الذكاء الاصطناعي يحول الـ Typosquatting لسلاح صامت يخترق متصفحك

مقدمة تحليلية

في الرابع والعشرين من ديسمبر عام 2025، واجه مستخدمو محفظة Trust Wallet الرقمية خسائر مالية فادحة بلغت قيمتها الإجمالية 8.5 مليون دولار أمريكي في غضون 48 ساعة فقط. المفاجأة لم تكن في حجم الخسائر، بل في حقيقة أن هؤلاء المستخدمين لم يقعوا ضحية لهجمات التصيد التقليدية، ولم يضغطوا على روابط مشبوهة، ولم يسربوا كلمات مرورهم. الاختراق تم بالكامل من خلال دودة برمجية متطورة تسمى Shai-Hulud استهدفت مستودع npm للحزم البرمجية لتصل في النهاية إلى المتجر الرسمي لمتصفح Chrome، حيث تم نشر تحديث خبيث وموقع رقمياً لإضافة المتصفح الرسمية لـ Trust Wallet دون إطلاق إنذار أمني واحد. يمثل هذا الحادث نقطة تحول محورية تثبت أن هجمات الـ Typosquatting لم تعد مشكلة تقع على عاتق المستخدم النهائي الذي يخطئ في كتابة اسم موقع ويب. لقد تطورت هذه الهجمات لتصبح تهديداً بنيوياً يضرب سلاسل التوريد البرمجية Software Supply Chain في مقتل. يستعين المهاجمون اليوم بتقنيات الذكاء الاصطناعي التوليدي ونماذج اللغة الكبيرة LLMs لأتمتة إنشاء آلاف النطاقات الشبيهة وحقنها مباشرة في البرمجيات والمكتبات الخدمية للطرف الثالث Third-Party Scripts التي تشغل مواقع الويب الحيوية، مما يجعل جدران الحماية التقليدية وأنظمة الكشف والتحجيم عاجزة تماماً عن رصدها. الخطر الكامن هنا لا يرتبط بالعملات المشفرة وحدها؛ إذ إن السيناريو ذاته يمكن تكراره بسهولة على صفحات الدفع الإلكتروني في مواقع التجارة الإلكترونية، أو صفحات تسجيل الدخول للخدمات المصرفية. عندما يعتمد موقع ويب متوسط على 40 إلى 60 نصاً برمجياً خارجياً لتقديم خدمات مثل تحليلات الزوار، أو نوافذ الدعم الفني، أو أدوات تتبع الأداء، فإن كل نص من هذه النصوص يمثل ثغرة محتملة لتنفيذ هجوم صامت يتسلل مباشرة إلى متصفح العميل النهائي، ويسرق بياناته الحساسة قبل أن تصل إلى خوادم الشركة الأساسية.

التحليل التقني

لفهم كيفية حدوث هذا الاختراق المعقد، يجب تفكيك آلية العمل التقنية التي يعتمد عليها المهاجمون في العصر الحالي، والتي تتجاوز تماماً قدرات الحلول الأمنية التقليدية مثل جدران حماية تطبيقات الويب WAF، وأنظمة الكشف والاستجابة على نقاط النهاية EDR، وسياسات أمان المحتوى CSP. تعتمد الهجمات الحديثة على استراتيجية واضحة تستهدف البنية التحتية البرمجية عبر المراحل التالية:

• استغلال هجمات الحروف المتشابهة Homograph Attacks: يدمج المهاجمون محارف من الأبجديات اللاتينية، والكيريلية، واليونانية لإنشاء نطاقات تبدو متطابقة تماماً بصرياً في شريط عنوان المتصفح، ولكنها تختلف برمجياً في ترميز Unicode الخاص بها، مما يسمح لها بالتهرب من خوارزميات فحص المسافات النصية التقليدية.
• توليد النطاقات المؤتمت بالذكاء الاصطناعي: تتيح نماذج اللغة الكبيرة LLMs للمهاجمين إنتاج آلاف النطاقات البديلة والمقنعة في غضون ثوانٍ معدودة، وإصدار شهادات أمان SSL لها، وإطلاق الحملة بالكامل في أقل من 10 دقائق فقط. ووفقاً لبيانات شركة Sonatype، قفزت عمليات رفع الحزم الخبيثة إلى المستودعات المفتوحة بنسبة 156% خلال عام واحد نتيجة لهذه الأتمتة المفرطة.
• حقن الكود الخبيث في سلاسل التوريد: بدلاً من محاولة خداع المستخدم لزيارة موقع مزيف، يتم اختراق حسابات المطورين أو النشر في مستودعات مثل npm وGitHub لدمج الكود الخبيث مباشرة في مكتبات شائعة الاستخدام.

وقد تجسد هذا الخطر بوضوح في ثلاثة هجمات رئيسية خلال الفترة الماضية:

• هجوم إضافة Trust Wallet في ديسمبر 2025: قامت دودة Shai-Hulud البرمجية بجمع رموز الوصول الخاصة بالمطورين GitHub tokens وnpm publishing keys على مدار أشهر، ثم قامت بنشر نسخة تروجان خبيثة عبر القنوات الرسمية لمتصفح Chrome. قامت الإضافة بالتقاط عبارات الاستعادة Seed Phrases وإرسالها إلى نطاق تحليلات منتحل يحاكي النطاق الرسمي، متسببة في خسارة 8.5 مليون دولار لـ 2,500 محفظة رقمية دون اختراق أي خادم للشركة.
• اختراق حزم chalk وdebug في مستودع npm في سبتمبر 2025: نجح المهاجمون عبر حملة تصيد استهدفت مطوراً واحداً في السيطرة على 18 مكتبة برمجية موثوقة، بما في ذلك مكتبات أساسية مثل chalk وdebug التي تسجل مجتمعة أكثر من ملياري عملية تحميل أسبوعية. تم تعديل الأكواد لربط واجهات برمجة تطبيقات المتصفح Browser APIs واعتراض حركة مرور الشبكة وسرقة العملات الرقمية.
• اختراق مكتبة Solana Web3.js في ديسمبر 2024: تم اختراق حساب نشر تابع للمكتبة البرمجية الرسمية لـ Solana على مستودع npm، وتم دمج وظيفة مخفية تعترض المفاتيح الخاصة بالمعاملات وتخزنها في نطاق تحكم للمهاجمين مسجل حديثاً. شحنت التطبيقات التي تعتمد التحديث التلقائي الثغرة مباشرة إلى مستخدميها، مما أدى لسرقة 200,000 دولار قبل اكتشاف الهجوم وإيقافه في غضون خمس ساعات.

السياق وتأثير السوق

تاريخياً، مر تطور هجمات الـ Typosquatting بثلاث مراحل أساسية؛ بدأت المرحلة الأولى بالاعتماد الكامل على الخطأ الإملائي البشري للمستخدم عند كتابة النطاقات في المتصفح. تلتها المرحلة الثانية التي ركزت على الهندسة الاجتماعية وتوجيه المستخدمين عبر رسائل البريد الإلكتروني الاحتيالية لزيارة نطاقات تبدو حقيقية. أما اليوم، فنحن نعيش في جيل المرحلة الثالثة التي تستهدف هندسة الثقة الممنوحة مسبقاً بدلاً من محاولة تصنيعها؛ فالنظام البرمجي الخاص بالشركات يثق بالفعل في مستودع npm، والمتصفح يثق في شبكات توصيل المحتوى CDN المعتمدة من المطور، وبالتالي يرث المهاجم هذه الثقة تلقائياً بمجرد إدراج نفسه داخل شجرة الاعتماديات البرمجية Dependency Graph. أشار تقرير IBM الخاص بتكلفة اختراق البيانات لعام 2025 إلى أن متوسط الوقت اللازم لتحديد الاختراقات الأمنية يصل إلى 241 يوماً. وفي هجمات سلاسل التوريد البرمجية التي تنفذ أكوادها سراً داخل ذاكرة المتصفح، قد تمتد هذه الفترة لزمن أطول بكثير ما لم تعتمد المؤسسات على حلول متطورة لمراقبة بيئة التشغيل الفورية. يؤثر هذا التحول التكتيكي بشكل كبير على المشهد الأمني وحوكمة المواقع؛ حيث أصبحت المؤسسات تواجه واقعاً يستحيل فيه التدقيق اليدوي في آلاف التحديثات البرمجية اليومية للمكتبات الخارجية. كما أن الاعتماد المطلق على سياسات أمان المحتوى CSP لم يعد كافياً، إذ تقتصر هذه السياسات على التحقق من أصل النطاق المسموح بالاتصال به دون القدرة على فحص السلوك الداخلي للنص البرمجي المعتمد، مما يعني أن أي كود موثوق يتم استبداله أو تعديله بشكل خبيث يمكنه استخراج البيانات وإرسالها للنطاق المصرح به دون إثارة أي شكوك.

رؤية Glitch4Techs

من منظورنا التحليلي في Glitch4Techs، نرى أن المشكلة الكبرى في البنية الأمنية الحالية لمعظم المؤسسات التقنية تكمن في وجود منطقة عمياء شاسعة تبدأ عند نقطة تنفيذ البرمجيات داخل متصفح المستخدم. إن الاكتفاء بحلول جدران الحماية وحماية الخوادم يماثل وضع حراسة مشددة على بوابة مبنى بينما تترك النوافذ الداخلية مفتوحة تماماً للعبث. لمواجهة هذا الجيل الجديد من الهجمات المدعومة بالذكاء الاصطناعي، نؤكد في Glitch4Techs على أن استراتيجيات الدفاع يجب أن تتجاوز فحص جودة وموثوقية المصادر البرمجية إلى المراقبة السلوكية الفورية أثناء التشغيل Runtime Behavioral Monitoring. يتطلب هذا التحول تطبيق نموذج أمني يركز على تتبع سلوك الأكواد بشكل مستمر للكشف عن ثلاثة مؤشرات سلوكية حرجة:

• تسريب البيانات غير المتوقع: مراقبة النصوص البرمجية التي تحاول قراءة حقول الإدخال الحساسة مثل أرقام بطاقات الائتمان أو كلمات المرور وتوجيهها إلى نطاقات غريبة أو حديثة التسجيل.
• حل النطاقات الديناميكي: كشف محاولات الاتصال بنطاقات تم تسجيلها مؤخراً أو تظهر سلوكاً جغرافياً مغايراً للقواعد المعتمدة.
• الانحراف السلوكي للأكواد Behavioral Drift: تتبع التغيرات المفاجئة في تصرفات نص برمجي ظل يعمل بشكل طبيعي لأسابيع ثم بدأ فجأة في الوصول إلى عناصر جديدة في شجرة DOM للموقع.

وتتطلب الخطوات العملية للتصدي لهذا الخطر وضع خطة عمل متكاملة تبدأ فوراً بمراجعة وتدقيق جميع النصوص البرمجية للطرف الثالث المرتبطة بصفحات الدفع وتسجيل الدخول الحساسة، تليها مراجعة شاملة لتقارير CSP وسلوك النطاقات المعتمدة. وفي مرحلة متقدمة، يجب على المؤسسات فرض فحوصات سلامة الموارد الفرعية Subresource Integrity لضمان عدم تعديل الملفات دون علمهم، وتفعيل حلول فك التشفير والتعمية السلوكية المتقدمة عند التشغيل للتصدي للأكواد المشوهة بالذكاء الاصطناعي. إن حماية المتصفح والتحقق من سلامة سلاسل التوريد لم تعد مجرد خيار إضافي، بل هي حجر الأساس لأي استراتيجية أمنية مرنة في عام 2026 وما بعده.