ارتفعت تعليمات البرمجيات الخبيثة المكتوبة على البلوكشينات العامة بنسبة 420 في المئة خلال عام، حيث قادت المشغلون المرتبطون بالدولة ما يقرب من ثلثي نشاط نقاط التسليم الجديدة. الثبات، الذي وُصف طويلاً بأنه فضيلة أساسية في الكريبتو، أصبح الآن ميزة محورية في بنية البرمجيات الخبيثة.
تفشي البرمجيات الخبيثة على السلسلة بنسبة 420% — عملة مشفرة تسلّم السلاح
أبرز النقاط
- ارتفعت تعليمات البرمجيات الخبيثة المكتوبة على البلوكشينات العامة من 2.06 كتابة في اليوم إلى 11.1 كتابة في اليوم، بزيادة سنوية بنسبة 420 في المئة، وفقاً لـ Chainalysis.
- المشغّلون المرتبطون بالدول، والذين يرتبطون بكوريا الشمالية وإيران، يمثلون الآن نحو ثلثي نشاط نقاط الإسقاط الجديدة على البلوكشين كل ربع سنة.
- يتزامن الارتفاع مع إصدار نماذج الذكاء الاصطناعي مفتوحة الوزن عالية السعة في منتصف عام 2025، وهو قفزة بنسبة 440 في المئة في النشاط تربطها Chainalysis، لكنها لا تدعي أنها سببها.
- الثبات، الذي كان يُعتبر منذ عقد من الزمان فضيلة أساسية للبلوكشينات العامة، أصبح الآن ميزة محورية في بنية البرمجيات الخبيثة التابعة للدول.
- الاستجابة التنظيمية المتوقعة هي التصفية عند أطراف السلسلة، مما سيؤدي إلى تركيز البنية التحتية التي كان من المفترض أن تبقى لامركزية بشكل هادئ.
ما هو نقطة الإخفاء في سلسلة الكتل؟
تجيب نقطة الإخفاء في سلسلة الكتل على سؤال ضيق: ماذا يحدث للبرمجيات الخبيثة عندما يتم الاستيلاء على خادم الأوامر والتحكم الخاص بها؟ كانت الإجابة في السابق أنها تموت. الآن لم تعد كذلك. لم تعد البرمجيات الخبيثة الموجودة بالفعل على جهاز الضحية بحاجة إلى نطاق للاتصال بالبيت. كل ما تحتاجه هو قراءة سلسلة الكتل.
يكتب المهاجمون مؤشرًا مشفرًا، مثل عنوان خادم أو ملف تكوين أو جدول دوران، في معاملة أو عقد ذكي. يقرأ الجهاز المصاب هذا المؤشر، ويحدّث نفسه، ويستمر في العمل حتى بعد أن تقوم شركات الأمن بإزالة النطاق القديم أو الاستيلاء على الخادم القديم. يمكن إسقاط نطاق. لكن كتلة مؤكدة لا يمكن إسقاطها.
دفع المشغلون المرتبطون بإيران بهذا المنطق إلى نهايته، مستخدمين عنوان بيتكوين مبكرًا ذا أهمية تاريخية كلوحة إعلانات دائمة، ومرسلين مدفوعات غبارية إليه حتى تعرف الأجهزة المصابة أين تنظر. أصبح أثر من الفترة الأولى للشبكة مكونًا حاسمًا في البنية التحتية لبرمجيات إيرانية مشبوهة.
الصورة الأكبر: التلاشي قابل للتغيير واجه أول مستخدم على نطاق الدولة
على مدى عقد من الزمان، كانت اللامركزية ومقاومة الرقابة هما الخاصيتان اللتان وصفهما القطاع على أنهما ضمانات. الكود هو القانون. السلسلة لا يمكن تعديلها. لا يمكن لأحد إلغاء معاملة مؤكدة. كانت تلك الخصائص هي الفرق المعلن بين العملات المشرفة والبنوك التي تجمد الحسابات عندما يتصل بها مسؤولو الحكومة.
يُظهر التقرير ما يحدث عندما تخدم الخصائص نفسها غرضاً مختلفاً. الجهات الفاعلة المرتبطة بالدول والمربوطة بكوريا الشمالية وإيران لا تستخدم سلاسل الكتل فقط لنقل القيمة. بل تستخدمها كاستضافة لا يمكن إزالتها. في أوائل عام 2024، كانت هذه في الغالب تقنية إجرامية سيبرانية عادية. وبعد ثمانية عشر شهراً، أصبحت سباقاً بين البرامج الحكومية.
هذا التحول هو القصة الأكبر، والأوسع من نسبة 420 في المئة. لم تعد هذه قصة عن محتالين. إنها الآن قصة عن دول خاضعة للعقوبات تعيد توجيه البنية التحتية للتجسس عبر مسارات صُممت بحيث لا يمكن لأي سلطة خارجية إزالة أي شيء منها.
من يفوز، ومن يخسر؟
تفوز البرامج المرتبطة بالدول أولاً: فقد حصلت على استضافة دائمة تكلف شبه لا شيء ولا يمكن حذفها. تفوز شركات التحليل الجنائي لسلاسل الكتل أيضاً، لأن كل نقطة إسقاط جديدة تمثل تقرير نسب آخر ومنتجاً آخر للبيع. تكسب مختبرات النماذج مفتوحة الوزن الوصول كعامل تسريع، سواء كان ذلك مقصوداً أم لا.
مبدأ اللامركزية يخسر أولاً. لسنوات، كان الجدل يدور حول أنه لا ينبغي لأحد أن يتمكن من لمس أي شيء على السلسلة. الآن يجب أن يغطي هذا الجدل نظام الملفات المفضل للبرمجيات الخبيثة الكورية الشمالية وبرامج التجسس الإيرانية. يخسر المستخدمون العاديون بطريقة أبسط، لأن هذه البرمجيات الخبيثة تستهدف في النهاية محافظهم، ومتصفحاتهم، ومعلومات اعتماد الدخول الخاصة بهم.
الأثر من الرتبة الثانية هو الأهم لهيكل السوق. إذا لم تستطع السلسلة ضبط نفسها، فإن الحل التنظيمي يتمثل في ضبط حواف السلسلة. وهذا يعني مطالبة مزودي خدمات RPC، ومشغلي العقد، ومجمعي الفهرس، والبورصات بتصفية المحتوى، مما يؤدي إلى تركيز البنية التحتية التي كان من المفترض أن تظل مفتوحة. تمثل الحجج التي دارت حول عقوبات أدوات الخصوصية في عام 2022 لمحات متواضعة عما سيحدث عندما يكون الطلب هو تصفية قنوات قيادة البرمجيات الخبيثة.
هل حدث هذا من قبل؟
نعم، ولكن ليس على هذا النطاق أو مع هؤلاء المشاركين. يعود أول سجل موثق لـ 'النقطة الميتة' في البلوكشين إلى عام 2013، عندما علّقت إحدى متغيرات بكتيريا Necurs نطاقات القيادة والتحكم على Namecoin. في عام 2019، أخفت بكتيريا التعدين Glupteba البيانات في حقل OP_RETURN الخاص بـ Bitcoin. في عام 2023، وباسم EtherHiding، نقلت مجموعة ClearFake كود برامج التجسس إلى عقود BNB Smart Chain بعد فقدان خوادمها التقليدية.
هناك ثلاثة اختلافات الآن. النطاق: ارتفعت عمليات الكتابة الخبيثة من 2.06 في اليوم إلى 11.1 في اليوم في أقل من عام. المشاركة: انتقلت التقنية من حيلة مجرم سيبراني إلى أداة دولة قياسية. تكلفة الدخول: ترسم Chainalysis ارتباطاً واضحاً في نقطة زمنية محددة بين الارتفاع وظهور نماذج الذكاء الاصطناعي مفتوحة الوزن عالية السعة في منتصف عام 2025، القادرة على توليد كود خبيث كفء مع ضوابط محدودة. يمتنع قائد البحث وراء التقرير عن الادعاء بالسببية، ولا يزال التوقيت صعب الإغفال.
كوريا الشمالية هي الحالة الأكثر توثيقاً بوضوح. تتعقب مجموعة Google's Threat Intelligence Group عنقوداً يُعرف باسم UNC5342، والذي تربطه Chainalysis بحملة تُعيد توجيه الآلات المصابة عبر Tron كقناة رئيسية وAptos كقناة احتياطية قبل الوصول إلى معاملة على BNB Smart Chain تحمل بيانات تكوين مشفرة. تقدر TRM Labs أن الجهات الفاعلة المرتبطة بكوريا الشمالية سرقت ما يقرب من 643 مليون دولار من العملات المشفرة خلال النصف الأول من عام 2026، أي ما يقارب ثلثي جميع سرقات العملات المشفرة في تلك الفترة.
إلى أين يتجه هذا الأمر خلال سنة إلى ثلاث سنوات؟
افترض أن الحجم يستمر في الارتفاع. النماذج مفتوحة المصدر لا تُعاد إلى الواجهة، والتكلفة الهامشية لإقامة نقطة إسقاط ميتة (dead drop) كوسيط تتراوح بين بضع مئات من البايتات من البيانات المشفرة. تتبع النسب الاتجاه المعاكس: فهي تتطلب ربط أنماط عبر السلاسل، وسجلات الخوادم خارج السلسلة، وسنوات من تاريخ الحملات. الاقتصاديات مقلوبة، حيث يدفع المهاجمون قروشاً ويدفع المدافعون ملايين الدولارات.
ساحة النزاع ستكون في مجال التصفية. لا يمكن للبلوكشين التمييز بين نقطة إسقاط خبيثة ومعاملة شرعية على مستوى البروتوكول، لأن كليهما مجرد بايتات. إما أن تُقبل السلاسل العامة كبنية تحتية مزدوجة الاستخدام بشكل دائم، أو تنتقل التصفية إلى الهوامش عند مزودي RPC والمحافظ ومجمعي البيانات، مع اللامركزية التي يفترضها ذلك.
النتيجة المرجحة هي كلا الأمرين، بتنفيذ غير مثالي. تظل الطبقة الأساسية غير المرخصة مفتوحة وتصبح أكثر عدائية، بينما تنتقل الأنشطة المنظمة إلى مسارات متوافقة حيث تُعامل التصفية كميزة. على هذا المسار، يسرع هذا التقرير من الانقسام بين العملات المشفرة كمشروع أيديولوجي والعملات المشفرة كبنية تحتية مالية.
ما يجب أن يستخلصه المشاركون في السوق من هذا
لا يتبع من ذلك أي توقع للسعر. القراءة الهيكلية أضيق نطاقاً: لقد أصبح خطر الأمان خطراً على البنية التحتية بدلاً من كونه مسألة حذر فردي. عندما يكون الفاعل التهديدي برنامجاً دولياً يستخدم الذكاء الاصطناعي لتكرار البرمجيات الخبيثة بسرعة أكبر من قدرة المستخدمين على إصلاحها، لم تعد مساحة الهجوم تقتصر على عبارة البذرة (seed phrase) فحسب. بل هي الجهاز الطرفي بأكمله الذي تعمل عليه المحفظة.
تتبع ذلك ثلاث استنتاجات. أصبحت نظافة الجهاز الطرفي مهمة بقدر مراجعة العقود الذكية، لأن الجهاز المخترق يمكنه إعادة كتابة المعاملة بصمت حتى عندما يكون العقد سليماً. من المرجح أن تضيف البورصات والمحافظ احتكاكاً مثل فحوصات الجهاز، ومحاكاة المعاملات، والموقعين الإلزاميين، لأنها تتحمل الخسائر. والسلاسل المذكورة في هذا التقرير تستحق المتابعة: ترون هي في الوقت نفسه أكبر مسار تسوية بالدولار وقناة رئيسية موثقة للبرمجيات الخبيثة، وإذا تعامل المنظمون مع ذلك كمشكلة امتثال بدلاً من كونها مصادفة، ستتغير الصورة بسرعة.
الكود هو القانون، والكود هو أيضاً سلاح
السؤال غير المريح هو كيف تعامل نظام بُني بحيث لا يمكن حذف أي شيء مع اكتشاف أن العقار هو الأكثر قيمة للجهات الفاعلة التي تريد أكثر ما تريد أن يبقى المحتوى في مكانه.
الإجابة حتى الآن ليست المنشق أو المطور. إنها كاتبة البرمجيات الخبيثة والبرنامج الحكومي، اللذان يملكان الآن لوحة إعلانات دائمة ومقاومة للرقابة، بُنيت من قبل الصناعة وأُشيد بها من قبل الصناعة كفضيلة. لم تتوقف الثبات عن كونه ميزة. لقد اكتسبت عميلاً ثانياً.
FAQ
ما هو نقطة إسقاط البلوكشين؟ إنه تخزين تعليمات البرمجيات الخبيثة، مثل عناوين الخوادم، وبيانات التكوين، أو جداول الدوران، داخل معاملة أو عقد ذكي على بلوكشين عام. تقرأ الأجهزة المصابة تلك البيانات للحفاظ على التشغيل بعد مصادرة خوادم القيادة والتحكم التقليدية أو إيقافها عن العمل.
لماذا لا يمكن إزالة البرمجيات الخبيثة من السلسلة؟ لأن البلوكشينات ثابتة بطبيعتها. بمجرد تأكيد المعاملة، لا يمكن حذفها أو تعديلها، ولا يمكن لمزود استضافة أو محكمة أن يفرض إزالتها. هذا الثبات، الذي كان يُحتفى به طويلاً كخاصية أساسية، هو ما يجعل السلسلة مفيدة كبنية تحتية للبرمجيات الخبيثة.
من وراء الارتفاع؟ المجموعات المرتبطة بالدولة تقود معظمها. تعزو تشيناليسيس ما يقرب من ثلثي نشاط نقاط الإسقاط الجديدة كل ربع عام إلى مشغلين مرتبطين بكوريا الشمالية وإيران، مع تحديد العنصر المرتبط بكوريا الشمالية UNC5342 والمشغلين الاستخباراتيين الإيرانيين المشتبه بهم كأكثرهم نشاطاً.
هل تسببت الذكاء الاصطناعي في ذلك؟ تشير تشيناليسيس إلى ارتباط واضح في نقطة زمنية محددة بين الارتفاع وإصدار نماذج الذكاء الاصطناعي مفتوحة المصدر عالية السعة في منتصف عام 2025، وتتوقف عند حد إثبات أن الجهات الفاعلة المحددة استخدمت تلك النماذج. التأثير العملي هو نفسه في كلتا الحالتين: لقد انهارت حواجز المهارة والتكلفة لبنية البرمجيات الخبيثة القائمة على البلوك تشين.
ماذا يمكن للمستخدمين فعله فعلياً؟ الخطر الفوري هو العدوى خارج السلسلة، من خلال التطبيقات المزيفة، والتحميلات الضارة، والأطراف المتضررة، وليس السلسلة نفسها. إن التعامل مع التحميلات بشك أكبر، والحفاظ على عبارات الاستعادة خارج الشبكة، وتفضيل المحافظ المراجعة، والافتراض بأن الجهاز المتضرر يمكنه إعادة كتابة معاملة حتى عندما يكون العقد الذكي سليماً، هي ضوابط عملية.