وجّه مكتب التحقيقات الفيدرالي الأمريكي (FBI) رسميًا أصابع الاتهام إلى مجموعة القرصنة المرتبطة بكوريا الشمالية والمعروفة باسم TraderTraitor، وذلك على خلفية سرقة ما يزيد على 6.43 مليار دولار من الأصول الرقمية في هجوم استهدف منصة تداول العملات المشفرة «بينانس»، في عملية وُصفت بأنها الأكبر في تاريخ صناعة العملات الرقمية.
وبحسب السلطات الأمريكية، فإن المجموعة المعروفة أيضًا بأسماء أخرى مثل Jade Sleet وPressure Chollima وUNC4899، تقف وراء عملية الاستيلاء على أصول افتراضية ضخمة جرى تحويل جزء كبير منها إلى عملة إيثريوم (ETH)، تمهيدًا لإخفاء مسارات الأموال وغسلها عبر خدمات التمويل اللامركزي ومنصات المبادلة الفورية.
ويأتي الإعلان بعد تحقيقات مشتركة شارك فيها مكتب التحقيقات الفيدرالي وجهاز الخدمة السرية الأمريكي ووحدة التحقيقات الجنائية التابعة لمصلحة الضرائب الأمريكية، حيث تابعت الجهات المختصة حركة الأموال المسروقة ورصدت محافظ رقمية يعتقد أن المهاجمين يستخدمونها في عمليات غسل العائدات الإجرامية.
أكبر عملية سطو رقمي في تاريخ العملات المشفرة
يمثل الهجوم نقطة تحول لافتة في سجل الجرائم السيبرانية المرتبطة بالأصول الرقمية، إذ تجاوز بشكل كبير الرقم القياسي السابق البالغ 1.46 مليار دولار، والذي سُرق من منصة Bybit خلال عام 2025.
ووفق التقديرات المنشورة، فقد تم الاستيلاء على الأصول الرقمية عبر 11 شبكة بلوك تشين مختلفة، بينما استحوذت شبكتا إيثريوم وبيتكوين وحدهما على نحو 82% من إجمالي القيمة المسروقة.
وترى شركات متخصصة في تحليلات البلوك تشين أن هذه العملية تكاد تضاعف حجم الأصول المشفرة المنهوبة والمنسوبة إلى جهات مرتبطة بالنظام الكوري الشمالي خلال السنوات الأخيرة، ما يعكس اتساع نطاق الأنشطة الإجرامية العابرة للحدود التي تستهدف قطاع العملات الرقمية.
وفي تطور مهم، أعلنت جهات فاعلة في منظومة العملات المشفرة، من بينها Tether وCircle وRipple وArbitrum وOptimism، نجاحها في تجميد أصول رقمية تزيد قيمتها على 2.85 مليار دولار من إجمالي الأموال المسروقة، وهو ما اعتُبر خطوة مهمة للحد من قدرة المهاجمين على الاستفادة الكاملة من العائدات المالية الناتجة عن العملية.
كيف تعمل مجموعة TraderTraitor؟
تُعد مجموعة TraderTraitor واحدة من أخطر المجموعات السيبرانية المرتبطة بكوريا الشمالية، وقد برز نشاطها منذ عام 2020 على الأقل من خلال استهداف شركات العملات المشفرة ومنصات Web3.
ويعتمد أسلوبها بصورة أساسية على الهندسة الاجتماعية وإقناع الضحايا بتنزيل تطبيقات أو أدوات تحتوي على برمجيات خبيثة، تسمح للمهاجمين بالوصول إلى الأنظمة وسرقة المحافظ الرقمية أو البيانات الحساسة.
وخلال السنوات الأخيرة ارتبط اسم المجموعة بعدة عمليات اختراق بارزة استهدفت منصات ومشروعات مالية رقمية، من بينها DMM Bitcoin وBybit وKelpDAO وBitget، ما جعلها إحدى أكثر مجموعات التهديد نشاطًا في قطاع التمويل الرقمي العالمي.
ويشير خبراء الأمن السيبراني إلى أن نجاح هذه المجموعات لا يعتمد فقط على المهارات التقنية، بل على قدرتها على استغلال الثقة البشرية والبيئات المهنية للوصول إلى أهداف ذات قيمة مرتفعة.
استهداف المطورين عبر أدوات برمجية ملغمة
كشفت تقارير أمنية حديثة أن المجموعة طورت أساليبها بصورة ملحوظة، حيث لجأت إلى تلغيم مزودات Terraform المستخدمة في بيئات تطوير البنية التحتية السحابية، وتحويلها إلى وسيلة لنشر البرمجيات الخبيثة داخل المؤسسات المستهدفة.
وتبدأ العملية عادة بتنزيل مزود يبدو شرعيًا للمطورين، لكنه يحتوي في الواقع على تعليمات خبيثة تقوم بتحميل برمجيات مختلفة بحسب نظام التشغيل المستخدم، سواء كان ويندوز أو لينكس أو ماك أو إس.
وتشمل الأدوات المستخدمة برمجية FLATROOF متعددة المنصات، والتي تعمل على جمع البيانات الحساسة وسرقتها، قبل تثبيت باب خلفي يعرف باسم ROOFDECK يمنح المهاجمين سيطرة كاملة عن بعد على الأجهزة المصابة.
ويشكل هذا الأسلوب تهديدًا متزايدًا لسلاسل التطوير البرمجي الحديثة، لأن المهاجمين يستغلون مكونات يعتمد عليها المطورون بصورة يومية ويثقون بها ضمن بيئات العمل الرسمية.
الذكاء الاصطناعي يعزز حملات التوظيف الوهمية
أحد أكثر الجوانب إثارة للقلق في نشاط TraderTraitor هو اعتمادها المتزايد على الذكاء الاصطناعي في تنفيذ عمليات الاستدراج والاحتيال.
فبحسب تقارير أمنية، أنشأت المجموعة شركات وهمية وملفات تعريف مزيفة على منصات التواصل المهني، وانتحلت صفة مسؤولي توظيف يعملون في شركات متخصصة في الذكاء الاصطناعي وتحليل البلوك تشين.
وكان المهاجمون يتواصلون مع مهندسي البرمجيات والمتخصصين في الأمن السيبراني وتقنيات الذكاء الاصطناعي وسوق التوظيف التقني، عارضين عليهم فرصًا وظيفية مغرية ومقابلات عمل مزيفة. وخلال مراحل التواصل يتم إرسال ملفات أو أدوات يطلب من الضحية تشغيلها، لتبدأ بعدها عملية الاختراق.
كما استفادت المجموعة من تقنيات الذكاء الاصطناعي في إعداد رسائل إقناع أكثر واقعية، وإنشاء شخصيات رقمية تبدو حقيقية، وصياغة محتوى مهني متقن يقلل من احتمالات اكتشاف الخداع.
ويؤكد هذا التطور أن التهديدات السيبرانية الحديثة لم تعد تعتمد فقط على استغلال الثغرات التقنية، بل باتت توظف الذكاء الاصطناعي لتعزيز عمليات الهندسة الاجتماعية وتوسيع نطاق الاستهداف، خصوصًا داخل القطاعات المرتبطة بالتقنيات المتقدمة والعملات المشفرة والبنية التحتية الرقمية.
