثاني)

إلى مايكروسوفت/بينغ:

1. المنافسة على اللقب وحدها لا تعني السلطة. لا ينبغي أن يؤدي العنوان المطابق إلى تصنيف نطاق جديد في المرتبة الأولى في نتائج البحث المتعلقة بالعلامة التجارية. يجب اشتراط عمر النطاق، أو مصداقية الروابط الخلفية، أو إشارات التحقق من العلامة التجارية.
2. الكشف عن إخفاء المحتوى باستخدام CSS. يجب الإبلاغ عن الصفحات التي تستخدم طبقات «z-index» التي تخفي المحتوى عن المستخدمين ولكنها تعرضه لبرامج الزحف.
3. الكشف عن شبكات PBN المنسقة. إن وجود 15 نطاقًا تشترك في بنية خلفية واحدة وترتبط بنفس الوجهات لا يُعد بناءً عضويًّا للروابط.
4. تمييز النطاقات المسجلة لدى NiceNIC في نتائج بحث العملات المشفرة من أجل إجراء تدقيق أكثر دقة.
5. إنشاء مسار سريع للتعامل مع الرسائل غير المرغوب فيها في DuckDuckGo. يرث محرك البحث DDG جميع الثغرات الأمنية الموجودة في Bing، لكنه يفتقر إلى آلية مستقلة للإبلاغ عن الرسائل غير المرغوب فيها.

إلى شركة «NiceNIC International Group Co., Limited»:

إلى Cloudflare:

تستخدم جميع النطاقات الـ 26 خدمة DNS والبروكسي من Cloudflare. وتُستخدم هذه النطاقات لخدمة برامج استنزاف المحافظ وجمع عبارات البذور من خلال البنية التحتية لشركة Cloudflare.