أصبح الخروج من منصة Coinbase Commerce محفوفًا بالمخاطر بعد توجيه المستخدمين لإدخال عبارات استرداد حساسة على نطاق فرعي رسمي.

المفتاح الرقمي المتروك تحت السجادة

القاعدة الأساسية للعملات المشفرة بسيطة: لا تشارك عبارة الاسترداد المكونة من 12 كلمة أبدًا.

تعمل هذه السلسلة من الكلمات كمفتاح رئيسي لثروة المستخدم الرقمية بأكملها، ويحذر كل دليل أمني في هذا المجال من أن إدخال هذه الكلمات في موقع ويب هو أسرع طريقة لفقدان كل شيء.

ومع ذلك، بينما تستعد Coinbase لإغلاق منتج Commerce الخاص بها بحلول 31 مارس 2026، قدمت الشركة أداة استرداد تطلب من المستخدمين القيام بذلك بالضبط.

من خلال استضافة نموذج ويب يحث التجار على كتابة عبارات الاسترداد الخاصة بهم كنص عادي مباشرة في المتصفح، خلقت البورصة معضلة أمنية يقول الخبراء إنها تتعارض مع سنوات من التوعية الأمنية الأساسية.

لماذا يُدق خبراء الأمن ناقوس الخطر؟

ازداد الجدل حدةً بعد أن قام يو شيان، مؤسس SlowMist والمعروف باسم Cos، بالإبلاغ عن النطاق الفرعي.

وأعرب عن استغرابه الشديد من أن تُسهّل منصة رئيسية مثل هذه العملية المحفوفة بالمخاطر.

نشر يو شيان على X،

«أنا في حيرة من أمري حقًا، لماذا تُنشئ Coinbase صفحة كهذه، تطلب من المستخدمين مباشرةً إدخال عباراتهم التذكيرية كنص عادي لاستعادة الأصول؟»

يصف هذه الممارسة بأنها "لا تُصدق ببساطة."

المصدر: X

يكمن القلق في أن Coinbase، بجعلها هذه الخطوة مشروعة في عملية نقل البيانات الخاصة بها، تُعلّم المستخدمين أن لصق عبارة الاسترداد أمرٌ غير قانوني. يُعدّ الدخول إلى موقع ويب أمرًا مقبولًا.

يُساهم هذا التطبيع للسلوك المحفوف بالمخاطر بشكل مباشر في خدمة المحتالين الذين يستخدمون أساليب مماثلة لسحب الأموال من المحافظ.

هل هذه هدية لمحتالي الهندسة الاجتماعية؟

سارع محقق البلوك تشين ZachXBT إلى الإشارة إلى أن وجود صفحة رسمية على Coinbase تطلب عبارات الاسترداد يوفر غطاءً مثاليًا للمجرمين.

وتساءل عن المنطق وراء هذه الخطوة، قائلًا:

"إذن، باختصار، لدى Coinbase صفحة رسمية يمكن للمهاجمين استخدامها لاستهداف مستخدمي Coinbase عبر الهندسة الاجتماعية لعبارات الاسترداد إذا أرادوا ذلك؟"

ويزداد الخطر مع اقتراب الموعد النهائي في 31 مارس 2026.

المصدر: X

مع اندفاع عشرات الآلاف من التجار لتحويل الأموال قبل إيقاف المنصة، انخفضت درجة حذرهم النفسي.

إذا أرسل مهاجم رابطًا إلى نسخة مزيفة من هذه الصفحة، فقد يُدخل التاجر مفاتيحه دون تفكير، معتقدًا أنه يتبع ببساطة تعليمات Coinbase الرسمية.

هل يمكن لهذه الأداة يسهل على المهاجمين استنساخه

لا تقتصر العيوب التقنية على حقل الإدخال نفسه.

أشار مسؤول أمن المعلومات في SlowMist، 23pds، إلى أن بنية الموقع سهلة النسخ بشكلٍ مثير للدهشة.

باستخدام برامج أساسية مثل ResourcesSaver، يمكن للمخترق تنزيل كود الواجهة الأمامية واستضافة نسخة طبق الأصل مطابقة تمامًا على نطاق مشابه.

نظرًا لأن أداة Coinbase الحقيقية تقترح على المستخدمين تسجيل الدخول إلى Google Drive لنسخ عباراتهم ولصقها، فإن سير العمل يشجع على مستويات متعددة من التعرض الرقمي.

المصدر: X

إذا كان لدى المستخدم إضافة متصفح مخترقة أو كان متصلاً بشبكة غير آمنة، فسيتم اعتراض هذه الكلمات الاثنتي عشرة لحظة كتابتها، مما يؤدي إلى خسارة لا رجعة فيها للأموال.

كيف يمكن للتجار حماية أصولهم بأمان؟

على الرغم من أن Coinbase قد صرحت لوسائل الإعلام بأنها تنظر في الأمر، إلا أنها لم تصدر بعد بيانًا عامًا واسع النطاق للرد على الانتقادات المحددة من الباحثين.

ومع ذلك، اعتبارًا من وقت كتابة هذا التقرير، تم تعطيل الصفحة.

بالنسبة لأصحاب الأعمال الذين لا تزال أموالهم مرتبطة بمنصة التجارة القديمة، فإنّ أسلم طريقة هي تجنّب إدخال عبارة الاسترداد عبر الإنترنت تمامًا.

يقترح الخبراء استيراد عبارة الاسترداد مباشرةً إلى تطبيق مستقل موثوق به مثل محفظة Coinbase أو MetaMask على جهاز آمن، بدلاً من إدخالها عبر نموذج في المتصفح.

يضمن هذا عدم وصول المفتاح الرئيسي إلى واجهة الويب، مما يحافظ على الحماية بين مدخرات المستخدم والإنترنت المفتوح.

ما هي المخاطر التي تهدد سمعة Coinbase؟

يأتي هذا الحادث في وقت عصيب بالنسبة للبورصة، التي تعاني حاليًا من توحّد الشركة خدماتها تحت مظلة Coinbase Business.

لطالما كانت الشركة صريحة جدًا بشأن الأمن، حتى أنها حذّرت المستخدمين من أن المحتالين غالبًا ما ينتحلون صفة موظفي الدعم لسرقة بيانات تسجيل الدخول.

في ديسمبر 2025، كلّفت عملية احتيال بانتحال صفة موظفي الدعم المستخدمين مليوني دولار، مما يثبت مدى فعالية هذه الهجمات التي تحمل علامات تجارية.

إذا وقعت عملية تصيد احتيالي جماعية بسبب اتباع المستخدمين مسارًا أنشأته منصة التداول نفسها، فسيكون الضرر الذي يلحق بسمعة أبرز شركة عامة في هذا القطاع هائلاً.

مع تبقي أيام قليلة فقط على الإغلاق النهائي، ينتظر المجتمع لمعرفة ما إذا كان سيتم استبدال الأداة ببديل أكثر أمانًا.