اترهایدینگ: پخش بدافزار از قراردادهای هوشمند

گروه اطلاعات تهدیدات گوگل از روشی جدید برای انتشار بدافزار خبر داد که هکرها با جاسازی کد مخرب در قراردادهای هوشمند بلاک چین عمومی، دارایی‌ها و اطلاعات کاربران را هدف می‌گیرد. این روش که اترهایدینگ (EtherHiding) نامیده شده است، نخستین بار در سال 2023 شناسایی شد و به گفته گوگل با حملات مهندسی اجتماعی ترکیب می‌شود.

به نقل از گروه اطلاعات تهدیدات گوگل، مهاجمان ابتدا از طریق ایجاد پروفایلهای جعلی و پیشنهادهای شغلی یا مصاحبه‌های ساختگی قربانیان را به وب سایت‌های آلوده هدایت می‌کنند. وقتی کاربر وارد این سایت‌ها می‌شود، اسکریپتی اجرا می‌شود که از طریق فراخوان‌های خواندن فقط (read-only) با یک قرارداد هوشمند روی شبکه بلاک چین ارتباط برقرار می‌کند. استفاده از فراخوان‌های read-only به هکرها امکان می‌دهد بدون ثبت تراکنش روی زنجیره، داده‌ها را استخراج یا عملیات مخرب را اجرا کنند؛ رویکردی که هم ردیابی را دشوار می‌سازد و هم هزینه کارمزد را کاهش می‌دهد.

جزئیات فنی روش و بدافزارهای مورد استفاده

گوگل توضیح داده است که کد مخرب در بخش‌هایی از قرارداد هوشمند پنهان می‌شود که معمولاً از دید کاربران و برخی تحلیلگرهای مبتنی بر رابط کاربری ساده مخفی می‌ماند. سپس اسکریپت‌های جاوااسکریپتی مانند JADESNOW روی دستگاه قربانی دانلود و اجرا می‌شوند تا اطلاعات حساس شامل کلیدهای خصوصی، کوکی‌ها یا سایر داده‌های قابل سوءاستفاده را سرقت کنند. این فرایند به مهاجمان اجازه می‌دهد بدون ارسال تراکنش هزینه بر، اطلاعات لازم را برداشت کنند یا کاربران را به اعمالی وادار کنند که به از دست رفتن دارایی منجر شود.

در گزارش گوگل آمده است که برخی از این حملات با گروه‌های هکری مرتبط با کره شمالی، از جمله گروه لازاروس، مرتبط هستند. مهاجمان برای جلب اعتماد قربانیان شبکه‌های اجتماعی و پیام رسان‌ها از قبیل دیسکورد و تلگرام استفاده می‌کنند و با ایجاد هویت‌های ساختگی توسعه دهندگان یا شرکت‌های فناوری، اهداف خود را زیر نظر می‌گیرند.

پیامدها برای بازار و کاربران

این نوع حملات چند پیامد مهم برای اکوسیستم ارز دیجیتال دارد. اول اینکه تشخیص و ردیابی فعالیت‌های مخرب در سطح قرارداد هوشمند پیچیده تر شده و ابزارهای امنیتی رایج که روی تراکنش‌های ثبت شده تمرکز دارند ممکن است به طور کامل کارآیی نداشته باشند. دوم، بازیگران بداندیش می‌توانند با هزینه اندک و بدون ایجاد تراکنش آشکار، دامنه حملات خود را گسترش دهند که این امر تهدید را هم از نظر سرعت انتشار و هم از نظر مقیاس افزایش می‌دهد.

برای شرکت‌ها و توسعه دهندگان، وجود کد مخرب در قراردادها به معنای ضرورت بازبینی دقیق تر قراردادهای منتشرشده، ایمن سازی زنجیره تامین نرم افزار و اجرای سیاست‌های قوی تائید هویت برای روابط کاری است. برای کاربران نهایی نیز افزایش هشیاری در قبال لینک‌ها و دعوت‌های ناشناس و عدم اتصال کیف پول به سایت‌های ناشناخته حیاتی است.

راهکارهای دفاعی و توصیه‌های امنیتی

گزارش گوگل ضمن هشدار به کاربران، توصیه‌هایی برای کاهش ریسک ارائه کرده است. از جمله این توصیه‌ها می‌توان به خودداری از بازدید و اجرای محتوای وب سایت‌های ناشناس، احراز هویت دقیق برای پیشنهادهای شغلی یا تماس‌های کاری، و عدم اتصال کیف پول‌های حاوی دارایی به صفحات مشکوک اشاره کرد. همچنین استفاده از کیف پول سخت افزاری برای نگهداری کلیدها، به روز نگه داشتن مرورگر و سیستم عامل، و به کارگیری نرم افزارهای آنتی مالور معتبر جزو اقدامات موثر معرفی شده اند.

از منظر توسعه دهندگان قرارداد هوشمند، بررسی دقیق کدهای منتشرشده، امکان مشاهده و آنالیز بایت کد قراردادها پیش از تعامل، و استفاده از روندهای حسابرسی و انتشار شفّافیت قراردادها می‌تواند به کاهش احتمال سوءاستفاده کمک کند. علاوه بر این، مانیتورینگ رفتار قراردادها و گزارش‌های تهدید می‌تواند شناسایی زودهنگام فعالیت‌های غیرمعمول را تسهیل کند.

در پایان، گروه اطلاعات تهدیدات گوگل از جامعه فعال در حوزه بلاک چین خواسته است نسبت به پیام‌ها و وب سایت‌های ناشناس، به ویژه در پلتفرم‌های گفتگو مانند دیسکورد و تلگرام، با احتیاط عمل کنند و هرگونه فعالیت مشکوک را گزارش دهند. به نقل از این گروه، استقبال از ابزارها و رویکردهای جدید برای کشف و جلوگیری از پنهان سازی بدافزار در قراردادهای هوشمند برای محافظت از دارایی‌ها و حریم خصوصی کاربران ضروری است.