أعلنت منصة بينانس، أكبر منصة لتداول العملات المشفرة في العالم، يوم الخميس أن حادثاً أمنياً طال منصتها أثّر على أصول تبلغ قيمتها نحو 6.3 مليارات دولار. وأوضحت الشركة أن ما يقارب ثلاثة مليارات دولار من هذه الأصول جرى تجميدها على السلسلة حتى الآن، في واقعة تُعد الأضخم في سجل هجمات العملات المشفرة، متجاوزة سرقة بايبت التي بلغت نحو 1.5 مليار دولار في فبراير 2025 ونُسبت لاحقاً إلى كوريا الشمالية.
كيف بدأ اختراق بينانس وما حجم الخسائر
قالت بينانس في تحديث رسمي إن التحقيقات الأولية تشير إلى أن الحادثة ربما بدأت بجهاز محمول يعود لمهندس عمليات تطوير في الشركة، وقد أتاح ذلك للمهاجم الوصول إلى حاوية خدمة وتقديم معاملات سحب غير مصرح بها. وأكدت الشركة عدم وجود دليل على تسريب المفاتيح الخاصة للمحافظ، متعهدة بتعويض جميع الخسائر من صندوق الأصول الآمن للمستخدمين المعروف باسم ساف وكذلك من أموالها الخاصة. وبحسب شركة تحليلات البلوكشين تشينالسيس، قُدّرت القيمة المسروقة وقت السرقة بنحو 5.912 مليارات دولار، أي قرابة أربعة أضعاف أكبر عملية سرقة تلتها في هذا المجال، بينما قدّرتها شركة إليبتيك بنحو 6.43 مليارات دولار.
وفي خطوات احترازية، علّقت بينانس مؤقتاً عمليات الإيداع والسحب إلى حين استكمال الفحوص الأمنية، وألغت تفويض العنوان المتأثر، واستعانت بجهات إنفاذ القانون وشركاء استخبارات البلوكشين لتتبع الأموال واستردادها. وأعلنت لاحقاً أنها تتوقع استئناف السحب خلال 48 ساعة بعد إعادة هيكلة أمنية لخدمة السحب والعناوين المرتبطة بها. وأفاد الرئيس التنفيذي المشارك ريتشارد تينغ بأن المهاجم لم يكتفِ باستخدام صلاحيات مهندس واحد، وأن الهجوم لم يكن إجراءً بنقرة واحدة، بل عملية معقدة متعددة المراحل، مشيراً إلى أن التحقيق لم ينسب المسؤولية إلى أي فرد. وكشفت الشركة كذلك أن التحقيق وجد نقاط اختراق إضافية تتجاوز الجهاز المصاب.
تجميد الأصول المسروقة وجهود استرداد الأموال
سارعت جهات عدة إلى احتواء الأضرار. فقد أعلنت شركتا تيذر وسيركل تجميد أكثر من 1.567 مليار من عملة يو إس دي تي و800 مليون من عملة يو إس دي سي على التوالي، فيما نفذ مجلس الأمن التابع لشبكة أربيتروم معاملة لتجميد نحو 30.5 مليون دولار. وبمشاركة ريبل وورلد ليبرتي فاينانشال، ارتفع إجمالي المجمد من العملات المستقرة إلى نحو 2.67 مليار دولار.
ومع ذلك يحتفظ المهاجم بالسيطرة على أصول لا يمكن لجهات الإصدار تجميدها، تقدّرها إليبتيك بنحو 3.33 مليارات دولار موزعة على قرابة 43 عنوان محفظة. وتشمل أكثر من 511 ألف إيثريوم و18270 بيتكوين و233 مليون عملة إكس آر بي و670 مليون عملة ترون. وترى إليبتيك أن عمليات التتبع والتجميد تحسنت بدرجة تجعل كل سرقة أقل ربحية للمهاجمين مما كانت عليه سابقاً.
تفاصيل الهجوم التقني وتوقيعات المعاملات المسبقة
كشفت شركة تي آر إم لابس أن التحضير للهجوم بدأ قبل السرقة بـ36 ساعة على الأقل، وأن المهاجمين سيطروا على محفظة ساخنة تابعة لبينانس لإرسال رصيدها بالكامل إلى عنوان يتحكمون فيه. وفي الساعة 20:20 بالتوقيت العالمي المنسق قدّم المشغّل معاملة واحدة تضم 50 تفويضاً، وقّعتها المحفظة الساخنة ووجّهتها إلى عقد كنس لا يقبل تعليمات إلا من المشغّل نفسه.
وتعتمد الحيلة على أن لكل محفظة عداداً يُسمى نونس يحصي معاملاتها، ولا يصلح التفويض إلا عند العدد الذي بلغته المحفظة لحظة التنفيذ. ولأن المحفظة الساخنة لبينانس تعالج تدفقاً مستمراً من عمليات السحب فإن عدادها يتقدم باستمرار، لذلك أعدّ المهاجم تواقيع لخمسين عداً متتالياً ليضمن صلاحية واحد منها وقت التنفيذ، وهو ما حدث فعلاً. وبعد ثلاث دقائق و24 ثانية من التفويض أمر المشغّل المحفظة بإرسال رصيدها كاملاً، فانتقل 167464 إيثريوم و63 رمزاً رقمياً بينها 1.615 مليار من يو إس دي تي في معاملة واحدة.
ويرجح الباحثون أن المهاجم تمكن من جعل نظام التوقيع في المحفظة الساخنة يوقّع معاملات يختارها هو عبر سلاسل مختلفة، وأن دفعة التواقيع الخمسين تشير إلى أن الوصول ربما كان محدوداً زمنياً أو أن التواقيع كانت تُطلب عبر منظومة وسيطة. ولم تنشر بينانس حتى الآن سبباً جذرياً للحادثة. وقالت إليبتيك إن المهاجم لم يسرق مفاتيح بينانس الخاصة، بل جعل أنظمتها هي من توقّع المعاملات نيابة عنه، وهو ما يشبه سرقة بايبت حين اخترق قراصنة كوريون شماليون جهاز مطور لدى مزود المحافظ سيف والت وتلاعبوا بالمعاملة التي وافق عليها موقّعو بايبت. وفي الحالتين كانت البنية التحتية والأشخاص المحيطون بالمحافظ هم الحلقة المخترقة وليس التشفير ذاته.
الاتهامات لكوريا الشمالية ومجموعة تريدر تريتور
نسبت شركة تي آر إم لابس الهجوم بدرجة ثقة عالية إلى جهات تهديد من كوريا الشمالية، وربطته بمجموعة تريدر تريتور التي وقفت وراء سرقة بايبت عام 2025. وأشارت إلى تشابه واضح مع هجمات سابقة، منها اختراق كيلب داو في أبريل 2026، ويتمثل في عمليات سحب صغيرة من تورنادو كاش لتمويل محفظة المشغّل، وتحضير يبدأ قبل السرقة بوقت طويل، وتواقيع تُجمع مسبقاً ثم تُنفذ دفعة واحدة. لكنها لاحظت أن أسلوب غسل الأموال هذه المرة اعتمد على مبادلات ضخمة عبر صناع السوق وبروتوكولات الإقراض، بخلاف النمط الذي ساد بعد بايبت وركّز على الجسور بين السلاسل.
وربطت تشينالسيس الهجوم كذلك بكوريا الشمالية بدرجة ثقة عالية، إذ رصدت اختلاط أموال سُرقت من بينانس بأموال سرقتها بيونغ يانغ في اختراق بيتغيت الشهر الماضي. وتستند إليبتيك في ربطها إلى ثلاثة عوامل، هي وصول أموال بينانس وأموال بيتغيت إلى عنوان إيثريوم واحد، واعتماد المهاجمين على تمويل المحفظة بثلاث عمليات سحب صغيرة من تورنادو كاش واختبار الشيفرة مسبقاً وتنفيذ معاملات موقّعة سلفاً دفعة واحدة، والاحتمال الكبير لاستخدام الهندسة الاجتماعية لخداع الموظفين وتشغيل برمجيات خبيثة بذريعة اختبار برمجي أو مشروع وهمي، وهو أسلوب شوهد في اختراقي دي إم إم بيتكوين وبايبت.
ورغم ذلك دعت إليبتيك إلى الحذر في الجزم بالإسناد، لوجود اختلافات في سرعة غسل الأموال ومنهجيته، فالمهاجمون الكوريون الشماليون يبادلون عادة العملات المستقرة بأصول أصلية خلال دقائق، بينما احتفظ المهاجم هنا بعملة يو إس دي تي سبعاً وثلاثين دقيقة على إيثريوم وستاً وأربعين دقيقة على ترون دون تحويل معظمها. وقال كبير العلماء ومؤسس إليبتيك الدكتور توم روبنسون إن اكتشاف الهجوم قبل وقوعه كان ممكناً بأثر رجعي فقط، فقد موّل المهاجم محفظته قبل يوم عبر خلاط تورنادو كاش واختبر شيفرته على ثلاث محافظ قبل ساعات، ولم يكن أي من ذلك لافتاً وقتها. وأضاف أن المكاسب ضخمة والمخاطر ضئيلة، وأن القراصنة خارج متناول أجهزة إنفاذ القانون الغربية، وأن استهداف الأشخاص عبر عروض العمل المزيفة والبرمجيات الخبيثة يجعل جهازاً واحداً مصاباً كافياً لإحداث كارثة بهذا الحجم.
