نزدیک به 90 درصد از وجوه دزدیده شده قابل بازگشت نیست: هدف حملات وب 3 در نیمه اول 2026 از "کد" به "انسان" تغییر می‌کند

در عصری که واقعیت‌های مصنوعی با هوش مصنوعی ممکن شده‌اند، آنچه باید تأیید شود دیگر یک اطلاعات خاص نیست، بلکه خود محیط است.

در نیمه اول سال 2026، صنعت ارزهای دیجیتال 182 حادثه امنیتی عمومی را تجربه کرد که خسارتی حدود 9.56 میلیون دلار به همراه داشت. آنچه بیشتر نگران‌کننده است، مسیر وجوه دزدیده شده است: طبق آمار SlowMist، تنها 18 حادثه از این تعداد وجوه دزدیده شده را بازگردانی یا مسدود کرده‌اند که مجموع آن حدود 1.18 میلیون دلار است، که 12.3 درصد از کل خسارت را تشکیل می‌دهد و نزدیک به 90 درصد از وجوه دزدیده شده دیگر قابل بازگشت نیستند.

عدد دیگری نیز وجود دارد که ممکن است به اشتباه تفسیر شود: 9.56 میلیون دلار نسبت به سال گذشته نزدیک به 60 درصد کاهش یافته است، اما این به این معنا نیست که صنعت امن‌تر شده است. کاهش خسارت تقریباً به طور کامل ناشی از عدم تکرار یک حادثه بزرگ در سال گذشته (حدود 1.5 میلیارد دلار) در Bybit است؛ در واقع تعداد حوادث نسبت به سال گذشته حدود 50 درصد افزایش یافته است. حملات کاهش نیافته‌اند، بلکه جهت‌گیری آن‌ها تغییر کرده است - از هدف قرار دادن قراردادهای پروتکل به هدف قرار دادن انسان‌ها.

دو حمله با بیشترین خسارت در نیمه اول سال، هیچ‌کدام از طریق نفوذ به قراردادهای هوشمند انجام نشده‌اند: Drift Protocol به دلیل یک نفوذ اجتماعی که به مدت نیم سال ادامه داشت، حدود 2.85 میلیون دلار را از دست داد، که نقطه شروع آن تنها چند معامله "بدون تأثیر قابل مشاهده" بود که توسط یک امضاکننده چند امضایی انجام شد؛ یک قربانی در سنگاپور به یک کنفرانس ویدیویی دعوت شد که تمام مقامات دولتی آن توسط هوش مصنوعی تولید شده بودند و حدود 490 هزار دلار سنگاپور را از دست داد. گران‌ترین آسیب‌ها در انسان‌ها رخ داده است.

این یکی از قضاوت‌های اصلی گزارش نیم سالانه امنیت وب 3 OKX است که به همراه SlowMist و OtterSec منتشر شده است و نتیجه‌گیری مشترکی با گزارش "امنیت بلاکچین و مبارزه با پولشویی در نیمه اول 2026" دارد که همزمان منتشر شده است. این دو گزارش که به ترتیب از یک پلتفرم معاملاتی و یک شرکت امنیتی می‌آیند، به یک قضاوت مشترک اشاره دارند: فراوانی حملات در حال افزایش است، روش‌ها در حال تکامل هستند و هدف‌ها از "کد" به "انسان" تغییر می‌کنند.

کاهش خسارت نسبت به سال گذشته نزدیک به 60 درصد، اما فعالیت‌های حمله نه تنها کاهش نیافته بلکه افزایش یافته است

یک گروه داده، با تقسیم‌بندی‌های مختلف، می‌تواند نتایج متضادی را به همراه داشته باشد، که این پیش‌نیاز درک وضعیت امنیتی این نیم سال است.

طبق گزارش OKX که به آمار SlowMist استناد می‌کند، در نیمه اول سال 182 حادثه و خسارتی حدود 9.56 میلیون دلار وجود داشته است؛ در همین زمان در سال 2025، 121 حادثه و حدود 23.73 میلیون دلار خسارت گزارش شده است. تعداد حوادث نسبت به سال گذشته حدود 50 درصد افزایش یافته است، در حالی که مبلغ خسارت حدود 60 درصد کاهش یافته است. دلیل اصلی کاهش مبلغ، حادثه Bybit در فوریه 2025 (حدود 1.5 میلیارد دلار، هکرها ابزار امضای Safe{Wallet} توسعه‌دهنده را هک کردند و اسکریپت وب‌سایت را تغییر دادند) است که یک مورد افراطی محسوب می‌شود. قضاوت گزارش OKX این است که: با حذف این مورد غیرعادی، خسارت قابل مقایسه در سال جاری نه تنها کاهش نیافته بلکه افزایش یافته است.

گزارش OKX همچنین تغییرات را بر اساس علل حمله به دو دسته تقسیم کرده است: بر اساس تعداد حوادث، نقص‌های قرارداد و منطقی هنوز علت اصلی هستند، با 85 حادثه؛ اما بر اساس مبلغ خسارت، حملات زنجیره تأمین با حدود 2.98 میلیون دلار در صدر قرار دارند، و پس از آن نقص‌های قرارداد (حدود 1.52 میلیون) و افشای کلید خصوصی (حدود 1.30 میلیون) قرار دارند. SlowMist این ویژگی را با هشت کلمه خلاصه کرده است: پراکندگی حوادث، تمرکز خسارت. در این میان، خسارت‌های بزرگ و واقعی به زیرساخت‌ها، زنجیره‌های متقاطع و زنجیره تأمین متمرکز شده‌اند. یک نکته نامتعادل این است که در نیم سال گذشته تنها 20 حادثه در پل‌های زنجیره‌ای رخ داده است، اما خسارتی حدود 3.46 میلیون دلار به همراه داشته است.

وجوه دیگر عمدتاً از نقص‌های قرارداد خارج نمی‌شوند. گزارش OKX تغییرات این نیم سال را به سه خط اصلی تقسیم کرده است: خسارت‌های بزرگ‌تر به طور فزاینده‌ای در خارج از قراردادها اتفاق می‌افتند؛ کاربران عادی به هدف‌های اصلی حمله تبدیل شده‌اند؛ و AI Agent از ابزار به طعمه تبدیل شده است. علاوه بر این، دو خط پیوسته دیگر وجود دارد: نفوذ به مراحل توسعه از طریق زنجیره تأمین و تمام وجوه دزدیده شده که در نهایت به پولشویی می‌رسند. در ادامه به تفصیل به این موارد پرداخته می‌شود.

طرف پروژه: بزرگ‌ترین خسارت‌ها در مکان‌هایی رخ می‌دهد که تحت پوشش حسابرسی نیستند

در نیمه اول سال، بزرگ‌ترین خسارت‌ها در پروژه‌هایی رخ داده است که عمدتاً تحت حسابرسی قرار نگرفته‌اند، و نقاط شکست دقیقاً در خارج از دامنه حسابرسی قرار دارند: فرآیند امضا، کلیدهای ابری، گره‌های تأیید، و دستگاه‌های توسعه‌دهنده. حسابرسی می‌تواند صحت منطق قرارداد را تأیید کند، اما نمی‌تواند امنیت این مراحل عملیاتی را تضمین کند.

KelpDAO: آنچه مورد حمله قرار گرفت، قرارداد نبود، بلکه مسیر تأیید بود. این بزرگ‌ترین خسارت در یک معامله در نیم سال گذشته است. طبق بررسی OtterSec، حمله‌کننده در حال آلوده کردن گره‌های RPC داخلی LayerZero بود و همزمان به گره‌های خارجی صادق حمله DDoS می‌کرد. پیام‌های زنجیره‌ای باید توسط چندین گره مستقل تأیید شوند، اما این پل در آن زمان از پیکربندی "1-of-1" استفاده می‌کرد. تنها نقطه تأیید داده‌های جعلی را دریافت کرد و در نهایت یک برداشت بدون پشتیبانی از دارایی واقعی را آزاد کرد، حدود 116,500 rsETH منتقل شد که حدود 7.5 میلیون دلار بعداً مسدود شد. پیکربندی یک نقطه تأیید به مدت طولانی به عنوان یک پیکربندی با ریسک بالا در نظر گرفته شده است، که در گذشته تنها یک هشدار نظری در ارزیابی ساختاری بود، اما پس از حادثه KelpDAO، به یک خسارت واقعی نزدیک به 300 میلیون دلار تبدیل شد. SlowMist همچنین مسیر وجوه دزدیده شده را اضافه کرده است: LayerZero این حادثه را به گروه فرعی Lazarus TraderTraitor نسبت داده است، و توکن‌های دزدیده شده سپس به عنوان وثیقه در پلتفرم‌های وام‌دهی مانند Aave قرض داده شده‌اند و به طور موقت بحران نقدینگی در بازار DeFi را ایجاد کرده‌اند.

Drift: یک فریب امضایی که شش ماه به طول انجامید. مکانیزم آن قابل توضیح است: durable nonce معادل یک گواهی معامله "از پیش امضا شده، که در هر زمان قابل نقد شدن است" است. حمله‌کننده به عنوان یک مؤسسه کمی جعلی با بیش از 1 میلیون دلار سپرده واقعی به مدت شش ماه اعتماد ایجاد کرد و امضاکننده را به امضای چنین معاملاتی ترغیب کرد. در زمان امضا هیچ تأثیری قابل مشاهده نبود؛ اما وقتی طرف پروژه آستانه چند امضا را تغییر داد و یک پنجره بدون حفاظت timelock (قفل زمانی: عملیات حساس باید با تأخیر عمومی به اجرا درآید) ایجاد کرد، حمله‌کننده معاملات امضاشده را که از قبل به دست آورده بود، پخش کرد و در 12 دقیقه 31 برداشت انجام داد و بیش از نیمی از دارایی‌های قفل شده را برداشت کرد. درس اصلی این حادثه این است که: امضای معاملاتی که در آن زمان "هیچ تأثیری" ندارد، به این معنا نیست که در آینده نمی‌تواند نقد شود؛ امضاهای کور، پیش‌امضاها و معاملات مدیریتی غیرقابل تفسیر باید به عنوان عملیات با خطر بالا در نظر گرفته شوند.

تصویر گروهی از نقاط شکست. کلید ابری AWS Resolv Labs دزدیده شد و حمله‌کننده از این طریق حدود 80 میلیون توکن بدون پشتوانه منتشر کرد؛ Step Finance به دلیل نفوذ به دستگاه‌های مدیران و استفاده از کلید خصوصی برای خالی کردن خزانه آسیب دید؛ Humanity Protocol به دلیل آلوده شدن دستگاه‌های توسعه‌دهنده به بدافزار و از کنترل خارج شدن کلید خصوصی آسیب دید. SlowMist اشاره کرده است که تحلیل‌گر زنجیره‌ای ZachXBT پیگیری کرده است که وجوه دزدیده شده با وجوه دزدیده شده KelpDAO در حال اختلاط بوده و احتمال وقوع جرم داخلی را به طور کلی رد کرده است و دوباره به Lazarus اشاره می‌کند.

گزارش SlowMist همچنین یک سری موارد عمیق‌تر را ثبت کرده است که حملات را به سطح پیاده‌سازی مهندسی رمزنگاری می‌برد. سه حادثه دارای ویژگی مشترک هستند: نقص‌ها در دامنه پوشش معمول حسابرسی کد نیستند.

• Taiko (22 ژوئن، حدود 1.7 میلیون دلار): یک کلید خصوصی امضا به اشتباه به یک مخزن عمومی GitHub ارسال شد و حمله‌کننده از این طریق وضعیت شبکه لایه دو را جعل کرده و وجوه را آزاد کرده است، توکن TAIKO در کوتاه‌مدت بیش از 20 درصد کاهش یافت.

• SecondFi / Yoroi اصلی (21-23 ژوئن، حدود 2.4 میلیون دلار): پیاده‌سازی الگوریتم امضا یک مرحله تصادفی ضروری را از دست داده است که منجر به این شده که یک امضای زنجیره‌ای واحد بتواند کلید خصوصی کامل را بازسازی کند و 374 آدرس دزدیده شده‌اند. نقص ناشی از یک مؤلفه شخص ثالث غیرمجاز است که دو هفته قبل از وقوع حادثه معرفی شده بود.

• THORChain (15 مه، حدود 10.7 میلیون دلار): کلید خزانه تحت مدیریت چند گره (امضای آستانه) بود، به این معنا که هیچ گره‌ای به تنهایی کلید خصوصی کامل را در اختیار نداشت؛ اما یک گره مخرب در طی چندین دور امضای عادی به تدریج تکه‌های کلید را جمع‌آوری کرد و در نهایت کلید خصوصی کامل را بازسازی کرد.

از تأیید زنجیره‌ای، کلیدهای ابری تا الگوریتم‌های امضا، این موارد اشکال مختلفی از یک شکست را نشان می‌دهند: هر زمان که در مسیر کلیدی یک گره وجود داشته باشد که بتواند به تنهایی در مورد مقصد وجوه تصمیم‌گیری کند، آن گره به هدف اصلی حمله‌کننده تبدیل خواهد شد.

بر اساس همین قضاوت، OKX در کنترل ریسک امضا نه تنها "تأیید می‌کند که آیا معامله توسط خود شخص آغاز شده است"، بلکه بیشتر بر این تمرکز دارد که کاربران قبل از امضا، عواقب معامله را درک کنند. در زمینه‌های پرخطر مانند durable nonce و تغییر مالکیت حساب، OKX در نیمه اول سال بیش از 4 میلیون عملیات پرخطر را مسدود یا هشدار داده است که مجموع مبلغ محافظت شده حدود 5.26 میلیون دلار است و بیش از 50 هزار روش زنجیره‌ای را تجزیه و تحلیل کرده است و calldata که دشوار به فهم است را به "این معامله چه دارایی‌هایی را تغییر خواهد داد و چه مجوزهایی را اعطا خواهد کرد" ترجمه کرده است. لازم به ذکر است که این نوع توانایی تنها می‌تواند خطر را کاهش دهد و نه اینکه آن را از بین ببرد، زیرا خود پلتفرم‌های معاملاتی و خدمات کیف پول هدف‌های با ارزش بالایی برای حمله هستند، و حادثه Bybit در سال 2025 دقیقاً ناشی از نفوذ به ابزار امضا بود و هیچ‌کس نمی‌تواند ادعا کند که خود را ایمن کرده است.

سمت کاربر: حملات از آستانه‌های آشنا آغاز می‌شود

زمانی که هزینه‌های حمله به پروتکل افزایش می‌یابد، حمله‌کنندگان به سمت کاربران می‌روند. طبق گزارش OKX، امروزه ورودی‌های حمله بیشتر در صحنه‌هایی است که کاربران کمترین احتیاط را دارند: فروشگاه‌های اپلیکیشن، نتایج جستجو در بالاترین رتبه، حساب‌های دوستان، نرم‌افزارهای کنفرانس، و فرآیندهای استخدام.

• افزونه‌های مرورگر مخرب از مدل "محلی نگهداری، آلوده‌سازی ابری" استفاده می‌کنند: خود افزونه شامل منطق مخرب نیست و می‌تواند از طریق بررسی استاتیک فروشگاه اپلیکیشن تأیید شود؛ صفحات فیشینگ واقعی به صورت زنده از سرورهای راه دور ارسال می‌شوند و می‌توانند هر لحظه دامنه را تغییر دهند (SlowMist در ماه مه یک مورد مشابه از افزونه تقلبی TronLink را شناسایی کرد). به محض اینکه کاربر در این صفحات عبارت‌های یادآوری را وارد کند، کنترل دارایی‌ها به دست حمله‌کننده می‌افتد.

• آلوده‌سازی تبلیغات جستجو به عملیات روزمره نزدیک‌تر است. در یک مورد ثبت شده در گزارش OKX، یک کاربر پس از خرید یک کامپیوتر جدید، ابزارهای توسعه را جستجو کرد و بر روی تبلیغ پرداختی در بالای نتایج جستجو کلیک کرد و طبق دستورالعمل‌های صفحه، یک "دستور نصب" را در ترمینال اجرا کرد، در حالی که آن دستور در واقع یک تروجان سرقت کلیپ‌برد را مستقر کرده بود؛ پس از آن، زمانی که این کاربر حدود 20 هزار دلار را منتقل کرد، آدرس دریافت‌کننده به طور خودکار جایگزین شد. دشواری این نوع حملات در این است که قربانی در تمام مراحل تنها "جستجوی وب‌سایت رسمی، دانلود ابزار، کپی دستور" را انجام داده است.

• فریب‌های مصاحبه استخدام به مسیر «شناسایی---تصویرسازی---هدف‌گیری» پیروی می‌کنند: مهاجمان تحت عنوان مصاحبه فنی از متقاضیان می‌خواهند که صفحه نمایش خود را به اشتراک بگذارند و کیف پول خود را باز کنند تا «تجربه استفاده از DeFi را تأیید کنند»، در واقع در حال ثبت آدرس کیف پول، دارایی‌ها و پروتکل‌های مورد استفاده آن‌ها هستند؛ سپس با استفاده از پروتکل‌هایی که قربانیان واقعاً از آن‌ها استفاده کرده‌اند، صفحات جعلی ایردراپ را جعل کرده و اطلاعات فیشینگ سفارشی را ارسال می‌کنند. در یک مورد ثبت شده در گزارش OKX، قربانی به دلیل این فریب حدود 88 هزار دلار ضرر کرده است.

دو نوع روش جدید دیگر نیز قابل توجه است. یکی از آن‌ها «تأیید امنیتی جعلی 2FA» است: مهاجمان به نام کیف پول رسمی ایمیل ارسال می‌کنند و از دامنه‌ای تقلبی که تنها یک کاراکتر با دامنه رسمی تفاوت دارد، استفاده می‌کنند و با ایجاد حس فوریت از طریق شمارش معکوس، کاربران را فریب می‌دهند تا عبارت بازیابی خود را برای «تکمیل تأیید» وارد کنند. نوع دوم فریب‌های فرآیند تجاری است: با استفاده از سناریوهای تجاری مانند «حسابرسی خارجی» و «تأیید مالکیت توکن» به عنوان طعمه، پیوست‌های مخرب را ارسال می‌کنند (یک نمونه از تحلیل SlowMist با دو پسوند، اسکریپت را به عنوان سند جعل کرده است)، و پس از باز شدن، به عنوان به‌روزرسانی سیستم عمل کرده و رمز عبور را سرقت می‌کنند و سپس درخواست دسترسی به دوربین، ضبط صفحه و نظارت بر صفحه کلید را می‌کنند. هدف نهایی آن‌ها معمولاً دسترسی به ترمینال‌های اداری و خدمات ابری است، نه کیف پول‌های شخصی.

در مورد نوع اول، دو گزارش هشدارهای یکسانی را ارائه می‌دهند:

هر صفحه‌ای که از شما بخواهد عبارت بازیابی را برای تأیید، تصدیق، بازیابی یا ارتقاء وارد کنید، یک فریب است. عبارت بازیابی یک کد تأیید نیست، بلکه خود کنترل دارایی است؛ هیچ کیف پول معتبری از طریق وب‌سایت از شما نمی‌خواهد عبارت بازیابی را وارد کنید.

به دلیل اینکه بسیاری از ضررها نه از معاملات زنجیره‌ای بلکه از برنامه‌های مخرب یا وب‌سایت‌های فیشینگ آغاز می‌شوند، OKX حفاظت را به دستگاه و نقاط دسترسی منتقل کرده است: دستیار اسکن امنیتی آن‌ها بیش از 200 هزار بار تشخیص ریسک انجام داده و بیش از 60 هزار برنامه با ریسک بالا را شناسایی کرده است؛ در مورد وب‌سایت‌های فیشینگ و DApp‌های مخرب، بیش از 7 میلیون بار دسترسی به وب‌سایت‌های پرخطر را مسدود کرده‌اند و تلاش می‌کنند تا قبل از اینکه کاربران عبارت بازیابی را وارد کنند یا کیف پول خود را متصل کنند، مسدودسازی انجام دهند.

و قبل از اینکه مهاجمان با کاربران تماس بگیرند، بخش قابل توجهی از ریسک‌ها قبلاً در مراحل بالاتر دفن شده‌اند------زنجیره تأمین نرم‌افزار.

زنجیره تأمین: آنچه آلوده شده، نه بسته نرم‌افزاری، بلکه خود اعتماد است

ویژگی خاص زنجیره تأمین آلوده این است که: قربانی هیچ اشتباهی نکرده است، بلکه فقط یک وابستگی را به طور معمول نصب کرده، نسخه‌ای را به‌روزرسانی کرده یا به یک دامنه رسمی دسترسی پیدا کرده است. این فصل از گزارش SlowMist به شدت بر این موضوع تأکید دارد و سه مورد نمایشی نشان‌دهنده تکامل این نوع حملات در گستردگی، عمق و ارتفاع است.

• گستردگی: کرم Shai-Hulud. در اواسط ماه مه، یک حساب در 22 دقیقه 637 نسخه مخرب مربوط به 317 نام بسته را منتشر کرد که شامل اجزای محبوبی مانند echarts-for-react (با بیش از 3.8 میلیون بار دانلود در ماه) و size-sensor (با بیش از 4.2 میلیون بار دانلود در ماه) بود. بسته‌های مخرب در مرحله نصب بارگذاری مخفی را فعال کرده و به طور سیستماتیک اطلاعات حساس مختلفی مانند اعتبارنامه‌های AWS، GCP، کلیدهای Kubernetes، کلیدهای SSH و غیره را جمع‌آوری و به صورت رمزگذاری شده ارسال می‌کنند و در عین حال ماژول خودانتشار را برای گسترش کرم‌مانند در خود دارند و همچنین مکانیزم‌های پایدارسازی برای Claude Code و VS Code را پیش‌فرض قرار داده‌اند. هدف سرقت دیگر تنها یک بسته نرم‌افزاری نیست، بلکه دسترسی به کل خط تولید توسعه است.

• عمق: انتقال تدریجی زنجیره اعتماد. در ماه مارس، کتابخانه Python به نام LiteLLM که 97 میلیون بار دانلود در ماه داشت، مورد حمله قرار گرفت. مهاجمان به طور مستقیم به این کتابخانه نفوذ نکردند، بلکه ابتدا ابزار اسکن امنیتی Trivy که فرآیند ساخت آن را آلوده کرده بودند، آلوده کردند و از این طریق کلید انتشار را سرقت کرده و نسخه مخرب را منتشر کردند. توسعه‌دهندگان به LiteLLM اعتماد کردند، LiteLLM به Trivy اعتماد کرد و Trivy هک شده بود، که این باعث شد ابزار امنیتی که باید مسئولیت حفاظت را بر عهده می‌داشت، به بخشی از زنجیره حمله تبدیل شود. در همان ماه، مسمومیت CDN رسمی Apifox که توسط SlowMist رصد شده نیز از همین نوع بود: مهاجمان اسکریپت رسمی را تغییر داده و کد مخرب با تایمر تصادفی را وارد کردند که پس از نصب، بین نیم ساعت تا سه ساعت تأخیر داشت و باعث می‌شد کاربران نتوانند انحراف را با عملیات خاصی مرتبط کنند. این نشان می‌دهد که «منبع رسمی» دیگر به طور کامل معادل «امنیت» نیست.

• ارتفاع: تفکر «سطح حمله» مهاجمان. رئیس امنیت اطلاعات SlowMist، 23pds، در ماه آوریل هشدار داد: زیرگروه Lazarus به نام HexagonalRodent با پیشنهاد شغل‌های دورکاری با حقوق بالا، توسعه‌دهندگان را فریب می‌دهد تا کدی با درب پشتی را اجرا کنند. طبق گزارش OKX، این سازمان به طور گسترده‌ای از ChatGPT و Cursor برای تولید کد و گفتار استفاده می‌کند و با ابزارهای ساخت وب‌سایت AI، وب‌سایت‌های شرکتی و هویت‌های مدیران را جعل می‌کند و حتی از AI برای «بازرسی» کد مخرب خود استفاده می‌کند تا از شناسایی فرار کند؛ تنها در یک فصل از بیش از 2700 سیستم توسعه‌دهنده داده‌های کیف پول را سرقت کرده است. در عین حال، کدهای تولید شده توسط AI نیز در حال ایجاد ریسک‌های جدید هستند، طبق گزارش OKX که به داده‌های OtterSec استناد می‌کند: Georgia Tech 35 مورد از 74 CVE در ماه مارس را به کد تولید شده توسط AI نسبت داده است و یک اسکن از حدود 1400 برنامه «به راحتی تولید شده» 2038 آسیب‌پذیری جدی و بیش از 400 کلید افشا شده را شناسایی کرده است. «عملکرد قابل استفاده» معادل «قابل ورود به محیط تولید» نیست.

حوادث مشابه دیگری نیز شامل نسخه‌های غیرعادی node-ipc است که پس از 21 ماه به‌روزرسانی متوقف شده‌اند و TrapDoor که در سه اکوسیستم بزرگ مسموم شده است. همه آن‌ها به یک نتیجه مشترک اشاره دارند: تمرکز حفاظت در گذشته بر روی بررسی کد بود، اما اکنون باید منبع اعتماد را نیز بررسی کرد. این موضوع به ویژه برای اکوسیستم Agent حیاتی است، زیرا Agent به طور فعال پلاگین‌های خارجی را می‌خواند، نصب می‌کند و اجرا می‌کند. بر این اساس، OKX در اتصال پلاگین‌های کیف پول Agentic، مکانیزم بررسی و بازرسی دوره‌ای را ایجاد کرده است که شامل امنیت کد، دامنه‌های مجاز و وابستگی‌های خارجی است و قضاوت در مورد «قابل اعتماد بودن وابستگی» را به قبل از راه‌اندازی پلاگین منتقل کرده است.

AI: از جعل یک محتوا تا ترکیب یک محیط کامل

با اتصال محتوای قبلی، می‌توانیم یک خط اصلی پنهان را ببینیم: اعتماد ذاتی به «سیستم‌های هوشمندتر» وجود دارد. و اشتباه جمعی بعدی که در حال شکل‌گیری است این است که: Agent از انسان‌ها قابل اعتمادتر است. این درک هنوز به اندازه کافی توسط حوادث اصلاح نشده است، اما هزینه آن در حال نمایان شدن است.

حادثه Bankr در ماه مه یک مورد نزدیک به غیر «نفوذ» است: مهاجمان کلید خصوصی را سرقت نکردند، به قرارداد حمله نکردند، یا سرور را نفوذ نکردند، بلکه فقط از Grok خواستند تا یک کد مورس را ترجمه کند. BankrBot یک Agent AI است که در پلتفرم X مستقر است و می‌تواند با دستورات زبان طبیعی به طور خودکار معاملات زنجیره‌ای را انجام دهد. طبق بررسی SlowMist، مهاجمان ابتدا یک NFT عضویت به کیف پول مرتبط ارسال کردند، حالت دسترسی بالای آن را فعال کردند و سپس یک پیام کد مورس برای Grok ارسال کردند؛ پس از اتمام رمزگشایی، Grok @BankrBot را برچسب‌گذاری کرد و دستور انتقال پنهان (حدود 3 میلیارد توکن DRB) را به صورت متن واضح خروجی کرد و BankrBot آن را به عنوان دستور قابل اعتماد مستقیماً اجرا کرد. ضرر حدود 150 تا 200 هزار دلار (SlowMist آن را حدود 175 هزار دلار ثبت کرده است) و پس از آن حدود 80 درصد قابل بازیابی بود. Grok و BankrBot هیچ آسیب‌پذیری سنتی ندارند، آنچه واقعاً ناکام مانده، مرز اعتماد غیر تأیید شده بین دو سیستم خودکار است. وقتی Agent توانایی امضا و انتقال را دارد، یک دستور مخرب که به عنوان ورودی عادی جعل شده است، می‌تواند به یک ضرر واقعی تبدیل شود.

SlowMist حملات علیه Agent را بر اساس زنجیره شناخت تا اجرا به چهار سطح تقسیم می‌کند که هر سطح دارای موارد واقعی است:

• سطح ورودی: تزریق نشانه‌های غیرمستقیم. وارد کردن دستورات مخرب به محتوای خارجی که Agent به طور فعال می‌خواند، حادثه Bankr از این نوع است.

• سطح حافظه: آلودگی حافظه. تأیید Palo Alto Networks Unit 42 نشان می‌دهد که می‌توان قوانین مخرب را به حافظه بلندمدت Agent نوشت (مانند علامت‌گذاری آدرس مهاجم به عنوان «آدرس دریافت‌کننده معمول») و در مکالمات بعدی به طور مداوم مؤثر باشد.

• سطح ابزار: نفوذ به مجوزها. در حادثه «Claw Chain» OpenClaw که در ماه مه فاش شد، شرکت امنیتی Cyera چهار آسیب‌پذیری قابل زنجیره‌سازی (با بالاترین درجه خطر CVSS 9.6) را شناسایی کرد که می‌توانند به تدریج به کنترل کامل محیط اجرایی منجر شوند.

• سطح زنجیره تأمین: مرکز پلاگین OpenClaw فاقد بررسی است، مهارت‌های مخرب به عنوان اسناد توصیف عملکرد جعل شده و دستورات را با کد پنهان می‌کنند و از «دو مرحله‌ای» برای بارگذاری بار مخرب واقعی به صورت پویا از راه دور استفاده می‌کنند.

تغییر عمیق‌تر AI در صحنه‌های فیشینگ، ارتقاء فریب از «جعل یک محتوا» به عملیات یک مجموعه کامل از «واقعیت‌های ترکیبی» است. طبق گزارش OKX که به افشای «عملیات ترومن» Check Point اشاره دارد، مهاجمان قربانیان را به یک گروه سرمایه‌گذاری خصوصی می‌کشاند که در آن «متخصصان» و «سرمایه‌گذاران» به طور کامل توسط AI بازی می‌شوند و به طور مداوم تحلیل‌ها را منتشر کرده و سودها را نشان می‌دهند و به صورت زنده تعامل می‌کنند؛ قربانیان با یک فریبنده تنها مواجه نیستند، بلکه با یک محیط جعلی که دارای ساختار اجتماعی و اعتماد کامل است، روبرو هستند. موردی که در ابتدای این مقاله به آن اشاره شد، حادثه کنفرانس ویدیویی سنگاپور (نخست‌وزیر، رئیس‌جمهور و نمایندگان اداره مالی به طور همزمان حضور دارند، ضرر حدود 4.9 میلیون دلار سنگاپور) شکل افراطی همان روش است.

بنابراین، هدف حمله به طور اساسی تغییر کرده است: آنچه نیاز به فریب دارد، دیگر قضاوت کاربر در مورد یک اطلاعات خاص نیست، بلکه درک او از واقعیت کلی محیط است. قضاوت «آسیب‌پذیری در انسان‌ها» نیز باید بیشتر گسترش یابد؛ وقتی ماشین‌ها شروع به جایگزینی انسان‌ها در قضاوت می‌کنند، مرز ریسک از «انسان» به همه مراحل مورد اعتماد پیش‌فرض گسترش می‌یابد، از جمله مرزهای اعتماد بین ماشین و ماشین. دفاع سنتی «شناسایی اطلاعات مشکوک» در حال ناکامی است.

در پاسخ، صنعت به یک اجماع رسیده است: Agent می‌تواند معاملات را به طور هوشمندتر سازماندهی کند، اما مراحل اجرایی آن باید تحت محدودیت‌های سخت‌تری قرار گیرد. SlowMist قابلیت‌های امنیتی را در فرآیند اجرای Agent گنجانده است و دروازه امنیتی MistEye آن برای کدهای نمایندگی مانند Claude Code و Cursor مکانیزم سخت‌افزاری «ابتدا شناسایی، سپس اجرا» را فراهم می‌کند و مهارت‌های MistTrack با بیش از 400 میلیون برچسب آدرس زنجیره‌ای و پوشش 19 زنجیره عمومی اصلی، قبل از انتقال، غربالگری ریسک‌های ضد پولشویی را انجام می‌دهد. رویکرد OKX نیز به همین شکل است که امنیت را به طور کامل به قضاوت خود Agent واگذار نمی‌کند: صرف نظر از اینکه معامله به چه روشی تولید شود، قبل از امضا و پخش، یک بررسی ریسک مستقل انجام می‌شود و در صورت شناسایی ریسک، تأیید دوباره یا مسدودسازی مستقیم درخواست می‌شود.

جریان مالی: تنها حدود 12% قابل بازیابی است، پولشویی به شدت صنعتی شده است

به اعداد ابتدایی برگردیم. داده‌های مربوط به ضد پولشویی و نظارت این فصل عمدتاً از پیگیری گزارش SlowMist ناشی می‌شود: در نیمه اول سال، تنها 18 مورد از حوادثی که امکان بازیابی یا مسدود کردن وجوه وجود داشت، ثبت شده است که شامل حدود 389 میلیون دلار دزدیده شده است و حدود 118 میلیون دلار بازیابی یا مسدود شده است که 12.3% از کل ضررها را تشکیل می‌دهد. اکثر وجوه دزدیده شده به محض انتقال غیرقابل بازیابی هستند و دلیل اصلی آن این است که مراحل پایین‌دستی پولشویی به شدت صنعتی شده‌اند.

به عنوان مثال، زنجیره پولشویی لاذاروس به طور زنجیره‌ای به هم متصل است: ابتدا از طریق پروتکل‌های حریم خصوصی مانند Umbra ارتباطات زنجیره‌ای قطع می‌شود، سپس از طریق پروتکل‌های بین زنجیره‌ای بدون نیاز به شناسایی مانند THORChain به بیت‌کوین (که نقدینگی بالایی دارد و تقسیم آن آسان است) تبدیل می‌شود، و پس از آن، وجوه به هزاران آدرس جدید پراکنده می‌شود و از طریق خدمات میکسینگ مانند Sinbad، YoMix و Wasabi پردازش می‌شود و در نهایت از طریق صرافی‌های OTC چین یا شبکه‌های صرافی‌های روسی (مانند Garantex و جانشین آن Grinex) به ارزهای فیات تبدیل می‌شود. اگر دارایی‌های دزدیده شده از نوع توکن‌های rsETH باشند، ابتدا در پروتکل‌های DeFi وثیقه‌گذاری می‌شوند تا دارایی‌های واقعی قرض گرفته شوند و سپس تبدیل شوند. وجوه KelpDAO دقیقاً از این مسیر پیروی می‌کند. به محض ورود وجوه به مراحل بین زنجیره‌ای و میکسینگ، پنجره بازیابی تقریباً بسته می‌شود.

ورود وجوه به پروتکل‌های حریم خصوصی به طور غیرمستقیم تأیید می‌کند: طبق آمار SlowMist مبتنی بر Dune، در نیمه اول سال، مجموعاً حدود 9.74 میلیارد دلار به پروتکل‌های حریم خصوصی اصلی وارد شده است، که Tornado Cash حدود 71% و Railgun حدود 23% از آن را تشکیل می‌دهد و تقریباً 90% از ورودی‌ها به استیبل‌کوین‌ها تعلق دارد. طرف دیگر جرم سازمان‌یافته به صورت «خدمات» ابزارها را نشان می‌دهد: در پلتفرم دزدیدن به عنوان خدمت (Drain-as-a-Service) که SlowMist ردیابی کرده است، تیم Rublevka از سال 2023 بیش از 10 میلیون دلار دزدیده و حداقل 240,000 بار سرقت موفق انجام داده و به زیرمجموعه‌های خود حداکثر 80% سهم می‌دهد؛ StepDrainer نیز مجموعه‌ای از ابزارهای فیشینگ را با قیمت‌گذاری مشخص ارائه می‌دهد و کد منبع کامل آن حدود 750 دلار است. آستانه دسترسی به ابزارهای حمله به سطح بسیار پایینی کاهش یافته است.

محدودیت‌های نظارتی نیز در حال افزایش است و به طور دقیق به نقاط کلیدی مسیرهای پولشویی اشاره می‌کند. در دینامیک‌های بررسی شده توسط SlowMist، سه مورد به طور مستقیم بر روی زنجیره‌های فوق تأثیر می‌گذارد: دور بیستم تحریم‌های اتحادیه اروپا به طور کامل برای اولین بار تجارت با ارائه‌دهندگان خدمات رمزنگاری در روسیه را ممنوع کرده و به طور خاص به Garantex و Grinex به عنوان مسیرهای خروجی اشاره می‌کند؛ DIFC دبی به طور کامل تجارت با ارزهای حریم خصوصی را ممنوع کرده و به مرحله میکسینگ اشاره دارد؛ و هشت نهاد چینی در مقررات جدید فوریه برای اولین بار به وضوح اعلام کردند که بدون تأیید نمی‌توان استیبل‌کوین‌های مرتبط با یوان را در خارج از کشور منتشر کرد. سایر اقدامات نیز به همین سمت پیش می‌روند، از جمله صدور اولین مجوزهای استیبل‌کوین در هنگ کنگ، و کره جنوبی قصد دارد برای صرافی‌هایی که مورد حمله هکرها قرار گرفته‌اند، حداکثر 10% از مبلغ دزدیده شده جریمه وضع کند، و قانون GENIUS در ایالات متحده اولین قوانین استیبل‌کوین را به مرحله اجرا درآورده است. نقطه شروع زنجیره پولشویی معمولاً یک آدرس مخرب یا یک مجوز پرخطر است، و گزارش OKX نیز تأکید می‌کند که توانایی ریسک KYS آن به طور مداوم آدرس‌های غیرعادی، توکن‌های مخرب و مجوزهای پرخطر را شناسایی می‌کند و تلاش می‌کند تا قبل از ورود وجوه به کانال‌های میکسینگ و بین زنجیره‌ای، علامت‌گذاری ریسک را انجام دهد.

نتیجه‌گیری: پیشبرد خط دفاعی به قبل از تأیید

در لحظه‌ای که امضاکننده Drift دکمه تأیید را فشار می‌دهد، تمام دفاع‌ها بی‌معنی می‌شوند. بیشتر درس‌های نیمه اول سال 2026 قبل از این عمل «تأیید» رخ داده‌اند: برخی معامله‌ای را امضا کرده‌اند که نتوانسته‌اند آن را درک کنند، برخی سیستم‌ها مجوزهای بیش از حدی را اعطا کرده‌اند، برخی تیم‌ها به داده‌های نادرست اعتماد کرده‌اند و برخی کاربران به یک جعل به اندازه کافی واقعی اعتماد کرده‌اند.

چه «قبل از امضا، خطرات نقطه‌ای را کاهش دهید، و ابتدا تأیید کنید و سپس اعتماد کنید» که توسط OKX مطرح شده باشد، و چه «ابتدا تأیید کنید و سپس اعتماد کنید» که در سراسر متن SlowMist وجود دارد، در نهایت به یک سمت اشاره می‌کند: پیشبرد قضاوت به قبل از وقوع عمل. بر این اساس، می‌توان سه فهرست را جمع‌بندی کرد.

برای پروژه‌ها: معاملات کلیدی نباید فقط «تأیید کنند که چه کسی امضا کرده است»، بلکه باید تأیید کنند که «آیا امضاکننده عواقب آن را درک می‌کند». عملیات‌هایی مانند چند امضایی، ارتقاء قرارداد، تغییر مالک، و پیکربندی بین زنجیره‌ای باید دارای فرآیندهای قابل تجزیه و تحلیل، قابل شبیه‌سازی و قابل بررسی باشند؛ خروج وجوه بزرگ و تغییر مجوزها باید دارای زمان قفل و هشدارهای غیرعادی باشند. نباید اجازه داد که هیچ مرحله‌ای به تنهایی تصمیم‌گیری کند که وجوه به کجا برود، مانند یک RPC، یک گره تأیید، یک کلید ابری یا یک آدرس مدیر. وابستگی به اسکن باید به یک فرآیند عادی تبدیل شود؛ درخواست‌هایی که شامل وجوه، مجوزها و استقرار هستند، نباید تنها از طریق یک کانال تأیید شوند، و کنفرانس ویدئویی و حساب‌های دوستانه نمی‌توانند به عنوان شناسنامه معتبر در نظر گرفته شوند.

برای کاربران عادی: معاملات غیرقابل درک نباید امضا شوند. دارایی‌های بزرگ و کیف پول‌های روزمره باید جدا نگهداری شوند، و مجوزهای غیرمستمر باید به طور منظم لغو شوند، به ویژه در مورد مجوزهای نامحدود، Permit/Permit2 و غیره باید احتیاط کرد، زیرا بیشتر حملات بلافاصله دارایی‌ها را منتقل نمی‌کنند، بلکه ابتدا مجوز را به دست می‌آورند و سپس در فرصت مناسب اقدام می‌کنند. هر صفحه‌ای که درخواست کلمات عبور را داشته باشد، کلاهبرداری است؛ هر درخواستی که کنترل از راه دور، اشتراک صفحه، نصب نرم‌افزار کنفرانس ناشناخته یا اجرای دستورات ترمینال را درخواست کند، باید ابتدا تأیید شود.

برای کاربران و توسعه‌دهندگان Agent: فیلتر ورودی، محیط‌های شنی برای فراخوانی ابزار، طبقه‌بندی مجوزها، تأیید دوباره عملیات حساس و تأیید قبل از اجرا، باید پیکربندی‌های پایه‌ای برای هر Agent با وجوه قابل نگهداری باشد و نه گزینه‌ای. نباید از کلمات راهنمای سیستم به عنوان ابزار کنترل امنیتی استفاده کرد؛ باید Agent مسئول تولید راه‌حل باشد و سیستم قوانین غیرقابل تغییر مسئول اعطای مجوز باشد.

نیمه اول سال 2026 نه یک بهبود کلی در وضعیت امنیتی، بلکه یک انتقال سیستماتیک در الگوهای حمله است، که از کد قرارداد به افراد، زیرساخت‌ها و خود اعتماد منتقل می‌شود. در عصری که واقعیت ترکیبی ممکن شده است، آنچه باید تأیید شود دیگر یک اطلاعات خاص نیست، بلکه خود محیط است. هدف امنیت هرگز این نیست که از هر یک از شرکت‌کنندگان انتظار داشته باشد که متخصص شوند، بلکه در نقاطی که احتمال خطا بیشتر است، ریسک را قبل از تأیید متوقف کند.

آنچه در نیمه اول سال 2026 بیشتر نیاز به ترمیم دارد، نه یک قرارداد خاص، بلکه خود افراد و فرآیندها است.