أكدت منصة تداول العملات المشفرة Bitget أن الهجوم السيبراني الضخم الذي أسفر عن سرقة نحو 387.5 مليون دولار من أصولها الرقمية لم يكن نتيجة اختراق مباشر لمنظومتها الأساسية، بل جاء عبر استغلال ثغرة خطيرة من فئة «يوم الصفر» في منتجات أمنية تابعة لجهة خارجية، ما منح المهاجمين موطئ قدم داخل البيئة التقنية قبل تنفيذ عملية السطو الإلكتروني واسعة النطاق.
وتسلط هذه الواقعة الضوء على أحد أخطر التحديات التي تواجه منصات الأصول الرقمية حاليًا، والمتمثل في المخاطر الناجمة عن سلسلة التوريد الرقمية، حيث يمكن أن تتحول أدوات الحماية نفسها إلى نقطة دخول للمهاجمين إذا احتوت على ثغرات غير مكتشفة.
تحقيقات تكشف استغلال ثغرة مجهولة واستخدام أدوات مخصصة للسرقة
جاء تأكيد Bitget استنادًا إلى نتائج تحقيقات أجرتها شركة SlowMist المتخصصة في أمن البلوك تشين، والتي توصلت إلى أن المهاجمين استغلوا ثغرة يوم صفر داخل أحد المنتجات الأمنية المستخدمة من قبل المنصة.
ووفق نتائج التحقيق، تمكن المهاجمون من تنفيذ أنشطة خبيثة داخل البيئة المستهدفة والحصول على بيانات اعتماد داخلية عالية الصلاحيات، قبل استخدامها لإصدار أوامر سحب احتيالية من منظومة المحافظ الرقمية.
كما تمكن المحققون من استعادة أداة برمجية مخصصة استخدمها المهاجم لتنفيذ عمليات السحب غير المصرح بها، وهي أداة صُممت خصيصًا لتتوافق مع منطق عمل نظام السحب الخاص بمنصة Bitget، ما يشير إلى مستوى عالٍ من التخطيط والمعرفة التقنية بالبنية التشغيلية للمنصة.
الاختراق بدأ قبل أسابيع من تنفيذ السرقة
كشفت التحقيقات أن أولى مؤشرات النشاط الخبيث تعود إلى 31 أغسطس 2026، أي قبل نحو شهر من اكتشاف عملية السرقة.
وأوضحت SlowMist أن إحدى الخدمات العاملة على عقدة مرتبطة بما سُمي «المنتج أ» تعرضت للاستغلال عبر ثغرة يوم الصفر، حيث نجح المهاجم في تشغيل سكربتات مخفية داخل العملية البرمجية نفسها.
وبعد ذلك تمكن من قراءة متغيرات البيئة التي تحتوي على كلمات مرور قواعد البيانات، ثم أنشأ اتصالًا مباشرًا بقواعد البيانات المستهدفة.
كما رُصدت أنشطة مشابهة على عقد إضافية خلال 23 و25 سبتمبر، ما يشير إلى أن المهاجم كان يمتلك وجودًا مستمرًا داخل البيئة المستهدفة قبل تنفيذ عملية نقل الأموال.
التنقل داخل الشبكة وصولًا إلى خوادم المحافظ
تشير المعطيات إلى أن العملية لم تتوقف عند استغلال الثغرة الأولى، إذ انتقل المهاجم لاحقًا إلى منصة إدارة مرتبطة بما أُطلق عليه «المنتج ب».
ووفق التحقيقات، استخدم هوية موظف داخلي للوصول إلى المنصة قبل تنفيذ عدة محاولات لحقن أوامر داخل مهام النظام.
وبعد نجاحه في ذلك، استخدم واجهة تنفيذ الأوامر عبر الويب لتعديل إعدادات الخوادم ورفع ملفات اتصال وسيطة وتجميع برمجيات خبيثة على دفعات.
وأظهر تحقيق أجرته شركة Mandiant التابعة لجوجل أن المهاجمين سيطروا على أجهزة أمنية وشبكية متعددة قبل الانتقال أفقيًا داخل البنية التحتية والوصول إلى خوادم معالجة المحافظ الرقمية الخاصة بـ Bitget.
كما تمكنوا من نشر Web Shell داخل إحدى الأجهزة الأمنية وإنشاء قنوات اتصال وتحكم دائمة تسمح لهم بإدارة الهجوم عن بعد.
أداة مخصصة نفذت السحب الاحتيالي
أحد أهم اكتشافات التحقيق تمثل في العثور على برنامج مخصص لسرقة الأصول الرقمية ضمن الملفات المحذوفة التي تمكن الباحثون من استعادتها.
وأوضحت SlowMist أن الأداة صُممت خصيصًا لتتعامل مع منطق السحب المستخدم داخل Bitget، وبدأ تشغيلها في الساعات الأولى من 25 سبتمبر 2026.
وبمجرد تشغيلها، شرعت في تنفيذ عمليات تحويل غير طبيعية تجاوزت ضوابط إدارة المخاطر والرقابة التشغيلية المعمول بها داخل المنصة.
ونتيجة لذلك تمكن المهاجمون من الاستيلاء على أصول موزعة عبر 11 شبكة بلوك تشين مختلفة، من بينها Ethereum وTRON وAvalanche وBNB Smart Chain وArbitrum وOptimism وAlgorand وXRP Ledger.
عشرات الأصول الرقمية تأثرت بالهجوم
امتدت آثار الحادث إلى مجموعة واسعة من العملات والأصول الرقمية، شملت:
XRP
ETH
USDT
USDC
BNB
AVAX
TRX
ALGO
ATOM
ZEC
TIA
إضافة إلى أصول رقمية أخرى مرتبطة بالشبكات المستهدفة.
وفي المقابل نجحت جهات عاملة في القطاع، مثل Circle وTether وNEAR Intents، في تجميد نحو 1.1 مليون دولار من الأموال المسروقة، في محاولة للحد من قدرة المهاجمين على غسل الأصول وتحريكها عبر الشبكات المختلفة.
أصابع الاتهام تتجه نحو كوريا الشمالية
بحسب Bitget، فإن أنماط حركة المحافظ الرقمية والتحليلات الجنائية لسلاسل الكتل تشير إلى وجود ارتباطات مع جهات تهديد مرتبطة بكوريا الشمالية.
كما أفادت شركتا Elliptic وTRM Labs بأن بعض المحافظ المستخدمة في عملية غسل الأموال أظهرت تداخلات مع محافظ استُخدمت سابقًا في عمليات اختراق مرتبطة بجهات كورية شمالية.
ورغم عدم صدور إسناد رسمي ونهائي حتى الآن، فإن هذه المؤشرات تتوافق مع سجل طويل من الهجمات التي استهدفت منصات العملات المشفرة خلال السنوات الأخيرة، والتي اتُهمت فيها مجموعات كورية شمالية باستخدام عمليات اختراق متقدمة لتمويل أنشطتها عبر سرقة الأصول الرقمية.
اختراق يعيد طرح مخاطر سلسلة التوريد الأمنية
تكشف حادثة Bitget أن أكثر نقاط الضعف خطورة قد لا تكون داخل المنصة المستهدفة نفسها، بل داخل المنتجات الأمنية المحيطة بها. فاستغلال ثغرة واحدة غير معروفة داخل أداة حماية خارجية منح المهاجمين فرصة للتنقل عبر البنية التحتية، والسيطرة على خوادم المحافظ، وإنشاء أدوات سرقة مخصصة أدت في النهاية إلى واحدة من أكبر عمليات الاستيلاء على العملات المشفرة خلال عام 2026.
