تشريح هجوم تعدد الحسابات: دراسة حالة على منصة iGaming

تعدد الحسابات في iGaming ليس مجموعة من الأشخاص يفتحون حسابات إضافية. إنه عمليات احترافية تُشغّل مئات الهويات الاصطناعية ضد منصة واحدة، لاستخراج مكافآت الترحيب والاسترداد النقدي والمدفوعات الترويجية.

يعمل الاقتصاد لأن التكلفة الحدية للحساب الجديد تقارب الصفر — بريد إلكتروني، ورقم هاتف يُرمى بعد الاستخدام، ومستندات هوية مسروقة أو مُصنّعة — بينما العائد الحدي لكل حساب هو مال حقيقي. فبقيمة مستخرَجة تتراوح بين 50 و200 دولار لكل حساب، يمثّل 200 حساب ضد مشغّل واحد دخلًا بدوام كامل.

هذا تحليل لنمط هجوم حقيقي رُصد ضد مشغّلي iGaming الأوروبيين في عام 2025. الأسماء والتفاصيل مُجهّلة الهوية. والتقنيات حديثة.

الإعداد: البنية التحتية التي يستثمر فيها المحتال

يُشغّل مُتعدّد الحسابات الجادّ بنية تحتية صغيرة:

• اشتراك بروكسي سكني — عادةً 911.re أو IPRoyal أو Smartproxy — يوفّر عناوين IP دوّارة عبر عشرات الدول. التكلفة: 50–200 دولار شهريًا.

• متصفح مضاد للكشف — Multilogin أو Dolphin Anty أو GoLogin أو Kameleo أو AdsPower. تُشغّل كل من هذه الأدوات ملفات متصفح معزولة ببصمات مُهيّأة بشكل مستقل. التكلفة: 50–150 دولار شهريًا.

• مخزون من الهويات المُعتّقة — إمّا مُشتراة عبر المنتديات (حزم بريد إلكتروني + هاتف + صورة مستند موثّقة) أو مُولّدة. التكلفة: 5–30 دولارًا لكل هوية.

• بنية تحتية للدفع — بطاقات مسبقة الدفع، أو محافظ عملات مشفّرة، أو بغال أموال لاستلام الأرباح دون آثار حساب موحّدة.

إجمالي النفقات الشهرية: 200–500 دولار. وبقيمة مستخرَجة بلغت 84,000 دولار على مدى 6 أشهر، يبلغ عائد الاستثمار 20–30 ضعفًا.

دورة حياة حساب احتيالي واحد

يتبع كل حساب اصطناعي نمطًا متشابهًا:

1. يُشغّل ملف المتصفح المضاد للكشف ببصمة جديدة (canvas وWebGL والمنطقة الزمنية واللغة ودقة الشاشة).

2. يُخصَّص بروكسي سكني — عادةً من دولة تطابق مستندات الهوية.

3. يكتمل التسجيل بهوية مُعتّقة: بريد إلكتروني، وتحقق من الهاتف عبر خدمة إعادة توجيه الرسائل النصية، ورفع مستند هوية مسروق أو مُولّد.

4. يجتاز التحقق KYC — لأن مستندات الهوية حقيقية (مسروقة) أو مزوّرة باحترافية.

5. يُجرى إيداع صغير — غالبًا 10–30 دولارًا — لتفعيل مكافأة الترحيب.

6. تُلعب المكافأة عبر اختيارات ألعاب محدّدة تُعظّم القيمة المتوقعة مقابل شرط الرهان.

7. تُسحب الأرباح إلى وسيلة الدفع المرتبطة بالهوية.

8. يُهجَر الحساب أو يُباع.

تستغرق الدورة كاملةً 2–7 أيام. ويُشغّل المشغّل الاحترافي 20–40 حسابًا في آنٍ واحد في مراحل مختلفة من هذا الخط الإنتاجي.

ما الذي كان يراه المشغّل

لاحظ فريق مكافحة الاحتيال في منصة iGaming حالات شاذة في الربع الثاني:

• ارتفعت نسبة صرف المكافآت على الحسابات الجديدة من 47% إلى 63% ربعًا بعد ربع.

• بقيت عمليات ردّ المبالغ منخفضة — ما يعني أن البطاقات لم تكن مسروقة. كان الاحتيال بنيويًا، لا معاملاتيًا.

• زادت تذاكر الدعم الواردة من لاعبين عائدين لم يتعرّفوا على سجلّ حساباتهم.

اشتبه الفريق في تعدد الحسابات لكنه لم يملك الأدوات لإثباته على نطاق واسع. فكل حساب، منظورًا إليه بمعزل، بدا مشروعًا. أسماء مختلفة، وعناوين IP مختلفة، وبصمات مختلفة، ومستندات مختلفة.

ما أظهرته الإشارات فعليًا

عند تطبيق إشارات ذكاء الأجهزة بأثر رجعي على مجموعة الحسابات، انطوى 217 حسابًا إلى مشغّل واحد. وإليك ما جمع بينها.

الإشارة 1. إعادة استخدام بصمة TLS

رغم اختلاف عناوين IP واختلاف بصمات المتصفح، تشارك 217 حسابًا في 3 قيم تجزئة JA4 فريدة فقط. تُولَّد بصمة TLS بواسطة مكتبة العميل — وبينما استطاع المتصفح المضاد للكشف تزييف canvas وWebGL، فقد استخدم إصدار Chromium أساسيًا واحدًا لمصافحات TLS. وتوافقت قيم JA4 الثلاث مع ثلاثة إصدارات من المتصفح المضاد للكشف رقّاها المشغّل تباعًا.

الإشارة 2. التوقيت السلوكي عبر الجلسات

كانت أوقات تسجيل الـ217 حسابًا متجمّعة في نوافذ ضيقة: غالبًا 09:00–11:00 بالتوقيت العالمي المنسّق في أيام العمل. يُسجّل اللاعبون الحقيقيون على مدار دورة الـ24 ساعة كاملة. وقد فضحت ساعات العمل البشرية في منطقة زمنية واحدة المشغّلَ بغضّ النظر عن المنطقة الزمنية التي ادّعاها كل ملف مزيف.

الإشارة 3. أنماط لعب المكافأة

كانت استراتيجية الرهان عبر الحسابات متطابقة تقريبًا: الاختيار نفسه للألعاب (ماكينات قمار محدّدة منخفضة التباين)، وحجم الرهان نفسه نسبةً إلى المكافأة، ومدة الجلسة نفسها قبل طلب السحب. للاعبين الحقيقيين تفضيلات شديدة التنوّع. والتجانس الإحصائي عبر الحسابات لا يكون ممكنًا إلا بسكربت أو دليل تشغيل.

الإشارة 4. الأنماط الدقيقة لحركة الفأرة

تُزيّف المتصفحات المضادة للكشف البصمات البصرية لكنها لا تُزيّف طريقة تحرّك الإنسان خلال الجلسة. وقد حملت مسارات الفأرة عبر الـ217 حسابًا خصائص مشتركة — منحنيات بيزييه بملامح تسارع متسقة، وأنماطًا محدّدة للعودة إلى الإحداثيات نفسها قبل النقر. كلها من إنتاج أتمتة المشغّل.

الإشارة 5. تجميع نقاط الدفع النهائية

رغم اختلاف الأسماء على الحسابات، مرّت عمليات السحب عبر 8 محافظ عملات مشفّرة فريدة. وإعادة استخدام المحفظة عبر حسابات غير مترابطة من أقوى الإشارات المتاحة، ولا تتطلّب أي كشف على مستوى الجهاز.

الإشارة 6. تناقضات تعداد الخطوط

يُزيّف المتصفح المضاد للكشف قوائم الخطوط، لكن من مكتبة مُعدّة مسبقًا فقط. أبلغت جميع الـ217 حسابًا عن تعدادات خطوط من مجموعة محدودة تضمّ 5 قوالب. للمستخدمين الحقيقيين تركيبات فريدة من الخطوط المثبّتة. وقد كُشفت القوالب لأن تنوّعها كان منخفضًا للغاية.

الإشارة 7. تجميع مُصيّر WebGL

يُدوّر المتصفح المضاد للكشف سلاسل معالج الرسوميات، لكن من مجموعة ثابتة — عادةً معالجات الرسوميات الاستهلاكية الـ20–30 الأكثر شيوعًا. وعبر الـ217 حسابًا، ظهرت سلاسل معالج الرسوميات بتوزيع غير معقول: تمثيل مفرط لطُرز محدّدة من Intel وNVIDIA، دون أي تمثيل لعتاد AMD. لجمهور المستخدمين الحقيقيين توزيع أوسع لمعالجات الرسوميات.

الإشارة 8. غياب التنميط في دقة الشاشة

تُولّد المتصفحات المضادة للكشف أبعاد الشاشة، لكن غالبًا بدقات غير معيارية لتبدو فريدة. الشاشات الحقيقية بدقة 1366×768 أو 1920×1080 أو 2560×1440 أو 3840×2160، أو حفنة من مقاسات الحواسيب المحمولة. وقد تضمّنت الـ217 حسابًا أبعادًا مثل 1892×1063 لا تستخدمها أي شاشة حقيقية.

الإشارة 9. تداخل الجلسات عبر الحسابات

سجّل حسابان الدخول من عنوان IP نفسه في غضون أجزاء من الثانية من بعضهما، لكن من ملفَّي متصفح مضادّ للكشف مختلفَين. كشفت سجلات الجلسات أنه عندما يخرج حساب، يدخل آخر خلال ثوانٍ — من عنوان IP مختلف لكن بخصائص اتصال قابلة للكشف تربط بينهما. كان مجمّع البروكسي يُدوّر، لكن تصرّفات المشغّل لم تكن كذلك.

الإشارة 10. ترابط مصدر الإيداع

جاءت إيداعات العملات المشفّرة إلى الحسابات من 12 محفظة مصدر. وأظهر تحليل سلسلة الكتل أن هذه المحافظ الـ12 تلقّت تمويلها من حساب منصّة تداول واحد أعلى السلسلة. وربط تحليل «تتبّع المال» العنقود بأكمله.

الإشارة 11. الأنماط اللغوية في تذاكر الدعم

فتح بعض الحسابات تذاكر دعم على مدى الأشهر الستة. وكانت الأنماط اللغوية — صياغات محدّدة، وشوائب نحوية، وأخطاء إملائية للكلمات نفسها — مشتركة عبر حسابات مُسجّلة لدول وإعدادات لغة مختلفة.

لماذا تفشل الإشارات المفردة

قد تكون أيّ من هذه الإشارات مصادفة. فحسابان ببصمة TLS نفسها قد يكونان مستخدمَين على إصدار Chrome نفسه. وحسابان بمسارات فأرة متشابهة قد يكونان لاعبَين ينقران بطريقة متشابهة. وعمليتا سحب إلى المحفظة نفسها قد تكونان محفظة عائلية مشتركة.

القوة في التركيب. فعندما يتشارك 217 حسابًا في بصمات TLS، ونقاط المحافظ النهائية، وقوالب الخطوط، ودقات الشاشة، وأنماط الفأرة، والتوقيت السلوكي — تنهار احتمالية الاستقلال إلى الصفر.

ما الذي فعلته المنصة

بعد التحليل بأثر رجعي، طبّقت المنصة تسجيلًا آنيًا عند إنشاء الحساب. تلقّى كل حساب جديد درجة تشابه مقابل الحسابات القائمة استنادًا إلى الإشارات الـ11 زائد 40 إشارة أخرى. فوق العتبة، تُعلَّم الحسابات للمراجعة اليدوية قبل أهلية المكافأة. وتحت العتبة، تمضي الحسابات بشكل طبيعي.

خلال 60 يومًا، عادت نسبة إساءة استغلال المكافآت إلى خط الأساس. إمّا انتقل المشغّل إلى منصة أخرى، أو استثمر في بنيته التحتية أكثر بكثير — وكِلا الناتجَين كان انتصارًا.

النمط قابل للتعميم

تتغيّر الأدوات المحدّدة. وتتطوّر الإشارات. لكن الديناميكية الأساسية — مشغّلو احتيال محترفون يبنون بنية تحتية لاستخراج القيمة من برامج الاستحواذ السخيّة — ثابتة عبر iGaming، ومنصات تداول العملات المشفّرة، والتقنية المالية كثيفة العروض، وأي منصة تدفع مقابل اكتساب المستخدمين.

الدفاع الوحيد الفعّال هو ترابط الإشارات على مستوى المنصة. فالدفاعات المحيطية (حظر عناوين IP، وحظر الأجهزة، وقواعد الحساب الواحد) تفشل لأن المشغّلين يحسّنون عملهم للالتفاف حولها. أما ترابط الإشارات فينجح لأن المشغّلين لا يستطيعون جعل كل شيء عشوائيًا بتكلفة زهيدة — إذ تتجاوز تكلفة الاستقلال الحقيقي لكل حساب العائدَ لكل حساب.

تلك الفجوة هي ما يجعل كشف تعدد الحسابات مجديًا اقتصاديًا. وهي أيضًا ما يجعله لعبة يستطيع المدافع الفوز بها.