حمله زنجیره تأمین (Supply Chain Attacks) چیست؟

حمله زنجیره تأمین (Supply Chain Attacks) چیست؟،بازار ارزهای دیجیتال با تمامی نوآوری‌های خود، به‌دلیل وابستگی به ابزارهای متن‌باز و سرویس‌های شخص ثالث، تبدیل به هدفی جذاب برای هکرها شده است. حملات زنجیره تأمین (Supply Chain Attacks) یکی از روش‌های پیچیده هکرها برای سوءاستفاده از این فضا است. برای درک بهتر این نوع حمله و تأثیرات آن، فرض کنید صاحب رستورانی هستید که بهترین پیتزاهای شهر را تهیه می‌کنید. مشتریان راضی‌اند، کیفیت بی‌نظیر است و همه چیز طبق برنامه پیش می‌رود تا اینکه یکی از تأمین‌کنندگان پنیر، محصول آلوده‌ای ارسال می‌کند. در این شرایط، حتی اگر از طرف شما اشتباهی صورت نگرفته باشد، سلامت محصول و اعتبار شما تهدید می‌شود. در دنیای کریپتو نیز حملات زنجیره تأمین به همین شکل عمل می‌کنند؛ مهاجمان به‌جای هدف قرار دادن خود پروژه، به اجزای ثالثی که پروژه بر پایه آن‌ها ساخته شده، مانند کتابخانه‌های کدنویسی یا API‌ها، نفوذ می‌کنند و اعتبار و وجوه پلتفرم را به‌خطر می‌اندازند.

حمله زنجیره تأمین (Supply Chain Attacks) چیست؟

حمله زنجیره تأمین (Supply Chain Attacks) در دنیای ارزهای دیجیتال یک نوع حمله سایبری است که در آن هکرها به‌جای هدف قرار دادن مستقیم یک پروژه، به مؤلفه‌ها، خدمات یا نرم‌افزارهای شخص ثالثی حمله می‌کنند که پروژه به آن‌ها وابسته است. این مؤلفه‌ها می‌توانند شامل کتابخانه‌ها، رابط‌های برنامه‌نویسی (API) یا ابزارهایی باشند که در برنامه‌های غیرمتمرکز (DApp)، صرافی‌ها یا سیستم‌های بلاکچینی استفاده می‌شوند.

مهاجمان با نفوذ به این وابستگی‌های خارجی می‌توانند کدهای مخرب را وارد کنند یا به سیستم‌های حیاتی دسترسی غیرمجاز پیدا کنند. برای مثال، ممکن است یک کتابخانه متن‌باز پرکاربرد در پلتفرم‌های دیفای را طوری دستکاری کنند که پس از استقرار آن، بتوانند کلیدهای خصوصی را سرقت کنند یا مسیر انتقال وجوه را تغییر دهند.

اتکای اکوسیستم ارزهای دیجیتال به نرم‌افزارهای متن‌باز و یکپارچگی با مولفه‌های شخص ثالث، سیستم را در برابر این نوع حملات بسیار آسیب‌پذیر می‌کند. مهاجمان معمولاً نقاط ورودی ضعیف مانند مولفه‌های اکوسیستم نود پکیج منیجر (Node Package Manager) یا فایل‌های موجود در گیت‌هاب را هدف قرار می‌دهند و با تزریق کد مخرب به کتابخانه‌های پرکاربرد، پروژه‌ها را آلوده می‌کنند.

همچنین، کیف‌پول‌های سخت‌افزاری یا کیت‌های توسعه نرم‌افزار (SDK) ممکن است در زمان تولید یا به‌روزرسانی دستکاری شوند و کلیدهای خصوصی کاربران را در معرض خطر قرار دهند. علاوه بر این، مهاجمان می‌توانند به سرویس‌های شخص ثالث یا اوراکل‌ها نفوذ کرده و با دستکاری داده‌ها یا دسترسی به کیف‌پول‌ها، وجوه را سرقت کنند یا قراردادهای هوشمند در پلتفرم‌های دیفای را مختل کنند.

جالب است که برخی مهاجمان نسخه‌ای سالم از کد را در گیت‌هاب قرار می‌دهند، اما نسخه‌های مخرب را در مخازن PyPI یا NPM منتشر می‌کنند. توسعه‌دهندگانی که به مخزن گیت‌هاب اعتماد می‌کنند، ممکن است هرگز متوجه نشوند که نسخه‌ای که نصب کرده‌اند، با نسخه‌ای که دیده‌اند، تفاوت دارد و می‌تواند خطرناک باشد.

چگونگی حمله زنجیره تأمین (Supply Chain Attacks)

هدف‌گیری یک مؤلفه

مهاجمان ابتدا مؤلفه‌های شخص ثالث پرکاربرد مانند کتابخانه‌های متن‌باز، بخش‌های الحاقی قراردادهای هوشمند یا نرم‌افزارهای کیف‌پول را شناسایی می‌کنند.

آلوده‌سازی مؤلفه

در این مرحله، مهاجم با تزریق کد مخرب یا تغییر عملکرد مؤلفه مورد نظر، آن را آلوده می‌کند. این کار ممکن است از طریق هک کردن مخزن گیت‌هاب، انتشار بسته نرم‌افزاری جعلی یا دستکاری کیف‌پول‌های سخت‌افزاری انجام شود.

پذیرش ناآگاهانه توسط توسعه‌دهندگان

توسعه‌دهندگان یا پلتفرم‌های کریپتویی بدون اطلاع از خطر، مؤلفه آلوده را در پروژه‌های خود به‌کار می‌گیرند. چون بسیاری از پروژه‌ها به فرآیندهای خودکار و منابع معتبر اتکا دارند، این آلودگی معمولاً به‌سرعت شناسایی نمی‌شود و حمله به‌طور گسترده گسترش می‌یابد.

فعال‌سازی هنگام استفاده

زمانی که مؤلفه آلوده در محیط واقعی مورد استفاده قرار می‌گیرد، کد مخرب فعال شده و در حین تعامل کاربر با برنامه یا پروتکل، اقداماتی همچون سرقت کلید خصوصی، انتقال دارایی‌ها یا دستکاری داده‌ها انجام می‌شود.

اثرگذاری گسترده

اگر مؤلفه آلوده توسط تعداد زیادی از توسعه‌دهندگان استفاده شده باشد، این حمله می‌تواند تأثیر زیادی بر کاربران و پلتفرم‌ها بگذارد و پیش از شناسایی، خسارات قابل‌توجهی را به‌بار آورد.

کشف و واکنش

معمولاً حمله تنها پس از ایجاد خسارت سنگین (مثل سرقت وجوه) شناسایی می‌شود. به‌دلیل ویژگی‌های غیرقابل بازگشت و ناشناس بودن تراکنش‌های بلاکچینی، مقابله با مهاجم یا بازیابی دارایی‌ها بسیار دشوار است.

جالب است بدانید که بسیاری از مهاجمان در حملات زنجیره تأمین، برای به‌دست آوردن داده‌های سرقتی مانند عبارت بازیابی یا کلید API از ربات‌های تلگرام استفاده می‌کنند. این روش هم ردپای کمتری به‌جا می‌گذارد و هم سرعت بیشتری دارد. به همین دلیل، نام تلگرام در گزارش‌های مربوط به هک‌های ارزهای دیجیتال به‌طور مکرر مشاهده می‌شود.

بررسی حملات مخرب زنجیره تأمین

در سال ۲۰۲۴، مهاجمان به‌طور فزاینده‌ای از مخازن نرم‌افزارهای متن‌باز (OSS) برای اجرای حملات زنجیره تأمین با هدف سرقت داده‌ها و دارایی‌های کریپتویی استفاده کردند. هدف اصلی این حملات فریب توسعه‌دهندگان برای دانلود بسته‌های آلوده بوده است.

طبق گزارش «امنیت زنجیره تأمین نرم‌افزار ۲۰۲۵» از شرکت امنیت سایبری ریورسینگ لبز (Reversing Labs)، پلتفرم‌های OSS که در این حملات مورد سوءاستفاده قرار گرفته‌اند عمدتاً شامل مخزن نود پکیج منیجر (NPM) و پایتون پکیج ایندکس (PyPI) بوده‌اند. این دو مخزن، نود پکیج منیجر (NPM) و پایتون پکیج ایندکس (PyPI)، به‌طور گسترده در اکوسیستم‌های جاوااسکریپت و پایتون توسط توسعه‌دهندگان پروژه‌های کریپتویی استفاده می‌شوند. در ادامه، جزئیات این گزارش به‌طور مختصر بیان می‌شود:

مخازن هدف‌گرفته‌شده

مهاجمان کدهای مخرب را در مخازن معروف NPM و PyPI بارگذاری کرده‌اند.

تعداد کمپین‌ها

شرکت ریورسینگ لبز مجموعاً ۲۳ کمپین مرتبط با حوزه کریپتو شناسایی کرده است.

تمرکز مهاجمان

از میان این کمپین‌ها، ۱۴ مورد در مخزن NPM و ۹ کمپین دیگر در مخزن PyPI اجرا شده‌اند. این حملات از نظر سطح پیچیدگی متفاوت بوده و شامل روش‌های ساده و شناخته‌شده تا تکنیک‌های پیشرفته و پنهان می‌شود. یکی از روش‌های رایج در این نوع حملات، تایپواسکواتینگ (Typosquatting) یا جعل نام بسته‌ها است. در این تکنیک، مهاجم یک بسته مخرب را با نامی بسیار مشابه به بسته معتبر منتشر می‌کند تا کاربران به اشتباه آن را نصب کنند.

نمومه هایی از حمله زنجیره تأمین (Supply Chain Attacks)

حمله به کتابخانه Bitcoinlib

در آوریل ۲۰۲۵، مهاجمان به کتابخانه محبوب بیت‌کوین‌لیب (Bitcoinlib) در زبان پایتون حمله کردند. آن‌ها بسته‌های مخربی به نام‌های “bitcoinlibdbfix” و “bitcoinlib-dev” را در مخزن PyPI بارگذاری کردند و آن‌ها را به‌عنوان نسخه‌های به‌روزشده و رسمی معرفی کردند. این بسته‌ها شامل بدافزاری بودند که نسخه مخربی از ابزار خط فرمان «clw» را جایگزین می‌کرد و اطلاعات حساس مانند کلیدهای خصوصی و آدرس‌های کیف‌پول را سرقت می‌کرد. هنگامی که کاربران این بسته‌ها را نصب می‌کردند، اطلاعات شخصی‌شان برای مهاجمان ارسال می‌شد و آن‌ها می‌توانستند کیف پول‌های قربانیان را خالی کنند. این حمله با کمک الگوریتم‌های یادگیری ماشین شناسایی و مهار شد. این حادثه، خطر حملات تایپواسکواتینگ در پلتفرم‌های متن‌باز را برجسته کرده و اهمیت راستی‌آزمایی دقیق بسته‌ها قبل از نصب را نشان می‌دهد.

سوءاستفاده طولانی‌مدت از بسته Aiocpa

در سپتامبر ۲۰۲۴، بسته‌ای به نام “aiocpa” که به‌عنوان یک کلاینت معتبر برای “Crypto Pay API” در مخزن PyPI منتشر شده بود، به تدریج اعتماد توسعه‌دهندگان را جلب کرد. اما در ماه نوامبر، نسخه ۰.۱.۱۳ با کدی مخفی منتشر شد که اطلاعات حساس مانند کلیدهای خصوصی و توکن‌های API را سرقت و به ربات تلگرام ارسال می‌کرد. نکته مهم این بود که کد مخرب در مخزن گیت‌هاب این بسته وجود نداشت، بنابراین از بررسی‌های معمول کد عبور می‌کرد. این کد مخفی سرانجام توسط ابزارهای مبتنی بر یادگیری ماشین شناسایی و بسته قرنطینه شد. این حادثه بر اهمیت مدیریت دقیق بسته‌های ثالث و استفاده از ابزارهای پیشرفته برای شناسایی تهدیدات در پلتفرم‌های متن‌باز تأکید می‌کند.

حمله به بسته @solana/web3.js

در یکی از بدترین حملات زنجیره تأمین سال ۲۰۲۴، مهاجمان به بسته محبوب @solana/web3.js که یک API جاوااسکریپتی برای تعامل با بلاکچین سولانا است، نفوذ کردند. آن‌ها کد مخربی را به نسخه‌های ۱.۹۵.۶ و ۱.۹۵.۷ این بسته تزریق کردند تا اطلاعات حساس را سرقت کنند. این بسته به‌دلیل داشتن بیش از ۳٬۰۰۰ پروژه وابسته و ۴۰۰ هزار دانلود هفتگی، هدف مناسبی برای مهاجمان بود. این حمله نشان داد که حتی بسته‌های معتبر و پرکاربرد می‌توانند به مسیری برای حمله تبدیل شوند و تهدیدات جدی برای توسعه‌دهندگان و کاربران در سراسر اکوسیستم ایجاد کنند.

ربایش DNS از کرو فایننس

در سال ۲۰۲۳، پلتفرم کرو فایننس (Curve Finance) هدف حمله جعل سرویس نام دامنه (DNS Hijacking) قرار گرفت. مهاجمان با دسترسی به حساب ثبت‌کننده دامنه، DNSهای ثبت‌شده را تغییر دادند و کاربران را از وبسایت رسمی کرو به یک آدرس جعلی هدایت کردند. با اینکه قراردادهای هوشمند بک‌اند تحت تأثیر قرار نگرفتند، کاربران که به رابط کاربری جعلی متصل شدند، ناآگاهانه تراکنش‌هایی را تأیید کردند که باعث خالی شدن کیف پول‌هایشان شد. این حادثه آسیب‌پذیری بزرگی در دیفای را نمایان ساخت. اگرچه زیرساخت بلاکچین امن است، اما اتکا به سرویس‌های وب متمرکز مانند DNS می‌تواند زمینه نفوذ مهاجمان را فراهم کند.

حمله Dependency Confusion

یکی از ترفندهای مهاجمان در حملات زنجیره تأمین، تکنیکی به نام سردرگمی وابستگی یا حمله Dependency Confusion است. در این روش، نسخه جعلی یک پکیج داخلی در مخازن عمومی بارگذاری می‌شود. اگر سیستم توسعه‌دهنده به اشتباه نسخه جعلی را نصب کند، مهاجمان از طریق درب پشتی به برنامه‌های او دسترسی پیدا می‌کنند.

تاثیر حملات زنجیره تأمین بر امنیت پروژه‌های کریپتویی

از دست رفتن دارایی‌ها و سرمایه

مهاجمان با تزریق کدهای مخرب می‌توانند کلیدهای خصوصی را سرقت کنند، مسیر تراکنش‌ها را تغییر دهند یا از آسیب‌پذیری‌های کیف پول‌ها بهره‌برداری کنند. این اقدامات منجر به ضرر مالی مستقیم برای کاربران و پلتفرم‌ها می‌شود.

آسیب به اعتبار پروژه

حتی اگر تنها یک جزء از پروژه به خطر بیفتد، اعتماد کاربران، سرمایه‌گذاران و شرکا تحت‌الشعاع قرار می‌گیرد. پروژه‌هایی که به‌عنوان ناامن شناخته شوند، قادر به رشد و توسعه نخواهند بود و اعتبار آن‌ها به‌طور چشمگیری کاهش می‌یابد.

پیامدهای قانونی و نظارتی

نقض‌های امنیتی اغلب توجه نهادهای نظارتی را جلب می‌کنند، به‌ویژه زمانی که دارایی کاربران به خطر می‌افتد. این موضوع می‌تواند به اقدامات قانونی، بازرسی‌های اجباری و حتی تعطیلی اجباری پلتفرم‌ها منجر شود.

اختلال در خدمات

این حملات ممکن است مشکلات فنی جدی ایجاد کنند و پلتفرم را مجبور به توقف موقت عملیات، بازگرداندن کد یا اعمال اصلاحات فوری نمایند. در نتیجه، چنین مشکلاتی می‌توانند روند توسعه و عملکرد پلتفرم‌ها را کند کنند.

تأثیر گسترده بر اکوسیستم

اگر مؤلفه‌های حیاتی مانند کتابخانه‌های npm یا APIها آلوده شوند، حملات ممکن است به پروژه‌های متعدد سرایت کرده و خسارات سنگینی را در سراسر اکوسیستم ارزهای دیجیتال به بار آورند.

روش‌های پیشگیری از حملات زنجیره تأمین

مدیریت کد و وابستگی‌ها

توسعه‌دهندگان پروژه‌های کریپتویی باید از سرویس‌ها و منابع معتبر و تاییدشده استفاده کنند. قفل کردن نسخه بسته‌ها و بررسی صحت فایل‌ها با استفاده از الگوریتم‌های چک‌سام می‌تواند از تغییرات غیرمجاز جلوگیری کند. بازبینی منظم وابستگی‌ها، به‌ویژه آن‌هایی که به عملکردهای حساس دسترسی دارند، ضروری است. حذف بسته‌های قدیمی یا بلااستفاده نیز به کاهش ریسک‌ها کمک می‌کند.

امنیت زیرساخت

برای ایمن‌سازی مسیرهای یکپارچه‌سازی مستمر (CI) و استقرار مستمر (CD)، باید کنترل‌های دسترسی دقیق و احراز هویت چندعاملی پیاده‌سازی شود. همچنین، از امضای کد برای تایید اصالت نرم‌افزارهای ساخته شده استفاده کنید. نظارت مستمر بر تنظیمات DNS، حساب‌های ثبت‌کننده دامنه و سرویس‌های هاست برای شناسایی زودهنگام هرگونه دستکاری ضروری است. برای جداسازی کدهای خارجی از سیستم‌های حیاتی، از محیط‌های ساخت ایزوله استفاده کنید.

مدیریت ریسک فروشنده و شخص ثالث

امنیت تمامی شرکای خارجی مانند سرویس‌های حضانتی، اوراکل‌ها و ارائه‌دهندگان خدمات باید به‌دقت ارزیابی شود. تنها با فروشندگانی همکاری کنید که شفافیت دارند، آسیب‌پذیری‌ها را افشا می‌کنند و گواهی‌های امنیتی معتبر دارند. علاوه بر این، بهتر است برای مقابله با خطرات ناشی از اختلال در یک فروشنده، برنامه‌های جایگزین داشته باشید تا در صورت بروز حادثه، پروژه بتواند بدون وقفه به فعالیت خود ادامه دهد.

هوشیاری جامعه و حاکمیت

داشتن یک جامعه توسعه‌دهنده آگاه به مسائل امنیتی از اهمیت بالایی برخوردار است. با تشویق به بازبینی کد توسط همتایان و راه‌اندازی برنامه‌های باگ بانتی، می‌توانید این فرهنگ را تقویت کنید. مشارکت در پروژه‌های متن‌باز را ترویج دهید و در عین حال حاکمیت شفاف و مسئولانه را حفظ کنید. تمام ذی‌نفعان، از جمله توسعه‌دهندگان، کاربران و شرکای فنی، باید به‌طور مستمر با شیوه‌های جدید حملات و روش‌های صحیح واکنش به آن‌ها آشنا شوند. آموزش مستمر یکی از مؤثرترین ابزارها برای پیشگیری از آسیب‌های امنیتی است.

سوالات متداول

• حمله زنجیره تأمین (Supply Chain Attacks) چیست؟

حمله زنجیره تأمین (Supply Chain Attacks) نوعی حمله سایبری است که در آن مهاجم به اجزای خارجی یک پروژه نفوذ کرده و از طریق آن‌ها به سیستم هدف حمله می‌کند.

• چگونه مهاجمان حملات زنجیره تأمین را اجرا می‌کنند؟

مهاجمان معمولاً به‌جای هدف قرار دادن خود پروژه، به ابزارها، کتابخانه‌ها یا سرویس‌های شخص ثالث مورد استفاده در پروژه نفوذ می‌کنند.

• چه نوع ابزارهایی معمولاً در حملات زنجیره تأمین هدف قرار می‌گیرند؟

ابزارهایی مانند کتابخانه‌های متن‌باز، رابط‌های برنامه‌نویسی (API)، و کیف‌پول‌های نرم‌افزاری.

• آیا حملات زنجیره تأمین فقط به پروژه‌های کریپتویی محدود می‌شود؟

خیر، این نوع حملات می‌تواند هر پروژه‌ای که از سرویس‌های شخص ثالث یا نرم‌افزارهای متن‌باز استفاده می‌کند، هدف قرار دهد.

• چه عواملی باعث آسیب‌پذیری در برابر حملات زنجیره تأمین می‌شود؟

وابستگی به سرویس‌های شخص ثالث، عدم راستی‌آزمایی صحیح بسته‌ها و نداشتن کنترل‌های امنیتی مناسب در فرآیندهای توسعه.

• چطور می‌توان از حملات زنجیره تأمین جلوگیری کرد؟

با استفاده از منابع معتبر، بازبینی منظم وابستگی‌ها، استفاده از امضای کد و نظارت مداوم بر تنظیمات سیستم‌های حیاتی.

• آیا حملات زنجیره تأمین می‌توانند تأثیرات گسترده‌ای داشته باشند؟

بله، این حملات می‌توانند به بسیاری از پروژه‌ها سرایت کرده و خسارات سنگینی در سراسر اکوسیستم ایجاد کنند.

• چه روش‌هایی برای شناسایی حملات زنجیره تأمین وجود دارد؟

استفاده از ابزارهای یادگیری ماشین برای شناسایی کدهای مخرب، بازبینی دستی کد و نظارت بر فعالیت‌های غیرمعمول در سیستم.

• آیا مهاجمان از تکنیک‌های خاصی برای حملات زنجیره تأمین استفاده می‌کنند؟

بله، یکی از تکنیک‌های رایج “تایپواسکواتینگ” است که در آن مهاجم یک بسته مخرب با نام مشابه به بسته معتبر منتشر می‌کند تا کاربران به‌اشتباه آن را نصب کنند.

• چه آسیب‌هایی می‌تواند حمله زنجیره تأمین (Supply Chain Attacks) به پروژه‌های کریپتویی وارد کند؟

سرقت داده‌ها، دسترسی به کلیدهای خصوصی، تغییر مسیر تراکنش‌ها و آسیب به اعتبار پروژه.

سخن پایانی

حمله زنجیره تأمین (Supply Chain Attacks) در ارزهای دیجیتال زمانی اتفاق می‌افتد که هکرها به‌جای حمله مستقیم به یک پروژه، به مؤلفه‌های شخص ثالث مانند کتابخانه‌ها، APIها یا ابزارهای زیرساختی نفوذ می‌کنند. این نوع حملات می‌تواند پیامدهای جدی از جمله سرقت دارایی‌ها، افشای داده‌های حساس، اختلال در قراردادهای هوشمند و آسیب به اعتبار پروژه‌ها داشته باشد. برای مقابله با این تهدیدات، پروژه‌ها باید بیش از کدنویسی امن اقدام کنند؛ مدیریت دقیق وابستگی‌ها، استفاده از منابع معتبر، نظارت مداوم بر زیرساخت‌های توسعه، ارزیابی مستمر شرکای شخص ثالث و ترویج فرهنگ امنیتی در میان جامعه توسعه‌دهندگان از جمله گام‌های ضروری برای کاهش ریسک‌های حملات زنجیره تأمین هستند.

ممنون که تا پایان مقاله”حمله زنجیره تأمین (Supply Chain Attacks) چیست؟“همراه ما بودید

بیشتر بخوانید

• حمله آچار فرانسه چیست؟
• حمله انتقال صفر چیست؟
• حمله خون آشام در ارزهای دیجیتال چیست؟
• حمله بروت فورس چیست؟
• حمله متن آشکار چیست؟
• حمله تعویض سیم کارت در ارز دیجیتال چیست؟