سرقة بـ2.1 مليار دولار في التشفير
نمط الـ2.1 مليار دولار الذي لم يرغب أحد في رؤيته
في الخميس الماضي، أصدرت TRM Labs تقريرها للنصف الأول من 2025 — سُرقت 2.1 مليار دولار من أنظمة التشفير. ليس عبر اختراق المحفظات أو الهجمات العنيفة، بل عبر تسريب المفاتيح الخاصة واستغلال ثغرات واجهات المستخدم على نطاق واسع. لقد بنيت نماذج لهذا منذ اليوم الأول في شركتي الأولى في مجال التكنولوجيا المالية. نحن لا نتبع الضجة؛ بل نتبع نقاط بيانات تتحرك مثل الدم عبر الطبق. متجهات الهجوم؟ واجهات المستخدم — حيث يثق المطورون في تخزين المتصفح دون MFA، حيث تعيش رموز الجلسات غير محمية في localStorage.
البنية هي الهدف الحقيقي
هذه ليست “سرقات تشفير” كما تصوّرها الإعلام التقليدي. إنها فشلات هيكلية — عيوب مدمجة في طبقة واجهة المستخدم للتطبيقات اللامركزية. رأس CORS واحد غير مُكوَّن بشكل صحيح يمكن أن يفرغ خزانة كاملة أسرع من أي هجوم سلسلة. قسمنا ذلك: من بين 75 حادثة رئيسية تم تتبعها هذا العام، أكثر من 80% جاءت من الوصول إلى الواجهة + تسريب الشهادات — ليس احتيالًا مدعومًا بالتعدين، بل سلوك بشري عشوائي على نطاق واسع.
لماذا يهم هذا (ولماذا ستضيعه)
نحن لا نتحدث عن مفاتيح خاصة مفقودة على أقراص USB (خرافة). نحن نتحدث عن مكونات React تحتوي أسرارًا مثبتة بشكل مباشر لأنها “عملت محليًا.” أعدت النموذج ثلاث مرات الآن — كل مرة أكدت: إذا كان بإمكانك الوصول إليه دون موافقة، فستخسره. السوق لا يدخل في ذعر عندما تنزف المحافظ — بل يفسره عقلانيًا.
دورك الآن
تحقق أدوات تطوير تطبيقك اليوم. إذا كان localStorage الخاص بك يحمل رمز Bearer غير مشفر… فأنت جزء من مجموعة البيانات.
AlgoSphinx
التعليق الشائع (4)
ক্রিপ্টো চুরির সবচেয়ে বড় হামলা? না। সবচেয়ে বড় ‘হামলা’—ব্রাউজারের localStorage-এ Bearer tokenটা unencrypted! 😅 আমি তোমাকেও MFA-এর ‘পথ’খুঁইছি। গতকালের ‘ভয়’—আপনার dApp-এর dev tools-এ ‘কফি’টা गरमला। অথচ wallet-এ ‘blood through the stack’? সবচেয়ে big loss? দিয়াইছি——‘আপনার code’টা production-এ ‘worked locally.’ #DhakaCryptoCoffee #CORSHahay কমেন্টটা দিন—আপনি passwordটা backup कরলেন?
Вот ведь и правда: криптовалюту украли не хакеры с брутфорсом, а разработчики, забывшие MFA в localStorage. У нас тут не кошмары — это баг в реакте! Кто-то закоммитил секрет в продакшен… и теперь вся казна утекает через кросс-домен. Проверьте свои даппы сегодня — если токен не зашифрован… вы уже банкрот. 😅 #Кто ещё доверяет фронтенду?
¡Otra vez con el localStorage sin MFA! ¿Cómo te atreves a confiar en un token desencriptado mientras tu hija de 4 años pide más Netflix? En España pensamos que el cracker es el vecino… pero aquí lo que roba es la arquitectura del miedo. ¡No son hackers! Son tus propios errores de desarrollo… y sí, tu cookie aún vive.
¿Y tú? ¿Guardas tu clave privada como si fuera la receta de abuela? 😅
