احتيالات الهندسة الاجتماعية لعقود ذكية
تمثل الهندسة الاجتماعية لعقود ذكية تهديدًا سريع التطور يستهدف حاملي العملات المشفرة، خاصة من لديهم معرفة تقنية متوسطة. على عكس التصيد البسيط، تستغل هذه الاحتيالات الطبيعة الشرعية الظاهرة لمعاملات البلوكشين بخداع المستخدمين لتوقيع عقود ذكية تمنح المحتالين حق الوصول إلى أصولهم الرقمية. عادةً ما تستمر عملية الاحتيال من 1 إلى 7 أيام، حيث يخسر الضحايا في المتوسط 20,000 دولار أمريكي، رغم أن الأهداف المتقدمة خسرت مبالغ أكبر بكثير. يستخدم المحتالون مزيجًا من المحتوى المُولد بالذكاء الاصطناعي، ومواقع مشاريع مزيفة، وانتحال بروتوكولات التمويل اللامركزي (DeFi) الحقيقية لخلق حالة من العجلة حول توزيعات رموز محدودة الوقت، وفرص الزراعة العائدية، أو فعاليات سك الرموز غير القابلة للاستبدال (NFT). وفقًا لشركة الأمن السيبراني Certik، زادت حوادث استغلال العقود الذكية والهندسة الاجتماعية بنسبة 156% في 2023، مع خسائر تجاوزت 14 مليار دولار في فئة الاحتيالات الأوسع في التمويل اللامركزي. ما يجعل هذا التهديد خطيرًا بشكل خاص هو أن معاملة البلوكشين نفسها دائمة ولا يمكن التراجع عنها بمجرد التوقيع، وغالبًا لا يدرك الضحايا أن أموالهم قد تم اختراقها إلا بعد أيام من التفويض الأولي.
الأساليب الشائعة
- • إنشاء مواقع إلكترونية مقلدة مقنعة لمنصات التمويل اللامركزي الحقيقية مثل Uniswap أو OpenSea، مع استخدام العلامات التجارية المسروقة وعناوين URL متشابهة للغاية (مثل 'uniswap-swap.net' بدلاً من 'uniswap.org')، ثم تضمين كود عقد ذكي خبيث في الواجهة.
- • إرسال رسائل مستهدفة عبر Discord أو Telegram تنتحل شخصية مشرفي المشاريع، تقدم تخصيصات حصرية للرموز أو وصولًا مبكرًا لعمليات البيع المسبق التي تتطلب ربط المحفظة عبر تطبيق لامركزي مزيف، مما يؤدي تلقائيًا إلى توقيع الموافقة على العقد.
- • إنشاء فيديوهات على YouTube أو جلسات على Twitter Spaces مصنوعة بالذكاء الاصطناعي تظهر نسخًا مزيفة عميقة لمؤثرين في مجال العملات المشفرة يروجون لاستراتيجيات زراعة عائدات وهمية بعوائد سنوية تزيد عن 500%، موجهين المشاهدين إلى عقود احتيالية خلال دقائق.
- • استخدام عقود فخ (honeypot) تبدو وكأنها تولد أرباحًا في معاملات اختبارية (تظهر مكاسب صغيرة بين 10-50 دولارًا) قبل أن يوقع الضحية العقد الفعلي الذي يستنزف الأموال، مستغلين الاعتقاد النفسي بأنهم تحققوا من صحة الفرصة.
- • تضمين كود عقد خبيث داخل صفحات سك رموز NFT تبدو شرعية، حيث يصرح المستخدمون بحدود إنفاق الرموز (غالبًا ما تكون غير محدودة) معتقدين أنهم يدفعون فقط رسوم الغاز، ثم تُستنزف محافظهم بعد أسابيع.
- • تنفيذ هندسة اجتماعية عكسية عن طريق اختراق حسابات وسائل التواصل الاجتماعي لمشاريع شرعية ونشر إعلانات سحب أو تبادل رموز مرتبطة بعقود احتيالية، مستغلين الثقة المجتمعية القائمة.
كيف تتعرّف عليه
- تظهر في المحفظة المتصلة معاملات لم تقم بها، أو تتلقى إشعارات بموافقات رموز لا تتذكر تفويضها، مما يشير إلى تنفيذ عقد يحتوي على وظائف استنزاف مخفية.
- وصلت إليك 'فرصة' جديدة عبر رسالة غير مرغوب فيها من شخص يدعي كونه مدير مشروع، يقدم وصولًا حصريًا يتجاوز القنوات العامة المعتادة مثل المواقع الرسمية.
- عنوان الموقع يحتوي على أخطاء إملائية طفيفة أو يستخدم امتدادات نطاق مشابهة لكنها مختلفة (.net بدلاً من .org، أو يتضمن شرطات في أماكن غير معتادة) مقارنة بالموقع الرسمي للمشروع.
- عند عرض العقد على مستكشفي البلوكشين مثل Etherscan، يكون كود المصدر غير موثق، أو تتضمن وظائف العقد أذونات مشبوهة مثل 'transferFrom' مع صلاحيات غير محدودة رغم الادعاء بأنها تسهل فقط تبادل الرموز.
- تعد الفرصة بعوائد مستحيلة رياضيًا أو تتجاوز بشكل كبير معدلات السوق (عوائد سنوية تزيد عن 400%)، مع ضغط زمني شديد يفيد بانتهاء العرض خلال ساعات.
- ينخفض رصيد محفظتك بمبالغ غير متوقعة بعد فترة قصيرة من تفويضك ما كنت تعتقد أنه تفاعل عقد غير ضار، مع سجلات بلوكشين تظهر تحويلات رموز إلى عناوين محفظة غير مألوفة.
كيف تحمي نفسك
- تصفح منصات التمويل اللامركزي دائمًا عن طريق كتابة عنوان URL الرسمي الكامل مباشرة في المتصفح أو استخدام الإشارات المرجعية، ولا تنقر على روابط من وسائل التواصل الاجتماعي أو البريد الإلكتروني أو الرسائل مهما كانت موثوقة المصدر.
- قبل ربط محفظتك بأي تطبيق لامركزي أو توقيع أي تفاعل عقد، تحقق من عنوان العقد على Etherscan أو PolygonScan، وتأكد من مطابقته لوثائق المشروع الرسمية، وافحص كود المصدر بحثًا عن تحويلات إلى عناوين مجهولة.
- استخدم أدوات الموافقة على العقود مثل Revoke.cash أو صفحة موافقات الرموز على Etherscan لتقييد أذونات إنفاق الرموز إلى مبالغ أو عدد معاملات محددة بدلاً من منح موافقات غير محدودة.
- أنشئ محافظ عملات مشفرة منفصلة مخصصة فقط لتفاعلات التمويل اللامركزي بمبالغ محدودة، مع الاحتفاظ بمعظم الأصول في محافظ أجهزة آمنة أو محافظ تخزين مخصصة لا تتصل بالتطبيقات اللامركزية.
- فعّل أدوات محاكاة المعاملات المتوفرة عبر ميزات الأمان في MetaMask أو خدمات مستقلة مثل Tenderly لمعاينة ما سيفعله العقد الذكي قبل التوقيع، مع مراقبة أي تحويلات رموز غير مصرح بها.
- تحقق من أي إعلانات رئيسية عبر قنوات المشروع الرسمية (الموقع الأساسي، حسابات تويتر الموثقة بعلامة زرقاء، Discord/Telegram الرسمي) قبل اتخاذ أي إجراء، وقارن المعلومات على مواقع أمن البلوكشين المستقلة مثل CertiK أو Trail of Bits.
أمثلة حقيقية
تلقى مستخدم رسالة على Discord من حساب يحمل شارة مشرف OpenSea (تم شراؤها عبر ميزة التحقق المدفوعة في Discord) تعرض وصولًا حصريًا مبكرًا لطرح NFT كبير. احتوت الرسالة على رابط لموقع مطابق بصريًا لـ OpenSea، حيث ربط المستخدم محفظة MetaMask لتأكيد الأهلية. عرضت صفحة الربط طلب موافقة على رمز لإدارة رسوم الغاز، ووقع المستخدم دون قراءة تفاصيل العقد. خلال ست ساعات، استُنزفت محفظة المستخدم من 15 إيثريوم (حوالي 27,000 دولار في ذلك الوقت) لأن العقد تضمن بند موافقة غير محدودة سمح للمحتال بسحب جميع رموز ERC-20.
وجد متداول عملات مشفرة فيديو على YouTube يظهر ما بدا أنه مؤثر معروف في التمويل اللامركزي (في الواقع نسخة مزيفة عميقة مولدة بالذكاء الاصطناعي) يعرض استراتيجية زراعة عائد جديدة على بروتوكول مجهول. أظهر الفيديو معاملات اختبارية تولد 8 إيثريوم كعوائد خلال 30 دقيقة. قدم المحتال رابطًا مختصرًا يوجه إلى واجهة العقد. بعد إيداع الضحية 2 إيثريوم وتلقيه 8 إيثريوم الموعودة (مموّلة من المحتال لبناء الثقة)، وقع تفويضًا ثانيًا لعقد 'رسوم السحب'، والذي تضمن وظيفة استنزاف نقلت فورًا كل 10 إيثريوم وعدة رموز أخرى إلى محفظة المحتال، بإجمالي خسائر 32,000 دولار.
أعلن عضو في مجموعة Telegram عن توزيع رموز حوكمة DeFi محدود الوقت، مدعيًا توفر 10,000 رمز لأول 100 عضو يتصلون بمحافظهم ويتحققون من هويتهم. تطلب الأمر توقيع تفاعل عقد خلال ساعتين. توجه الضحية إلى الموقع المقدم، وربط محفظته، ووقع عقد مطالبة رموز عاديًا. دون علمه، تضمن العقد كودًا مخفيًا يراقب المحفظة لأي رموز معتمدة وينقلها تلقائيًا إلى عنوان المحتال. خلال الأيام الثلاثة التالية، وأثناء تفاعل الضحية مع بروتوكولات شرعية، حدثت عدة تحويلات غير مصرح بها، مما أدى إلى خسائر بقيمة 18,500 دولار عبر رموز متعددة.
الأسئلة الشائعة
كيف يمكنني التأكد من شرعية العقد الذكي قبل التوقيع؟
هل يمكن استرداد أموالي بعد توقيع عقد ذكي خبيث؟
أين تبلّغ — الدول العربية
القنوات الرسمية في منطقتك للإبلاغ عن هذا الاحتيال.
هيئة تنظيم الاتصالات السعودية
إبلاغبلاغات الاتصالات والاحتيال الرقمي في المملكة العربية السعودية.
مصر - الإدارة العامة لمكافحة جرائم الإنترنت
الجرائم الإلكترونيةالإدارة العامة لمكافحة جرائم الحاسبات والشبكات بوزارة الداخلية المصرية.
هل تعتقد أنك واجهت هذا الاحتيال؟
How to cite this guide
Use this when referencing ScamLens content in articles, research, AI responses, or social media.
According to ScamLens (scamlens.org), احتيالات الهندسة الاجتماعية لعقود ذكية is described at https://scamlens.org/ar/encyclopedia/smart-contract-social-engineering.