كشفت شركة Searchlight Cyber عن ثغرة في أداة GoBalance التي تعتمد عليها مواقع كثيرة في الشبكة المظلمة للبقاء متاحة أثناء الهجمات، وتسمح لأي شخص باستنتاج المفتاح السري الذي يتحكم بعنوان الموقع على شبكة Tor اعتمادا على معلومات علنية فقط، ثم الاستيلاء على هذا العنوان. وأعلنت الشركة تفاصيل الثغرة في الثامن من أكتوبر 2026، موضحة أن المهاجم الذي يستعيد المفتاح يستطيع توجيه زوار الموقع إلى نسخة مزيفة يديرها بنفسه. لكن الاستيلاء على العنوان لا يمنحه وصولا إلى خوادم الموقع ولا قاعدة بياناته ولا بيانات مستخدميه المخزنة.
كيف تكشف ثغرة GoBalance مفتاح عنوان أونيون
العنوان الذي ينتهي بلاحقة onion هو في حقيقته مفتاح عام، ومن يملك المفتاح الخاص المطابق له يملك التحكم الكامل بالعنوان. ولكي يبقى الموقع قابلا للوصول، ينشر سجلا موقعا يسمى الواصف، يستطيع أي مشارك في شبكة Tor جلبه، وتتولى GoBalance توقيع هذا السجل. وتكمن المشكلة في خطوة التوقيع نفسها، فالمفتاح الخاص في Tor طوله 64 بايت، بينما مررت GoBalance أول 32 بايت فقط إلى أداة التوقيع وأسقطت النصف الباقي. والنصف المسقط هو الجزء الذي يحجب القيمة السرية الخاصة بكل توقيع، وهي في تصميم هذا النوع من التواقيع تشتق من ذلك النصف تحديدا.
وحين يغيب هذا الجزء تتحول القيمة السرية إلى رقم ثابت يستطيع أي شخص حسابه، فيصبح واصف واحد منشور كافيا لاستخراج المفتاح الخاص للموقع دون اختراق أي خادم. وبما أن المفتاح المكشوف هو المفتاح الرئيسي طويل الأمد وليس مفتاحا مؤقتا قصير العمر، فإن من يستعيده يستطيع توقيع سجلات صالحة لذلك العنوان لفترة طويلة في المستقبل.
المواقع المعرضة للخطر ودور أداة EndGame
GoBalance هي إعادة كتابة بلغة Go لأداة Onionbalance، وهي أداة موازنة الأحمال التي طورها مشروع Tor. وتأتي الأداة ضمن حزمة EndGame المعروفة، وهي مجموعة أدوات تستخدم على نطاق واسع لإبقاء مواقع الشبكة المظلمة تعمل أثناء هجمات حجب الخدمة. وتؤكد Searchlight أن الخلل موجود في النسخة المعاد كتابتها وحدها، وأن Onionbalance الأصلية وشبكة Tor نفسها غير متأثرتين.
كما أن الخطر لا يشمل كل من يستخدم GoBalance، فهو يقتصر على المواقع التي يخزن مفتاحها الرئيسي بصيغة المفاتيح الخاصة بـ Tor. أما أداة الإعداد في GoBalance فتكتب المفاتيح بصيغة أكثر أمانا لا تتعرض لهذا الخطر، ولذلك لا يمكن القول إن كل موقع يعمل بها مكشوف.
اختطاف منتدى Dread والمواقع الأخرى المتضررة
ظهرت القضية للعلن عبر Dread، أحد أكبر منتديات الشبكة المظلمة، التي يديرها مشرفان يعرفان باسمي HugBunter وParis. وبين الخامس والسابع من أكتوبر جرى الاستيلاء على عنواني المنتدى كليهما وتوجيههما إلى موقع منافس يحمل اسم Conclave. وفي البداية حمل مشرفو المنتدى أنفسهم المسؤولية، إذ قال Paris في الخامس من أكتوبر إنه رفع المفتاح الخاص للعنوان الرئيسي بغباء ضمن تحديث لأداة GoBalance.
بعد يومين سقط العنوان الثاني، وهو عنوان احتياطي مخصص للأعضاء المميزين، وهنا يصعب تفسير الأمر بزلة بشرية. وقال HugBunter حينها إن المهاجم استغل ثغرة في GoBalance ضد عدة خدمات في الشبكة المظلمة. وتتبنى Searchlight الرأي نفسه، وتعد الاستيلاء الثاني أقوى دليل على استخدام الثغرة، مع معاملة العنوان الأول بوصفه تسريبا منفصلا للمفتاح. وانتقل المنتدى منذ ذلك الحين إلى عنوان جديد وطلب من مستخدميه تغيير كلمات مرورهم. وفي رسالة موقعة في السابع من أكتوبر ذكر المشرفون أن المنتدى هاجر بشكل دائم بعد انكشاف المفتاح الخاص نتيجة ثغرة في برنامج طرف ثالث، وأن خدمات مخفية أخرى قد تكون متأثرة، مؤكدين أن خوادم المنتدى لم تخترق.
ولا يزال عدد المواقع المتضررة غير واضح، فقد ذكر HugBunter أن عدة أسواق في الشبكة المظلمة سلبت عناوينها، بينها أسواق كانت قد أغلقت أصلا، لكنه لم يسمها ولم يحدد عددا. وأكد موقع واحد على الأقل الأمر علنا، وهو سوق Omega الذي أعلن في رسالة موقعة في الثامن من أكتوبر أنه أخرج عنوانه القديم من الخدمة بسبب مشكلة ناجمة عن خلل GoBalance وانتقل إلى عنوان جديد.
غياب الإصلاح الرسمي وما ينبغي على المشغلين والمستخدمين فعله
حتى التاسع من أكتوبر لم يجد موقع The Hacker News معرف CVE لهذه الثغرة في قاعدة بيانات الثغرات الوطنية الأمريكية، ولم يعثر على أي تنبيه رسمي من مشروع Tor أو من القائم على صيانة GoBalance. وقالت إدارة Dread إنها تنوي إصدار نسخة مصححة من الأداة ومساعدة المواقع المتضررة على الانتقال. في المقابل نشر باحث مستقل رقعة وإثبات مفهوم عمليا يستعيد المفتاح الرئيسي من واصف علني واحد، وقال إنه استخدم مفاتيح أنشأها للاختبار فقط ولم يستهدف أي خدمة حقيقية. ولم يشغل The Hacker News هذا الكود، وهو ليس إصدارا رسميا.
وبالنسبة لمشغلي المواقع، فإن الرقعة وحدها لا تلغي الخطر، لأن المفتاح الذي تسرب عبر واصف منشور لا يمكن سحبه، ولذلك على كل موقع شغل نسخة معرضة للثغرة أن ينشئ عنوان onion جديدا وينتقل إليه، كما فعل Dread وOmega. أما مستخدمو أي موقع قد يكون متأثرا، فنصحتهم Dread بتغيير كلمة المرور فيه وفي المواقع الأخرى المحتمل تأثرها، واعتبار العنوان القديم غير آمن، والتحقق من أي عنوان جديد عبر إعلان موقع قبل الوثوق به.
