اعمال التخريب في إلكتروم موبايل

[DireWolfM14]

ديروا بالكم يا أخوان
واحد من فرنسا لقا تخريب في إلكتروم موبايل
https://bitcointalk.org/index.php?topic=5574363.0
https://github.com/spesmilo/electrum-locale/issues/47#issuecomment-3901172060

Sorry for my horrible Arabic.  A member of the French community found vandalism in the French Translation of the Electrum Android app.  The developer looking into the issue also found the issue is affecting the Arabic translation as well, so I thought I would warn you guys here.

[Kavelj22]

في الحقيقة فان هذا صادم الى حد كبير و لا يمكن الا ان يزيدنا يقينا ان لكل نظام ثغرات مهما بلغت درجة كماله. و لو لم تحصل هذه الحادثة مؤخرا ربما لم يكن لأحد ان يلاحظ الثغرة بما انه سيعتقد انه عنوان تبرع خاص بمطوري محفظة الكتروم و ليس عنوانا مجهولا. محفظة الكتروم هي احد اكثر المحفظات الخفيفة التي يوصى باستخدامها و كنا نناقش ذلك في موضوع اخر. من المؤسف ان يحصل هذا الخلل مع محفظة يثق فيها اغلب المستخدمين.

الان تريد الcommunity ان تفهم كيف تمكن احدهم من الوصول الى اعدادات المحفظة في احدى النسخ و اضافة عنوانه الخاص او ان هذا لم يكن مقصودا منه استغلال التطبيق. اشك بصراحة ان لا يكون احد قام بمراجعة النسخة المترجمة الى الفرنسية لكي لا تتم ملاحظة ذلك العنوان المجهول.

هذا هو العنوان الذي تم اكتشافه: bc1qgdl5a90ccznwteha436fn52nekdwuu9ld32n3c
هذه هذه المعاملة التي استقبل فيها ذلك العنوان ما قيمته تقترب من $600 بالثمن الحالي للبيتكوين: https://mempool.space/tx/0b84bbbe41f1af9377d361d7db6a2f9c0e4907a668e2f99b1a3584bd1068afe1

[khaled0111]

شكرا على التنبيه اخي DireWolfM14.
لغتك العربية لا بأس بها و مفهومة جدا، رغم كونها بلكنة معينة و اتمنى ان يزداد نشاطك في القسم العربي كما وعدتني سابقا.

بالنسبة للتنبيه الذي نشرته فبالفعل، ما حدث لا يبدو امرا جيدا و اعتقد انه يمكن حتى وصفه بالثغرة او الضعف الامني.
كنت على علم بما حدث و كيف قام ذلك الشخص بتحويل مبلغ معين لعنوان المخرب و قمت بتفقد عديد الملفات المترجمة لعديد اللغات و اخر ما خطر في بالي هو تفقد ملف اللغة العربية و الا لكنت تفطنت ان كان هناك اي تلاعب. هذا تقصير مني و اعتذر عليه.

[DireWolfM14]

شكرا على التنبيه اخي DireWolfM14.

من عيوني

لغتك العربية لا بأس بها و مفهومة جدا، رغم كونها بلكنة معينة

نعم, لهجت الفلسطيني الامريكي 

و اتمنى ان يزداد نشاطك في القسم العربي كما وعدتني سابقا

انشأالله

بالنسبة للتنبيه الذي نشرته فبالفعل، ما حدث لا يبدو امرا جيدا و اعتقد انه يمكن حتى وصفه بالثغرة او الضعف الامني.
كنت على علم بما حدث و كيف قام ذلك الشخص بتحويل مبلغ معين لعنوان المخرب و قمت بتفقد عديد الملفات المترجمة لعديد اللغات و اخر ما خطر في بالي هو تفقد ملف اللغة العربية و الا لكنت تفطنت ان كان هناك اي تلاعب. هذا تقصير مني و اعتذر عليه.

ما اعتقد الحرامي يقدر يسرق فلوسنا
بس عنوان الحرامي يبين في مكان مو طبيعي

[yhiaali3]

شكرا أخي على التنبيه هذا خبر مؤسف بالفعل
القصة كلها غريبة وحدثت بالصدفة يعني شخص مبتدئ يقوم بنسخ عنوان بطريقة خاطئة ويرسله لصديقه لكي يرسل له بيتكوين والذي يرسل البيتكوين بالفعل ويطلب استرداده لأنه تم إرساله بالخطأ وهنا انكشفت الثغرة ، صدفة غريبة بالفعل🙄

بالنسبة لسؤال الأخ Kavelj22 حول كيف تمكن احدهم من الوصول الى اعدادات المحفظة في احدى النسخ و اضافة عنوانه الخاص حسب معرفتي فإنه بالرغم أن المحفظة مفتوحة المصدر إلا أنه لايمكن لأحد تعديل شيء في المستودع المفتوح على GitHub إلا المطور الرئيسي للمحفظة والمتعاونين الذين يعطيعهم المطور صلاحيات صلاحيات الوصول وتعديل الملفات وعدا ذلك إذا رغب أي مطور في العالم بإضافة أي تعديل يمكنه ذلك عن طريق تقديم "PR" حيث يقوم المطور الرئيسي بفحص الشيفرة والموافقة عليها ثم دمجها مع المشروع

لذلك صراحة لا أعلم كيف تمكن هذا الشخص أو المطور من تمرير العنوان دون أن ينتبه المطور الأساسي أو الفريق المتعاون معه والمفروض أن تتم كل طلبات التعديل عبرهم ويقوموا بمراجعتها

[NotATether]

ما اعلمت انك تتحدث العربية  

لقد أدليت بتعليق هنا : https://github.com/spesmilo/electrum-locale/issues/47#issuecomment-3912780253

و انه من الافضل, في رؤيايي, ان تم استفادة AI لتصنيف زي كذا. لان هذا احد من نقاط قوتها.

قد شرحتها في اكثر التفاصيل في تعليقي.

[Kavelj22]

بالنسبة لسؤال الأخ Kavelj22 حول كيف تمكن احدهم من الوصول الى اعدادات المحفظة في احدى النسخ و اضافة عنوانه الخاص حسب معرفتي فإنه بالرغم أن المحفظة مفتوحة المصدر إلا أنه لايمكن لأحد تعديل شيء في المستودع المفتوح على GitHub إلا المطور الرئيسي للمحفظة والمتعاونين الذين يعطيعهم المطور صلاحيات صلاحيات الوصول وتعديل الملفات وعدا ذلك إذا رغب أي مطور في العالم بإضافة أي تعديل يمكنه ذلك عن طريق تقديم "PR" حيث يقوم المطور الرئيسي بفحص الشيفرة والموافقة عليها ثم دمجها مع المشروع

لذلك صراحة لا أعلم كيف تمكن هذا الشخص أو المطور من تمرير العنوان دون أن ينتبه المطور الأساسي أو الفريق المتعاون معه والمفروض أن تتم كل طلبات التعديل عبرهم ويقوموا بمراجعتها

الاحتمالية الاقرب للتصديق هي ان الشخص او الجهة التي عملت على ترجمة اصدار المحفظة الى الفرنسية او من كان من فريق العمل موكل اليه عمليات الادخال للترجمة الفرنسية لم ينسى ان يضع عنوانه في اي مكان متاح اخفاؤه على امل ان يحصل خطأ فيرسل اليه احدهم بيتكوين عن طريق الخطأ و هو ما حصل فعلا و ربما في اكثر من مناسبة بما ان العنوان به تحويلة قديمة السنة الماضية.
المهم ان من وضع ذلك العنوان في ذلك المكان لم يقم به سهوا او عن طريق الخطأ بل كان مقصودا لذاته. و فريق العمل يمكنه اجراء وحقيق داخلي و هذا لن يكلفهم شيئا. الأهم أيضا هو أن المبلغ المفقود قبل اكتشاف الثغرة ليس كبيرا و من حسن الحظ انه تم اكتشاف الأمر. ما حصل و يحصل يؤكد انه ليس هناك اي نظام خالي من الثغرات و ان اي نظام بحاجة مستمرة للفحص و التحديث.

[khaled0111]

لذلك صراحة لا أعلم كيف تمكن هذا الشخص أو المطور من تمرير العنوان دون أن ينتبه المطور الأساسي أو الفريق المتعاون معه والمفروض أن تتم كل طلبات التعديل عبرهم ويقوموا بمراجعتها

يبدو انه يتم الاعتماد على متطوعين ليقوموا بترجمة الملف لمختلف اللغات. هذا امر متعامل به في اغلب البرامج مفتوحة المصدر.
الاشكال هنا انه لم يتم التثبت من موثوقية المترجمين و و مراجعة الملفات المترجمة التي تم تقديمها سواءا عن طريق proof readers او وسائل بسيطة مثل التثبت ان كانت تحتوي على اي شيئ مشبوه مثل عناوين بيتكوين قبل اعتماد تلك الملفات. هذا برأيي تقصير من قبل المطورين.

هناك منصات كبيرة و معروفة يشارك فيها عديد المترجمين و يقومون بترجمة البرامج مفتوحة المصدر فمثلا اعتقد انه تم اعتماد منصة transifex لترجمة bitcoin core.

بالنسبة لملف الترجمة العربية فالملاحظ ان عنوان المتحيل استقبل عديد التحويلات لكن لا يمكن الجزم ان كانت كلها تعود لضحايا هذه الثغرة.

[Ochan_yazo_tochant]

من الجيد رؤية مواضيع تنبيهية هنا بالقسم العربي، بصراحة تعرضت في السابق لخسارة المال بسبب إضافة المتصفح كروم لمحفظة العملات الرقمية كان إستخدام لهذه الإضافة نتيجة لنصيحة بإحدى المجموعات العربية على التلجرام. كما قيل هنا من الأفضل التثبت قبل الوقوع في المصيدة المحتالين المتواجدين في كل مكان. و لكن بفضل أحد الأعضاء المنتدى الذي أعرفه شخصيا أخذت بنصيحته بحيث شاركت معه في أحد المقاهي بالمدينة التي أقطن فيها أهمية إستخدام العملة الرقمية و فرص الربح منها من خلال التداول في البداية كنت أظن أنه لا يعلم شيئاً عن هذا المجال و لكن في الأخير وجدته خبير و هو من نصحني بالإنضمام إلى هذا المجتمع الراقي. و الحمد لله الآن أصبح لدي رصيد معرفي لابأس به أستطيع من خلاله تفادي مثل هذه المشاكل و أتمنى أن لا يتعرض المزيد من الناس للإحتيال. كما أشكر أغلبية الأعضاء هنا على دعمهم و تنوير الطريق للقادمين الجدد.

[Kavelj22]

من الجيد رؤية مواضيع تنبيهية هنا بالقسم العربي، بصراحة تعرضت في السابق لخسارة المال بسبب إضافة المتصفح كروم لمحفظة العملات الرقمية كان إستخدام لهذه الإضافة نتيجة لنصيحة بإحدى المجموعات العربية على التلجرام. كما قيل هنا من الأفضل التثبت قبل الوقوع في المصيدة المحتالين المتواجدين في كل مكان.

اولا، اقترح انه من الجيد ان تخبرنا بالمحفظة الخاصة بالعملات المشفرة التي تم توجيهك لتنصيبها على متصفح كروم. هذا مهم لتنبيه المستخدمين الاخرين كي لا يقعوا فريسة لعذا المخطط لانه يمكن هناك من هو بصدد تنصيبها، و ايضا للتحقق من اذا كانت الاضافة لاتزال متاحة على متجر كروم او انك قمت باضافتها يدويا و هذا في حد ذاته مخاطرة كبرى يجب التنبيه بشأنها.
ثانيا، اثترح ايضا ان تخبرنا عن مجموعة التلغرام التي تم توجيهك من خلالها الى مخطط احتيال. يجب تنبيه البقية لنفس السبب كتحذير من الانضمام اليها و لما لا اخبار ادارة تلغرام بشأنها. وفق سياسات تلغرام الحالية اعتقد انه من الممكن ارسال تقرير بشأنها. لا اعرف كيف لكن بالتأكيد هناك طريقة.

من الجدير التذكير بالتعامل بالحذر المفرط مع جميع قنوات تلغرام التي تقدم نصائح توجيهية للمبتدئين و الاكتفاء بالنقاشات و البحث جيدا للتثبت قبل تنصيب اي تطبيق او استعمال اي خدمة. كذلك من المهم ان نتفادى تماما التواصل الخاص مع اي عضو مجهول على تلغرام. المتحيلون يختارون اعضاء من مجموعات الكريبتو بهدف الاحتيال و هذا يفتح الباب لاحتمالات خطيرة جدا.

[yhiaali3]

لذلك صراحة لا أعلم كيف تمكن هذا الشخص أو المطور من تمرير العنوان دون أن ينتبه المطور الأساسي أو الفريق المتعاون معه والمفروض أن تتم كل طلبات التعديل عبرهم ويقوموا بمراجعتها

يبدو انه يتم الاعتماد على متطوعين ليقوموا بترجمة الملف لمختلف اللغات. هذا امر متعامل به في اغلب البرامج مفتوحة المصدر.

اكيد أخي معظم البرامج المفتوحة المصدر تعتمد على المتطوعين وخاصة بالنسبة للترجمات لكن في النهاية هي مسؤولية فريق التطوير الأساسي الذي ينبغي عليه أن يراجع الملفات قبل إضافتها للمصدر
المتطوعون لايستطيعون رفع هذه الملفات إلى المستودع ودمجها إلا عن طريق المطور الاساسي أو في حالة إعطائهم صلاحية لإجراء تغييرات في المستودع وأستبعد هنا أن يكون تم إعطائهم الصلاحية، على الأغلب المطور قام بدمج الترجمة دون مراجعة ربما لان اللغة الفرنسية أو العربية ليست لغته الأصلية لكن كان عليه على الأقل أن يتأكد من عناوين البيتكوين الموجودة في الترجمة

[khaled0111]

^^
اتفق معك ان الخطأ هو خطأ المطورين بالاساس و لكن يبدو انهم لم يتوقعوا ان يحدث شيئ مثل هذا و الا لكانوا اتخذوا التدابير اللازمة لمنع حدوثه.
كما قلت، المطورون يتحملون الجانب الاكبر من المسؤولية لكن، للامانة، عدد اللغات التي تم الترجمة لها و حجم كل ملف كبير نوعا ما و يصعب التثبن منها جميعا بشكل يدوي، خاصة اذا اقررنا بان المطورين لم يكونوا يتوقعون ان يحدث امر مماثل، كما اشرت في البداية.

بما ان محفظة الكتروم هي مشروع مفتوح المصدر و مبني بشكل اساسي على مساهمة المجموعة ككل، فان المجموعة ،بما فيها المستخدم العادي، تتحمل كذلك جزءا من المسؤولية. شخصيا، كمستخدم لمحفظة الكتروم منذ سنوات، اتحمل جزءا من المسؤولية ايضا.