تحولت إضافة لمتصفح جوجل كروم، كانت تتخفى في رداء أداة إنتاجية شرعية، إلى كابوس تقني حقيقي لمستخدمي أجهزة "ماك". وقد أسفر هذا الحادث الأمني الخطير عن سرقة مبالغ ضخمة وصلت إلى 230 ألف دولار أمريكي (ما يعادل تقريبًا 200 ألف يورو) من عملة إيثيريوم من محفظة أحد الضحايا، إلى جانب الوصول غير المصرح به إلى كلمات المرور الحساسة، ورموز التحقق الثنائي، والحسابات الشخصية بالكامل على أجهزة أخرى، مما يبرز أهمية تعزيز الأمن السيبراني الشخصي.
- ✅ اكتشاف برمجية خبيثة تنتحل صفة إضافة Notion Web Clipper الشهيرة على متجر كروم.
- ✅ استنزاف ما قيمته 230,000 دولار من عملة ETH من محافظ MetaMask المخترقة.
- ✅ استغلال ميزة المزامنة في متصفح كروم لنشر العدوى تلقائيًا بين أجهزة المستخدم المختلفة.
- ✅ تسريب بيانات الموقع الجغرافي، كلمات المرور المحفوظة، وملفات تعريف الارتباط إلى خادم في الصين.
لقد نالت هذه القضية اهتمامًا واسعًا في الأوساط التقنية، حيث أن أداة تعتمد على نظام Claude Code هي التي نجحت في رصد وجود البرمجية الخبيثة وتحديد نشاطها. ومع ذلك، وبحلول وقت اكتشاف الإصابة، كان الضرر قد وقع بالفعل، وفقد أحد الضحايا إمكانية الوصول إلى ثروته من العملات المشفرة بشكل كامل.
استخدمت الإضافة المسؤولة عن الهجوم نفس اسم تطبيق "Notion Web Clipper" المعروف، مما أتاح لها التخفي والعمل بذكاء على الأجهزة المصابة دون إثارة أي شكوك لدى المستخدمين أو أنظمة الحماية التقليدية.
Claude Code found a backdoor and spyware on two MacBooks. mine and my friend's. everything was going to a guy named Li Wei on a Tencent Cloud server in Shenzhen. we checked our phones first. both clean. the MacBooks weren't. $230,000 in ETH vanished from my wallet. my friend kept losing access to his accounts no matter how many times he changed passwords. we put both MacBooks on the table and Claude Code found the same backdoor on both. on my M1 Pro it: stole my MetaMask wallet keys $230,000 in ETH sent out at 4am to 0x8a7d...3f1e on his M5 Pro it: dumped every saved password from Safari and Chrome copied active session cookies for gmail, twitter, coinbase grabbed his 2FA backup codes all going to Li Wei's server: IP → 119.28.***.47 location → Shenzhen, China provider → Tencent Cloud attacker OS → Windows 11 Pro hostname → DESKTOP-LI4*** panel language → zh-CN last ping from my Mac → 40.7**, -73.9** · 3 min ago it was still sending my location while i was scanning it. how it got in: a Chrome extension called "Notion Web Clipper" with 12 reviews. i installed it from a google ad. the real one has 400,000+ users. this one had 12. Chrome Sync pushed it to his browser automatically. i was the reason he kept getting hacked. changed every password from our phones. not from either Mac. the full step by step is below. takes 3 minutes. save it so you don't lose it and send it to anyone with a MacBook.
— starmex (@starmexxx) October 22, 2026
كيف انتشرت الإضافة الخبيثة واستهدفت مستخدمي الماك؟
وفقًا لشهادات المتضررين، بدأت الكارثة بنسخة مزيفة من إضافة Notion Web Clipper تم الترويج لها عبر إعلانات جوجل. وبينما تملك الإضافة الأصلية مئات الآلاف من المستخدمين، لم يكن للنسخة الخبيثة سوى 12 تقييمًا فقط، ورغم ذلك نجحت في خداع الضحايا بسبب التطابق التام في الاسم والمظهر.
لعبت ميزة "المزامنة" (Chrome Sync) في متصفح كروم دورًا جوهريًا في تفاقم الأزمة. فبمجرد تثبيت الملحق الخبيث على جهاز واحد، قامت جوجل تلقائيًا بدفعه وتثبيته على أجهزة الماك الأخرى المرتبطة بنفس الحساب، مما أدى إلى اختراق سلسلة من الأجهزة في وقت قياسي.
في الجهاز الأول، والمزود بشريحة M1 Pro، تم استخراج المفاتيح الخاصة المخزنة في محفظة MetaMask. وبعد وقت قصير، وتحديدًا في الساعة الرابعة صباحًا، قام المهاجمون بتحويل 230 ألف دولار من إيثيريوم إلى محفظة مجهولة. أما في الجهاز الثاني (M5 Pro)، فقد قام البرنامج بسحب كافة كلمات المرور من Safari وChrome، وسرقة ملفات تعريف الارتباط للجلسات النشطة على منصات مثل Gmail وCoinbase، بالإضافة إلى الحصول على رموز النسخ الاحتياطي للمصادقة الثنائية.
إلى جانب سرقة البيانات المالية، استمرت البرمجية الخبيثة في العمل في الخلفية، حيث كانت ترسل إحداثيات الموقع الجغرافي الدقيقة للأجهزة المخترقة إلى خادم يقع في مدينة شينزين الصينية تابع لشركة Tencent Cloud.
كيف يمكن التمييز بين الإضافة الأصلية والمزيفة على متجر كروم؟
يجب دائمًا التحقق من عدد المستخدمين والتقييمات؛ فالإضافة الأصلية لـ Notion تملك أكثر من 400,000 مستخدم، بينما النسخة الخبيثة لم يتجاوز عدد مستخدميها بضع عشرات. كما يجب الحذر من الروابط التي تظهر كإعلانات في نتائج بحث جوجل.
ما هي البيانات التي تستطيع هذه الإضافة الخبيثة الوصول إليها؟
تمتلك هذه البرمجية القدرة على الوصول إلى المفاتيح الخاصة لمحافظ العملات الرقمية، كلمات المرور المحفوظة في المتصفح، ملفات تعريف الارتباط الخاصة بجلسات الدخول (Cookies)، ورموز التحقق الثنائي (2FA)، بالإضافة إلى تتبع موقع الجهاز الجغرافي.
لماذا انتقلت العدوى تلقائيًا إلى أجهزة الماك الأخرى؟
يعود ذلك إلى تفعيل ميزة "مزامنة كروم" (Chrome Sync)، والتي تقوم بمزامنة كافة الإضافات والملحقات المثبتة عبر جميع الأجهزة التي تستخدم نفس حساب جوجل، مما سمح للبرمجية الخبيثة بالانتقال دون تدخل يدوي من المستخدم.
ما هي الخطوات الفورية التي يجب اتخاذها في حال الشك بالتعرض للاختراق؟
يجب أولاً تغيير كافة كلمات المرور من جهاز خارجي غير مصاب (مثل الهاتف المحمول)، وإلغاء صلاحيات الوصول للجلسات النشطة، وحذف الإضافة المشبوهة فورًا، مع فحص الجهاز بحثًا عن أي ثغرات خلفية (Backdoors) قد تكون البرمجية قد زرعتها.
🔎 في الختام، تظل هذه الحادثة تذكيرًا صارخًا بأن الثقة العمياء في إضافات المتصفح قد تؤدي إلى خسائر مالية فادحة. إن الحذر عند تثبيت أي أداة تقنية، والتدقيق في تقييمات المستخدمين، وتعطيل المزامنة التلقائية للإضافات الحساسة، هي خطوات ضرورية لحماية أصولك الرقمية وبياناتك الشخصية في عالم يزداد تعقيدًا من الناحية الأمنية.
قم بالتعليق على الموضوع