الجواب السريع
ماذا ينبغي أن تفعل عندما ينتحل موقع تصيّد شخصية مشروعك؟
حين ينتحل موقع تصيّد شخصية مشروعك، تحقق أولا مما إذا كان نطاقك ما زال يُحلّ بالشكل الصحيح؛ ثم حذّر المستخدمين عبر قنوات موثوقة بعنوانك الحقيقي؛ وأبلغ المسجّل والمستضيف بالتوازي؛ وغيّر أي وصول قد يملكه المهاجم. تقدّر Chainalysis أن احتيال الانتحال نما نحو 1,400% في 2025. Wardmint يتصرف خلال 24 ساعة من بلاغ موثّق جيدا.
الساعة الأولى، دقيقة بدقيقة
| الفترة | الإجراء | المسؤول |
|---|---|---|
| من 0 إلى 10 دقائق | أكّد الاحتيال، وتحقق من DNS الخاص بك، وعيّن مسؤولا للحادثة | مسؤول الأمن |
| من 10 إلى 25 دقيقة | انشر تحذيرا على كل قناة موثقة بعنوانك الحقيقي؛ وأوقف أي حملة توقيع | مسؤول المجتمع |
| من 25 إلى 40 دقيقة | أرسل حزمة الأدلة إلى المسجّل والمستضيف؛ وأضف الرابط إلى قوائم التحذير | مسؤول الأمن |
| من 40 إلى 60 دقيقة | تحقق من وصول حساب المسجّل، وغيّر كلمات المرور والمصادقة الثنائية، وراجع سجلات DNS | مسؤول العمليات |
| بعد الساعة الأولى | تابع البلاغات، وحدّث المستخدمين، وقرر بشأن شكوى UDRP | مسؤول الحادثة |
قائمة تحقق الساعة الأولى
افصل بين النسخة المشابهة والاختطاف
نفّذ فحص DNS أدناه. النسخة المشابهة نطاق مختلف؛ والمستخدمون الذين كتبوا أو نقروا بخطأ وصلوا إليه. أما الاختطاف فيعني أن نطاقك نفسه يشير الآن إلى مكان آخر، والحالة طارئة لدى مسجّلك.
عيّن مسؤولا واحدا للحادثة
شخص واحد يملك الجدول الزمني ومجلد الأدلة وكل رسالة صادرة. الآخرون ينفّذون؛ ولا يتصرفون بشكل منفرد.
حذّر المستخدمين من قنوات يثقون بها
انشر العنوان الحقيقي على شريط موقعك، وحساباتك الاجتماعية، وخادم المجتمع، وقنوات تكامل المحافظ. قل بوضوح: لا توقّع طلبا من أي عنوان آخر. واكتب العنوان المزيف بصيغة غير قابلة للنقر، مثل example[.]com، حتى لا ينقر عليه أحد.
ابدأ البلاغات بالتوازي
المسجّل والمستضيف أولا، ثم Safe Browsing وNetcraft وChainabuse وقوائم حظر المحافظ. يحتوي دليل البلاغ على أوامر RDAP.
أغلق وصولك أنت
راجع حساب المسجّل وحساب مزوّد DNS وتسجيلات الدخول إلى الاستضافة. غيّر كلمات المرور، واستبدل المصادقة عبر الرسائل النصية بمفتاح عتاد، وافحص سجلات DNS سطرا سطرا. انظر كيف تحمي حساب المسجّل من الاستيلاء عليه.
ساعد المستخدمين الذين وقّعوا بالفعل
أخبرهم بنقل ما تبقى من الأموال إلى محفظة جديدة، ومراجعة وإلغاء موافقات الرموز بأداة فحص الموافقات في مستكشف البلوكتشين، وإرسال هاش المعاملة إليك. لا تعد باسترداد في الرسالة الأولى.
dig +short NS yourdomain.com
dig +short A yourdomain.com
dig +short TXT yourdomain.com
curl -sL https://rdap.org/domain/yourdomain.com | jq '{status: .status, nameservers: [.nameservers[].ldhName], changed: [.events[] | select(.eventAction=="last changed") | .eventDate]}'
# compare with the values you recorded in your runbook; a changed nameserver or a new "last changed" date you did not make is a hijackكيف تفرّق بين موقع نسخة مشابهة واختطاف لنطاقك؟
إذا كان نطاقك ما زال يُحلّ إلى خوادمك وخوادم أسمائه تخصّك، فالنسخة المزيفة تعيش على نطاق آخر. يستغرق الفحص أقل من دقيقة بالأوامر أعلاه. والنسخة المشابهة تعني أن المهاجم يملك نطاقا مختلفا ويعتمد على خطأ المستخدمين في الكتابة أو النقر على إعلان أو اتباع رابط.
أما الاختطاف فمختلف. في 12 مايو 2025 أُعيد توجيه نطاق Curve Finance على مستوى المسجّل نحو الساعة 20:55 UTC؛ ووجد الفريق ذلك في 21:20 UTC، وأبلغ المستخدمين باستعمال curve.finance عنوانا مؤقتا، وقال إن العقود وبيانات المستخدمين لم تتأثر. وفي مساء 30 أكتوبر 2026، أُعيد توجيه نطاقات نحو عشرة واجهات DeFi أمامية مسجّلة لدى Name.com إلى مجموعة أدوات سحب، وذكرت The Block أن عشرة نطاقات عُلّقت في 8:32 صباحا بتوقيت شرق الولايات المتحدة في اليوم التالي. وفي حالة الاختطاف، اتصل بمسجّلك قبل أي شيء آخر.
ماذا ينبغي أن يقول التحذير للمستخدمين؟
يعطي التحذير الجيد العنوان الحقيقي، ويقول ما الذي يجب رفضه، ولا يتهم أحدا. اجعله في أربعة أسطر: ما الذي حدث، والعنوان الرسمي الواحد، وتعليمة رفض أي طلب توقيع من عنوان آخر، ووقت التحديث التالي.
لا تضع رابطا للموقع المزيف. ولا تخمّن الخسائر. وإشعار Curve في مايو 2025 نموذج جيد للصيغة: قال ما الذي أُعيد توجيهه، وأي عنوان يُستعمل، وأن العقود لم تتأثر. ثبّت الإشعار على كل قناة، وعدّله في مكانه حين تتغير الوقائع، مع وقت كل تعديل. أما الخطوة الأطول أجلا فهي مجموعة دفاعية من متغيّراتك حتى لا تكون النسخ الواضحة معروضة للبيع أمام المهاجم.
ماذا تفعل بالبلاغات والأدلة؟
أرسل حزمة أدلة واحدة إلى كل جهة مستلمة في الساعة نفسها. تحتوي الحزمة على العنوان، ولقطات الشاشة المؤرخة، وطلب التوقيع، وعناوين المحافظ المستلمة، ومخرجات RDAP. يرد الترتيب الكامل للاتصالات في كيف تزيل موقع تصيّد ينسخ تطبيقك اللامركزي.
احتفظ بسجل لكل بلاغ مع وقته والجهة المستلمة ورقم المرجع. تبدأ منه أي شكوى UDRP لاحقة أو شكوى لدى ICANN Compliance أو بلاغ للشرطة. وخسائر أدوات السحب كبيرة: أحصت ScamSniffer 106,106 ضحايا و83.85 مليون دولار أمريكي من خسائر أدوات سحب المحافظ على سلاسل EVM في 2025، لذلك يساعد السجل النظيف المستخدمين الذين يقدّمون بلاغاتهم بأنفسهم.
كم يغيّر الإعداد المسبق من الساعة الأولى؟
يوفّر دليل تشغيل مكتوب الدقائق التي لا تستطيع التفريط فيها. ووفق مسح Wardmint بتاريخ 12 نوفمبر 2026، يحتوي ملف البحث لديه على أربعة سجلات اختطاف لها مصدر أولي منذ يوليو 2024: موجة Squarespace (يوليو 2024)، وCurve Finance (مايو 2025)، وعنقود من خمسة مشاريع (فبراير 2026)، وعملاء Name.com (أكتوبر 2026). ويربط كل مصدر الهجوم بالنطاق أو المسجّل أو طبقة DNS لا بالعقود الذكية، رغم أن سبب أكتوبر 2026 متنازع عليه بين Name.com وVercel. اكتب قبل أن تحتاج: من يملك بيانات دخول المسجّل، وأين تُحفظ مفاتيح 2FA، وسجلات DNS التي تتوقعها، وجهة الاتصال لكل قناة.
للتحصين قبل وقوع حادثة، انظر كيف تؤمّن نطاقك ضد اختطاف DNS. الدعم على Wardmint: رد على البريد الإلكتروني خلال 12 ساعة، 7 أيام في الأسبوع، بما في ذلك المساعدة في DNSSEC وسجلات CAA وبلاغات الإساءة.
أسئلة عن حوادث الانتحال
هل ينبغي أن أوقف موقعي الحقيقي أثناء الحادثة؟
فقط إن كان نطاقك نفسه مختطفا أو مخترقا. أما النسخة المشابهة على نطاق آخر فأبقِ موقعك قائما، واجعل العنوان الحقيقي أوضح.
هل ينبغي أن أعلن الحادثة علنا؟
نعم، بعد أن تؤكدها. فالمستخدمون يوقّعون الطلب المزيف في الدقائق التي تسبق معرفتهم به، لذلك يفيد إشعار قصير وواقعي من قنوات موثّقة أكثر من تقرير كامل يُكتب لاحقا.
هل يستطيع المستخدمون استرداد أموالهم؟
لا تعد بذلك. أخبر المستخدمين كيف يحمون ما تبقى من أموالهم، واطلب منهم مشاركة هاشات المعاملات؛ فالاسترداد يعتمد على السلسلة وأداة السحب وأي إجراء للجهات المختصة.
كم بسرعة سيتصرف المسجّل ببلاغي؟
لا يوجد جدول زمني يلزم كل المسجّلين. وتطلب ICANN من المسجّلين المعتمدين التصرف بسرعة عند توافر دليل قابل للتنفيذ على التصيّد منذ 5 أبريل 2024. ولدى Wardmint، يأتي الإجراء خلال 24 ساعة من بلاغ موثّق جيدا.
خلاصة
- تحقق أولا من DNS الخاص بك: النسخة المشابهة والاختطاف يحتاجان إلى إجراءين مختلفين.
- حذّر المستخدمين من قنوات موثّقة بالعنوان الحقيقي، دون أي رابط حي للموقع المزيف.
- أرسل بلاغات المسجّل والمستضيف بالتوازي مع حزمة أدلة واحدة.
- غيّر وصول المسجّل وDNS والاستضافة، وانتقل إلى 2FA بمفتاح عتاد.
- وفق Chainalysis، نما احتيال الانتحال بنحو 1,400% في 2025.
- أحصت ScamSniffer 83.85 مليون دولار أمريكي خسائر لأدوات سحب المحافظ على سلاسل EVM في 2025.
- Wardmint يتصرف خلال 24 ساعة من بلاغ موثّق جيدا.
المصادر (7)
- حادثة نطاق Curve — Curve Finance (تاريخ القراءة 2026-11-12)
- قراصنة يختطفون عشرة مواقع DeFi مسجّلة كلها لدى Name.com — The Block (تاريخ القراءة 2026-11-12)
- احتيال العملات المشفرة 2026: تقرير Chainalysis — Chainalysis (تاريخ القراءة 2026-11-12)
- تقرير ScamSniffer 2025: خسائر التصيّد بالعملات المشفرة تنخفض 83% إلى 84 مليون دولار — ScamSniffer (تاريخ القراءة 2026-11-12)
- اختطاف الواجهة الأمامية وسطح هجوم Web2 الذي يهدد بروتوكولات Web3 — Blockaid (تاريخ القراءة 2026-11-12)
- باحثون: إعدادات أمان افتراضية ضعيفة مكّنت من اختطاف نطاقات Squarespace — Krebs on Security (تاريخ القراءة 2026-11-12)
- تعديلات 2024 العالمية لاتفاقية اعتماد المسجّلين: إساءة استخدام DNS — ICANN (تاريخ القراءة 2026-11-12)