الاحتيال في مجال العملات المشفرة في فرنسا: نظرة على سلسلة البيانات الكامنة وراء الهجمات
جدول المحتويات
تكفي نقطة بيانات واحدة تفيد بأنك تحتفظ بأصول مشفرة لتجعلك في دائرة الخطر، بما في ذلك الخطر الجسدي، وسواء كانت نقطة البيانات هذه دقيقة أم لا. تلك هي النتيجة الرئيسية لتحقيقنا في اختراق واستغلال البيانات الخاصة بمالكي الأصول المشفرة ومقدمي خدماتها الفرنسيين.
ما الذي حدث في جوي أن جوساس، ولماذا يُؤطر هذا الحدث التقرير بأسره؟
في 24 أغسطس 2026، ثلاثة أشخاص دخل منزلاً في جوي آن جوسا, ، في إيفلين، واحتجزوا شاغلها لمدة ساعتين تقريباً من أجل الحصول على إمكانية الوصول إلى حساباته المشفرة. وكانوا قد وصلوا متوقعين استخراج ما يعادل ستة ملايين يورو، بينما الحسابات التي عُرضت عليهم كانت تضم حوالي ثلاثة آلاف. وقد أُبلغ عن الوقائع في الصحافة الوطنية والمحلية، وأُسند التحقيق إلى وحدة مكافحة العصابات في فرساي.
لم يُرْبَطْ أيُّ رابطٍ بأيِّ خرقٍ للبياناتِ جرى تحديدُهُ في هذه المرحلة، إلا أنَّ الفجوةَ بين الثروةِ المفترضةِ والثروةِ الفعليَّةِ هي بالتحديدِ ما يجعلُ القضيةَ جديرةً بالاعتبار. فهي توضِّحُ الآليَّةَ التي توثِّقُها بقيةُ تحقيقاتِنا، وتتمثلُ في أنَّ البياناتِ التي تحرِّكُ عمليةً من هذا النوعِ لا يُشترطُ فيها سوى أنْ توجدَ وتتداولَ، دون الحاجةِ لأنْ تكونَ صحيحةً أبداً.
ما مدى نضج الاحتيال بالعملات المشفرة في فرنسا؟
تحدد تحقيقاتنا أربعة أدوار متخصصة تعمل بتسلسل، تغطي الاستحواذ، والوساطة، والاستغلال، وتحقيق الدخل, ، مع حلقة إعادة ضحية تغذي مخرجات المرحلة الأخيرة مرة أخرى إلى الأولى.
كل حلقة في تلك السلسلة تدير اقتصادياتها الخاصة. عادةً ما يقوم المشغلون الذين يحصلون على الوصول الأول بإعادة بيع حساب بورصة مخترق بمبلغ يتراوح بين 50 و500 دولار أمريكي اعتماداً على القيمة التي يمكنهم تحديدها فيه، بينما يعمل وسطاء البيانات إما بنظام الاشتراكات أو بالقطعة، حيث يتبوأ سعر مجموعة اعرف خميلك (KYC) الكاملة ما بين بضع مئات إلى عدة آلاف من الدولارات. يحقق مشغلو الاستغلال هوامش ربح كبيرة على عمليات التحويل الناجحة، وعادةً ما يتقاضى مشغلو تبييض الأموال ما بين 8 إلى 25 بالمائة من حجم الأموال التي يغسلونها. وإذا ما أخذنا ذلك مجتمعاً، فإننا نقدر هذا المستوى من التنظيم على أنه يضاهي في نضجه مستوى برمجيات الفدية كخدمة.
ما الذي يجعل فرنسا هدفاً استراتيجياً وليس عرضياً؟
الكثافة مع جودة البيانات. تقريباً امتلك 11 بالمئة من السكان الفرنسيين أصولاً مشفرة في مطلع عام 2026, وتضم الدولة العديد من الفاعلين الهيكليين في السوق الأوروبية، والتي تشمل محافظ الأجهزة، ومصارف التداول والوساطة، وخدمات الضرائب والمحاسبة، وتطبيقات الادخار للأفراد.
ما يرفع من قيمة هذا التركيز هو طبيعة السجلات التي ينتجها هؤلاء اللاعبون، والتي تتضمن هويات مُتحقّقاً منها من خلال عمليات اعرف عميلك (KYC)، والتقارير الضريبية، والأرصدة المجمعة، وتواريخ المعاملات الكاملة.
أين تركز استهداف الأفعال في القطاع فعلياً؟
عبر اثني عشر شهراً من مراقبة المنتديات السرية الرئيسية والعديد من قنوات تيليغرام الخاصة المتخصصة في استهداف الأصول المشفرة، تتوزع الإشارات الفرنسية على النحو التالي.
| فئة المستهدفين | حصة الإشارات |
| البورصات المركزية | 38% |
| محافظ الأجهزة والبرمجيات | 21% |
| خدمات ضريبية ومحاسبية | 14% |
| المزودون والوسطاء المعتمدون في فرنسا | 11% |
| التمويل اللامركزي والجسور | 8% |
| المجتمعات والمؤثرون | 5% |
| إدارة الحفظ والأصول | 3% |
مراقبة سايبل أنجيل للمنتديات وقنوات تلغرام. مجموعة مفترَحة، الحد الأدنى للمراقبة.
تتركّز معظم محاولات الاستهداف على المنصات المركزية والمحافظ الرقمية، وهو إلى حد كبير ما تتوقعه معظم الفرق الأمنية. أما النتيجة التي غالباً ما تفاجئهم فهي حلول الضرائب والمحاسبة التي تحتل المرتبة الثالثة، متقدمةً على المزودين المعتمدين والوسطاء.
من أين تأتي البيانات الكامنة وراء عمليات الاحتيال بالعملات المشفرة في فرنسا؟
تغذي ثلاثة متجهات متميزة سلسلة استحواذ واحدة، وتكمن قيمتها في مدى سهولة دمجها.
تظل برامج سرقة المعلومات المتجه المهيمن للاختراق الفردي!
تغطي مراقبتنا المستمرة عشرات الملايين من الأجهزة المصابة في جميع أنحاء العالم، ويحمل جزء كبير منها بيانات اعتماد مرتبطة بمنصات الأصول المشفرة، وتصنف فرنسا بين أكثر الدول تمثيلاً في نطاق استهداف خدمات الأصول المشفرة. تضع نماذج البرمجيات الضارة كخدمة (Malware-as-a-service) هذه الأدوات في متناول مشغلين لا يمتلكون أي مهارة تقنية متقدمة، وغالباً ما تحتوي السجلات المستخرجة على بيانات اعتماد محفوظة في المتصفحات، وملفات تعريف ارتباط الجلسات (session cookies) التي غالباً ما تسمح بتجاوز المصادقة الثنائية، والملفات المحلية للمحافظ المكتبية مثل MetaMask وPhantom وExodus. تورغ غرابير, ، التي تعود أولى عينات منها إلى ديسمبر 2025، تستهدف 728 إضافة متصفح مرتبطة بالمحافظ إلى جانب 103 إضافات لإدارة كلمات المرور المصادقة الثنائية.
توفر قواعد بيانات مزودي الخدمة المختترقة شيئًا لا يمكن لسجلات الأفراد توفيره.
إنهم يقدمون مجموعة سكانية متجانسة مؤهلة مسبقاً لامتلاك العملات المشفرة، مع بيانات سياقية يمكن إعادة استخدامها مباشرة أثناء الاستغلال. اختراق وولتيو, ، وقد تم تأكيد ذلك علنًا في يناير 2026 وأُبلغ بأنه يمس نحو 50,000 مستخدم، عن كشف عناوين البريد الإلكتروني إلى جانب تقارير الضرائب لعام 2024 التي تغطي المكاسب والخسائر والأرصدة المجمعة.
التجوزات واسعة النطاق تنشر نفس الفئة من المواد على نطاق أوسع بكثير. ال اختراق المديرية العامة للمالية العامة, ، والذي تم تأكيده في 14 أغسطس 2026 لـ 678,000 فرد ومهني، وضع الهوية والعنوان والدخل الضريبي المرجعي في تداول، وكلها يمكن استخدامها لتحديد ملفات الثروة الشخصية قبل استهدافهم.
خلال الربع الأول من عام 2026، لاحظنا أيضاً حجماً مستمراً من عروض قواعد بيانات العملات المشفرة الفرنسية على المنتديات الإجرامية الرئيسية وقنوات تيليجرام، والتي يُزعُم أنها صادر عن جهات توفير مختلفة وتتبع تنسيقاً تجارياً موحداً يتم فيه نشر عينة علناً وبيع قاعدة البيانات كاملة على دفعات. وتجد هذه القوائم مشترين لها بسرعة.
لماذا تهم التركيبة أكثر من الكمية؟
لأن الملف الذي يربط هوية مُتحققاً منها، ووسيلة اتصال، وحجماً تقديرياً للثروة، يتيح لأي مشغّل فرصة فرز الأهداف قبل إجراء الاتصال الأول، وهو المنتج الذي تدفع السوق ثمنه فعلياً. أما الحجم الخام من دون تلك التوليفة فتبلغ قيمته أقل بكثير.
إلى جانب الخروقات الكبيرة، نظم سوق معين نفسه حول بيانات اعرف حお客様ك (KYC)، أي وثائق الهوية، وإثبات العنوان، وصور التحقق الشخصية، وتدعم هذه الحزم سرقة الهوية الكاملة بما في ذلك فتح حسابات مصرفية باسم الضحية، وطلبات تبديل شريحة الهاتف (SIM swap) لدى مشغلي الهاتف المحمول، وإنشاء حسابات أموال مشبوهة (mule accounts) على المنصات الخاضعة للتنظيم. وتُعد إحدى الفئات مرغوبة بشكل خاص، وهي قائمة الأشخاص الذين تعرضوا للعمليات الاحتيالية مسبقاً، حيث تُقيم لمعدل تحويلها المرتفع في مخططات الاحتيال الاسترجاعي وغالباً ما تُباع مع حقول غنية تغطي المبلغ المفقود، والمنصة المستخدمة في الأصل، وتاريخ الاحتيال الأول.
كيف تبدو الاستغلالية في الواقع؟
لا يزال الاستيلاء على الحسابات هو السيناريو الأكثر ملاحظة لدينا في كل مكان يحتفظ فيه المشغلون ببيانات اعتماد حديثة، وقد أصبح التسلسل قياسياً. يبدأ من اختراق بريد الإلكتروني الرئيسي عبر بيانات اعتماد مسروقة أو ملفات تعريف ارتباط الجلسة المستخرجة، إلى إجراء إعادة تعيين يتم تشغيله على البورصة، واعتراض رموز التحقق، وتعديل عناوين السحب المصرح بها، وأخيراً الاستنزاف السريع إلى العملات المستقرة. تُعد ملفات تعريف ارتباط الجلسة ذات قيمة خاصة لأنها تمنح الوصول دون تشغيل العامل الثنائي، وغالباً ما تتضمن السجلات الحديثة المتداولة في المنتديات بشكل منهجي ملفات تعريف الارتباط التي كانت نشطة لحظة الاستخراج.
تعتمد سيناريوهات الدعم المزيف والمستشار المزيف بالكامل على البيانات السياقية التي تم الحصول عليها مسبقاً، حيث يتم بناء المصداقية على تفاصيل شخصية حقيقية مثل رصيد الحساب الدقيق، أو معاملة حديثة، أو الإشارة إلى تذكرة دعم. بعد ذلك، تعمل عمليات الاحتيال الخاصة بالاسترداد على إغلاق الدائرة، وقد تم توثيق النطاق: إن سجل مكتب التحقيقات الفيدرالي أكثر من 10,500 شكوى في الولايات المتحدة في عام 2025 مقابل خسائر معلنة بلغت نحو 1.4 مليار دولار, ، وهي فئة تتضمن انتحال صفة شركات المحاماة، والموظفين العموميين ومركز شكاوى جرائم الإنترنت (IC3) نفسه. وفي فرنسا، تم توثيق الظاهرة ذاتها مطولاً من قبل هيئة الأسواق المالية (AMF) ومكتب مدعي عام باريس.
ماذا كشف تحليل مجموعة أدوات تصيد احتيالي للعملات المشفرة مباشرة؟
حلل فريقا العمليات السيبرانية الاستجابة للحوادث (Cyber Ops و REACT) حملات الدعم المزيفة التي تستهدف منصات الأصول المشفرة بين فبراير وأغسطس 2026. وتنطبق أربعة نتائج على كامل مجموعة الصفحات التي تم فحصها.
| نتيجة | ما لاحظناه | لماذا يُعد ذلك مهمًا |
| إعادة استخدام القوالب | يظهر قالب واحد عبر عشرات النطاقات، وفي عدة حالات، عبر علامات تجارية متعددة | يشير إلى تقاسم الموارد بين المشغلين بدلاً من عمل فاعل واحد |
| تعايش ثلاث اصطلاحات تسمية | إاء استخدام النطاقات العليا لجعل رمز البلد (ccTLD) ينتج سلسلة تبدو وكأنها النطاق الشرعي؛ العلامة التجارية مدمجة مع كلمة رئيسية للدعم؛ نطاقات الدعم العام أو التشخيصي التي لا تحمل أي سلسلة علامة تجارية على الإطلاق | العائلة الثالثة ممثلة تمثیلًا جيدًا وتفلت من مراقبة الكلمات الرئيسية للعلامة التجارية بحكم التصميم |
| النطاقات قصيرة الأمد وممررة عبر وكيل | معظمها مرئي فقط خلال نافذة تتراوح من يوم إلى ثلاثة أيام، خلف مزود وكيل عكسي يخفي الاستضافة الحقيقية ويوفر شهادة طبقة الأمان (TLS) | قفل المتصفح لا يحمل أي إشارة، والابلاغ للمضيف الظاهري وحده لا يؤدي إلى أي إزالة، والقالب يعيش لفترة أطول من نطاقاته |
| الذريعة هي حادثة وليست عملية تسجيل دخول | تهدف الرحلات إلى الوصول الدائم مثل عبارة الاسترداد أو التحكم عن بعد | ضوابط الأمان المبنية حول ثنائي اسم المستخدم وكلمة المرور لا تغطي الهدف الفعلي |
دراسة حالة: مجموعة دعم وهمية يتم التحكم بها عن بُعد
يُوضِح أحد عمليات النشر مدى عمق الهندسة؛ ففي أغسطس 2026، قام نطاق نشط مبني على الحقل المعجمي لاسترداد الأموال وينتحل صفة علامة "بيتباندا" (Bitpanda)، بعرض صفحة تحاكي مركز مساعدة "كوينبيس" (Coinbase)، وكان التضليل يكمن في رحلة المستخدم وليس في المظهر الخارجي.
كيف نجحت الخدعة
- يتم إعادة كتابة العنوان المعروض بشكل دائم إلى جذر النطاق.
- يقوم المشغل بقيادة تسلسل الشاشة المعروضة على الضحية عن بُعد.
- يتم إرسال المدخلات ضغطة بمفتاح، مما يجعل رموز الرسائل القصيرة (SMS) وكلمات المرور لمرة واحدة (TOTP) وبريد الإلكتروني قابلة للاستخدام ضمن نافذة صلاحيتها.
كيف حددت الصفحة هدفها في الجلسة
- رتبة قدر رصيد الحساب.
- تاريخ آخر نشاط.
- تم اكتشاف إضافات المحفظة في المتصفح.
- إدخال رقم القضية عند الفتح، مما يضع الصفحة بعد جهة الاتصال الأولى بدلاً من بدايتها.
كيف تهربت الصفحة من التفتيش
- يتم تقييم كل زائر عبر حوالي خمسة عشر إشارة أتمتة، بما في ذلك حركات الفأرة، مع إرسال النتيجة إلى المشغل.
- تستحوذ الصفحة على نفسها وتعيد توجيه المستخدم إذا تم فتح أدوات مطوري المتصفح، لذا فإن الماسح الضوئي والضحية لا يران بالضرورة نفس الشيء.
ما تم بناء الكود لجمعه
| وحدة | ما يلتقطه | ما يخبرنا به |
| كوين بيس (الواجهة المرئية) | بيانات الاعتماد، ورموز التحقق، والوصول إلى برامج التحكم عن بعد | الطبقة التي يعتقد الضحية أنه يتفاعل معها |
| دفتر الأستاذ | عبارة الاسترداد وعبارة المرور | لا تتطلب أي رحلة تبادل هذه الأمور، مما يوضح الهدف |
| جوجل | The mailbox | The first link in the account takeover sequence described above |
| Robinhood and Bitpanda | Additional modules embedded in the same code | The kit is built to work across several brands, not one |
The brands named here are impersonated; however, they are not compromised.
الحزمة نفسها في بنيـة تحتيـة منفصلة
This deployment is not isolated. We found the same template running on a distinct cluster with the following characteristics.
- 30 domains observed between 26 May and 20 August 2026.
- Naming pattern of six digits followed by the brand name.
- Cadence of one to two new domains per week.
- Lifespan of one to three days per domain.
Those domains serve the same reproduction of the Coinbase help centre rather than a merely similar appearance, because the interface files carry identical fingerprints, which rules out two independent clonings. The infrastructure itself, however, is entirely distinct from the earlier case. The interface package is therefore shared between different operators, which is consistent with the phishing-as-a-service offers observed on underground forums, where kits, control panels and distribution are commercialised separately.
These observations concern pages and their code rather than identified victims, and the number of deployments we counted constitutes an observation floor.
كيف تؤدي نهاية الفترة الانتقالية لتنظيم الأسواق في الأصول المشفرة (MiCA) إلى تغيير التهديد؟
It supplies attackers with a ready-made pretext. Since 1 July 2026, only authorised providers may deliver crypto-asset services in France, and several players have notified their customers that they are ceasing service, which alters the conditions under which a fake support approach is credible. An unsolicited message that is dated, carries a short deadline and invites the recipient to transfer holdings to another provider now arrives inside a sequence the recipient is already expecting.
من الأكثر عرضة للخطر، ولماذا؟
Target selection follows whatever material the acquisition phase has made available, and the result is a gradient rather than a set of discrete categories. Ordinary holders feed the volume scenarios of fake support and account takeover, where profitability rests on the number of attempts rather than the quality of any single one, while profiles whose file reveals significant wealth justify individual preparatory work. At the far end of that gradient, a limited but significant group concentrates the high-impact scenarios.
Founders, executives and influential investors in the sector are subject to specific pre-targeting on forums and Telegram channels, combining wealth data, addresses, habits and fragments of digital identity, and beyond conventional fraud these profiles are exposed to targeted extortion, threats against family members and physical coercion extending as far as abduction. Chainalysis records 30 publicly documented cases in France through mid-2026, against 19 across the whole of 2025, while the Ministry of the Interior, which counts recorded offences rather than publicly documented cases alone, reported on 30 June 2026 more than 70 acts of unlawful detention, abduction, extortion or attempted extortion linked to crypto-assets since January 2026, against 45 for all of 2025, alongside approximately 200 arrests. The operational markers recur consistently, and they include the targeting of relatives rather than the primary subject, the fake delivery driver, and teams of three to five individuals aged 17 to 25 recruited on social media for a few hundred euros.
For exposed organisations, executive security has therefore become a mixed subject, combining a cyber dimension that covers reduction of public exposure, management of digital identities and monitoring of breaches affecting the immediate circle, and what’s more, a governance dimension.
ما الذي ينبغي على المنصات والمزودين الفرنسيين استخلاصه من هذا التقرير؟
Here are five priorities we recommend meaning exchange platforms, wallet publishers, aggregators, tax and accounting services and connected providers.
- Monitor exposed credentials continuously and reset on detection. This covers both staff and customers appearing in infostealer logs, and the useful window is measured in hours rather than days.
- Monitor customer database exposure across forums, Telegram channels and criminal marketplaces.
- Require re-authentication before any withdrawal to a new address, and invalidate open sessions as soon as a credential or a factor changes.
- Establish an extortion runbook for exposed executives, covering conduct in the face of a direct cyber or physical threat, the contacts to reach, and a family alert protocol.
- Impose multi-signature, a waiting period and a four-eyes principle on significant transfers, so that an executive under duress cannot transfer alone.
Beyond those five, a second tier of measures reinforces the same objectives: a non-circumventable cooling-off period following any change of withdrawal address, email, telephone or MFA, with no exception routed through support; FIDO2 generalised across sensitive access including internal systems, with SMS removed from recovery factors; a published verification procedure for inbound contacts, backed by an anti-phishing code on customer emails so that the code covers email while the published procedure covers the telephone; sector-specific social engineering training prioritising staff with access to critical systems, customer databases or support functions; monitoring of brand impersonation across clone sites, fraudulent accounts and fraudulent mobile applications; and extension of breach monitoring to the immediate circle around executives.
ما الذي يجب على المالكين الأفراد استخلاصه؟
Three measures come first, with a higher bar applying to publicly exposed profiles. Segment your holdings so that any significant reserve sits in cold storage on a dedicated hardware device while only current activity remains in a hot wallet. You should also adopt strong authentication that does not depend on SMS, using either a FIDO2 hardware key or a TOTP application, both of which protect against SIM swap. And make sure to verify any transfer instruction connected to a change of provider against the AMF whitelist or the ESMA register before initiating the transfer from the official application rather than from the link you received, because a provider has no need to send you a destination address by email.
A second tier reduces your presence in the files described above. So use dedicated credentials that are distinct per platform and unconnected to your real identity, expose nothing publicly in terms of holdings, gains, invested amounts or wallet screenshots, and keep your real identity separate from any pseudonyms. You should expressly verify every solicitation through the platform’s official site rather than a link received by email or message, bearing in mind that urgency is a near-systematic marker of fraud. And give no follow-up whatsoever to an offer to recover funds after a first fraud, reporting it instead to the AMF and to Pharos.
Please note this report is available in French.
عن المؤلف
