ملحقات Firefox خبيثة تحاكي محافظ Phantom وJupiter وBitget لسرقة الأصول

مقدمة تحليلية

في 29 أكتوبر 2026، كشف باحثو التهديدات في Socket عن ثلاث ملحقات خبيثة متوفرة على متجر Firefox Add-ons. هذه الملحقات انتحلت صفة محافظ العملات المشفرة الشهيرة Phantom وJupiter وBitget، بهدف رئيسي هو سرقة عبارات استرداد المحافظ والمفاتيح الخاصة. فور تثبيتها، كانت هذه البرمجيات الضارة تمنح المهاجمين سيطرة كاملة على المحفظة الرقمية للمستخدم، مما يمكنهم من نقل الأصول. تتيح عبارة الاسترداد، المؤلفة من 12 أو 15 أو 18 أو 24 كلمة، بالإضافة إلى المفاتيح الخاصة لشبكتي Ethereum وSolana، الوصول المباشر إلى الأموال.

تشير البيانات إلى أن هذه الملحقات كانت نشطة ضمن بيئة Firefox، مما يستعرض ثغرة حرجة في نظام التحقق من الملحقات.

التحليل التقني

عملت الملحقات الخبيثة، التي تم تحديدها بالمعرفات 3092199 لنسخة Phantom المقلدة، و3092666 لنسخة Jupiter، و3092059 لنسخة Bitget، بطريقة متقنة لجمع البيانات الحساسة. كانت هذه الملحقات قادرة على قراءة حقول الإدخال، واكتشاف النصوص المنسوخة (Pasted text)، ومسح الشاشات التي تعرض عبارات الاسترداد. تكمن آلية الهجوم في استغلال الطبيعة السرية لعبارة الاسترداد والمفتاح الخاص، حيث أن من يمتلكهما يمتلك السيطرة الكاملة على المحفظة والأصول المرتبطة بها.

آلية سرقة المفاتيح والأصول

كانت نسخة Phantom الخبيثة، على سبيل المثال، تسجل الأسرار الملتقطة في واجهة خلفية، ثم ترسلها إلى Telegram bot. من هناك، كانت الأموال يتم تحويلها تلقائياً إلى عناوين دفع مبرمجة مسبقاً (hardcoded payout addresses). هذه العناوين غطت مجموعة واسعة من سلاسل الكتل، بما في ذلك Ethereum، وBSC، وPolygon، وArbitrum، وOptimism، وBase، وAvalanche، وSolana، وBitcoin. كانت الملحقة قادرة على قراءة عبارة الاسترداد سواء تم كتابتها أثناء عملية الاستيراد أو عند عرضها على شاشة الكشف.

تضمنت البنية التحتية للمهاجمين نطاقات فرعية متعددة تابعة لـ `bonto[.]io`، مثل `phantom[.]bonto[.]io`، `jupiter[.]bonto[.]io`، `bitget[.]bonto[.]io`، بالإضافة إلى `coinbase[.]bonto[.]io` و`exodus[.]bonto[.]io`، مما يشير إلى محاولات توسيع نطاق الانتحال. تم ربط هذه الأنشطة بعناوين IP التالية: `104.21.34[.]69` و`172.67.155[.]198`. قامت شركة Malwarebytes بحظر نطاقات `bonto.io` الفرعية، مما يحد من انتشار هذه التهديدات. من الملاحظات الحرجة أن الملحقات الأصلية لـ Jupiter تدعم متصفحات Chrome وBrave وEdge، بينما Bitget يدعم Chrome فقط. والأهم من ذلك، أن Phantom صرحت بأن دعم ملحقتها لـ Firefox قد توقف، مما يجعل أي ملحقة تدعي تمثيلها على Firefox مشبوهة فوراً.

السياق وتأثير السوق

يمثل هذا الحادث دليلاً إضافياً على نقاط الضعف المستمرة في منظومة أمن العملات المشفرة، خاصة تلك التي تعتمد على الملحقات المتوفرة في متاجر التطبيقات. في الماضي، كانت الهجمات على المحافظ الرقمية تركز بشكل أكبر على التصيد الاحتيالي المباشر عبر رسائل البريد الإلكتروني أو الروابط المزيفة. الآن، ومع ظهور ملحقات المتصفح الخبيثة التي تحاكي برامج شرعية، أصبح مستوى التعقيد والموثوقية الظاهرية أعلى بكثير. هذا التحول يعني أن المستهدفين ليسوا فقط المستخدمين قليلي الخبرة، بل أيضاً أولئك الذين يعتقدون أنهم يحصلون على برمجيات موثوقة من مصادر رسمية كمتجر Firefox Add-ons.

بالمقارنة مع الممارسات الأمنية المعتادة، حيث تتطلب تطبيقات المحافظ الأصلية تنزيلها من مواقع الويب الرسمية للمطورين، فإن توفر هذه الملحقات المزيفة على متجر Firefox Add-ons يضع عبئاً إضافياً على المستخدم للتحقق من الشرعية. سابقاً، كانت الثقة في متاجر التطبيقات الرسمية أعلى، مما قلل من الحاجة إلى تدقيق مكثف لكل ملحقة. الآن، يتوجب على المستخدمين تطبيق نهج عدم الثقة المطلقة (zero-trust approach) حتى داخل المتاجر الرسمية. هذا لا يقوض فقط ثقة المستخدمين في منصات التوزيع، بل يرفع أيضاً من تكاليف التأمين للمستخدم النهائي من خلال ضرورة استخدام حلول مكافحة البرمجيات الخبيثة المحدثة وفي الوقت الفعلي، مثل Malwarebytes التي قامت بحظر النطاقات الفرعية `bonto[.]io`. الفشل في التحقق من مصدر التثبيت، كما في حالة ملحقة Phantom المزيفة التي طلبت الوصول إلى بيانات على جميع المواقع ولم يكن لديها سياسة خصوصية، يمثل علامة حمراء واضحة تم تجاهلها، مما أدى إلى فقدان الأصول الرقمية للمتضررين.