تطورت هجمات التصيّد الاحتيالي لتصبح عمليات منظمة مبنية على بنية احتيال مولَّدة بالذكاء الاصطناعي، وأدوات استنزاف محافظ آلية، وغسل أموال عابر للسلاسل. بمجرد اختفاء الأموال، يفترض معظم الضحايا أنه لا يمكن معرفة المزيد. لكن شفافية سلسلة الكتل تقول عكس ذلك، فكل معاملة تترك سجلًا دائمًا وعلنيًا، وEtherscan هي الأداة الأساسية التي يستخدمها المحققون لقراءة ذلك السجل كدليل جنائي لا مجرد فحص رصيد بسيط.
ما الذي يعرضه Etherscan فعليًا
يتيح Etherscan لأي شخص فحص عناوين المحافظ، وتحويلات الرموز، والتفاعلات مع العقود الذكية، واستخدام الغاز، ونشاط الرموز غير القابلة للاستبدال، والمعاملات الداخلية، وأذونات العقود على إيثيريوم. ولأن كل إجراء على الشبكة علني، تبدأ معظم تحقيقات استرداد المحافظ الاحترافية بتحليل مفصَّل على السلسلة عبر مستكشف سلسلة كتل قبل أي شيء آخر.
الخطوة ١: تحديد معاملة السرقة
ابدأ بالبحث عن عنوان المحفظة المخترقة ومراجعة نشاطها الصادر لتحديد المعاملة الدقيقة التي غادرت فيها الأصول. ابحث تحديدًا عن استدعاءات عقود مجهولة، وأذونات مُمنوحة لمنفقين غير محدودين، وتحويلات متعددة تحدث في غضون ثوانٍ من بعضها، وتحويلات إلى محافظ غير مألوفة. تصبح المحفظة التي تلقّت الأموال المسروقة نقطة الانطلاق لكل ما يلي.
فهم بصمة المعاملة (Transaction Hash)
لكل معاملة بصمة فريدة تعمل كبصمة جنائية، تربط بين المرسل، والمحفظة المستلمة، والطابع الزمني، ورسوم الغاز، وحركة الرموز الدقيقة المعنية. عند الإبلاغ عن سرقة إلى منصة تداول، أو محقق، أو جهة إنفاذ قانون، تكون بصمة المعاملة أهم قطعة دليل جاهزة يمكن تقديمها.
الخطوة ٢: تحليل محفظة المهاجم
بمجرد تحديد محفظة الوجهة، تكون المرحلة التالية هي التحليل السلوكي: تكرار المعاملات، وعمر المحفظة، وتنوع الرموز، والعناوين المرتبطة، ومصادر التمويل. تميل محافظ الاحتيال الاحترافية إلى إظهار نشاط مرتفع للغاية، وتوقيت تحويل آلي، وتقسيم سريع للأصول، وتفاعل مع بنية غسل أموال معروفة. النمط عبر معاملات عديدة أهم من أي معاملة بمفردها.
التعرف على بنية أدوات الاستنزاف الآلية
- بنى معاملات متطابقة تتكرر عبر ضحايا عديدين.
- تفاعل متكرر مع المجموعة الصغيرة نفسها من العقود.
- توقيت سرقة متزامن يوحي بعملية آلية بدلًا من إجراء يدوي.
- آلاف معاملات الضحايا الصغيرة التي تصب في المجموعة الصغيرة نفسها من محافظ الوجهة.
الخطوة ٣: تتبع الأموال
نادرًا ما تبقى الأصول المسروقة ساكنة. يقسّم المهاجمون الأموال عادةً عبر محافظ متعددة، ويحوّلون الأصول المتقلبة إلى عملات مستقرة لتثبيت القيمة، ويعبرون بها عبر جسور بين السلاسل لإضافة احتكاك، ويوجهونها عبر منصات تداول لامركزية أو خدمات خلط لطمس المسار. يتطلب تتبع ذلك صبرًا، فكل قفزة إضافية تحتاج تحليلها الخاص، لكن لا شيء منها يمحو السجل الأساسي.
- التقسيم السريع، عبر توزيع الأموال على محافظ عديدة لتعقيد التتبع.
- القفز بين السلاسل، عبر نقل الأصول بين إيثيريوم، وBase، وArbitrum، وسلسلة BNB، وTron، وشبكات أخرى منخفضة الرسوم.
- التحويل إلى عملات مستقرة، عبر مبادلة الأصول المتقلبة بـ USDT أو USDC أو DAI لتثبيت القيمة.
- التفاعل مع خدمات الخلط، عبر توجيه الأموال خلال بنية خصوصية مصممة لطمس المصدر.
الخطوة ٤: راقب الإيداعات في منصات التداول
غالبًا ما تكون اللحظة الأكثر أهمية في عملية التتبع هي وصول الأموال المسروقة إلى منصة تداول مركزية، إذ يمكن لمنصات التداول تجميد الإيداعات المشبوهة، ووسم نشاط غسل الأموال، والتعاون مع تحقيق موثَّق بشكل صحيح. كثيرًا ما يُصنّف Etherscan محافظ منصات التداول المعروفة، ما يسهّل رصدها عبر نشاطها المرتفع الحجم وأنماط تجميع الإيداعات. التوقيت مهم، إذ بمجرد سحب الأموال من منصة تداول، يصبح التتبع أصعب بكثير.
يمكن أن تظل المحفظة معرَّضة للخطر حتى بعد السرقة الأولى. فإذا لم تُلغَ الأذونات التي مكّنت الهجوم الأصلي، يمكن استخدام الوصول نفسه مرة أخرى، ومراجعة أذونات إنفاق الرموز النشطة لا تقل أهمية عن تتبع وجهة الأموال المسروقة.
لا تتجاهل نشاط العقود الذكية
يركّز كثير من الضحايا فقط على تحويلات الرموز ويتجاهلون التفاعلات مع العقود كليًا، ما يفوّت جزءًا كبيرًا من كيفية عمل هجمات التصيّد الاحتيالي الحديثة فعليًا، عبر أذونات خبيثة، وطلبات توقيع مخفية، واستغلالات لوظيفة permit، وعقود تخزين مزيفة. غالبًا ما تكون مراجعة أذونات المنفقين واستدعاءات الوظائف المشبوهة هي حيث تتضح الآلية الحقيقية للسرقة.
أخطاء تزيد الأمور سوءًا
بعد السرقة، من الشائع أن يراسل الضحايا محفظة المهاجم مباشرة، أو يثقوا بعرض استرداد غير مطلوب، أو يتفاعلوا مع عقود خبيثة إضافية أثناء محاولتهم التحقيق بأنفسهم. يستهدف محتالو الاسترداد تحديدًا ضحايا التصيّد الاحتيالي الحديثين بوعود استرداد مضمونة، بينما لا يضمن المحققون الشرعيون أبدًا نتيجة قبل إتمام التحليل.
عادات دفاعية للمستقبل
- استخدم محفظة أجهزة لأي مبلغ يتجاوز أرصدة التداول النشط.
- ألغِ أذونات إنفاق الرموز غير الضرورية بجدول منتظم.
- أبقِ محافظ التداول منفصلة عن التخزين البارد.
- تحقق من النطاقات بعناية قبل ربط محفظة.
- تجنّب التوقيع الأعمى على معاملات لا يمكنك تفسيرها بالكامل.
Etherscan أداة جنائية، لا مجرد عارض أرصدة. الشفافية التي تجعل السرقة ظاهرة أصلًا هي الشفافية نفسها التي تجعل التتبع، والتوثيق، وفي الحالات المناسبة، تجميد إيداع لدى منصة تداول، ممكنًا بعد ذلك.