أكبر سرقة رقمية في التاريخ .. اختراق بينانس يكبّدها 6.3 مليار دولار

الهاشمية نيوز - في واحدة من أكبر عمليات الاختراق في تاريخ العملات المشفرة، سُرقت نحو 6.36 مليار دولار من محافظ تابعة لمنصة «بينانس»، خلال عملية نفذتها مجموعة القرصنة الكورية الشمالية «TraderTraitor» عبر 10 شبكات «بلوك تشين»، واستغرقت معظم تحويلاتها نحو 20 دقيقة، وفق تقرير نشرته شركة «TRM Labs» المتخصصة في استخبارات تقنية «البلوك تشين»، اليوم الجمعة 30 أكتوبر/ تشرين الأول.
وبدأت التحويلات عند الساعة 20:05 بتوقيت غرينتش يوم 29 أكتوبر، فيما تشير تقديرات الشركة إلى أن الهجوم يمثل أكبر عملية سرقة للعملات المشفرة مسجلة حتى الآن، بقيمة تعادل نحو 4 أضعاف خسائر اختراق منصة «باي بت» في فبراير/شباط 2025، التي بلغت 1.5 مليار دولار.
وربطت «TRM Labs» العملية بمجموعة «TraderTraitor»، وهي وحدة القرصنة الرئيسية التابعة لكوريا الشمالية، استنادًا إلى معلومات استخباراتية من مصادر داخل شبكات «البلوك تشين» وخارجها، وبدرجة ثقة وصفتها بالمرتفعة، مشيرة إلى أوجه تشابه بين الهجوم الحالي وعمليات سابقة نُسبت إلى المجموعة نفسها.

«بينانس»: إجمالي الخسائر تقدر بنحو 6.3 مليار دولار.. وسنتحملها بالكامل
في المقابل، أكدت «بينانس» تعرضها لحادث أمني، وقالت إن التحقيقات الأولية تشير إلى احتمال ارتباطه باختراق حاسوب محمول لأحد مهندسي عمليات التطوير (DevOps)، ما أتاح للمهاجم الوصول إلى حاوية خدمات وإرسال معاملات سحب غير مصرح بها.
وقدّرت «بينانس»، في بيان عبر منصة «إكس»، إجمالي الخسائر بنحو 6.3 مليار دولار، مشيرة إلى أنها تعمل مع شركاء في مجال «البلوك تشين» لتجميد الأصول المتضررة، وأن نحو 3 مليارات دولار جُمّدت حتى الآن على سلسلة الكتل.
وأوضحت المنصة، أنها لم تعثر على دليل يشير إلى تسريب المفاتيح الخاصة للمحافظ الرقمية، مؤكدة أن أموال المستخدمين آمنة، وأنها ستتحمل جميع الخسائر من صندوق «SAFU» المخصص لحماية أصول المستخدمين، إلى جانب أموال الشركة.

كيف تمكنت مجموعة القرصنة من اختراق «بينانس»؟
يكشف تقرير «TRM Labs» أن التحضير للعملية بدأ قبل تنفيذها بنحو 36 ساعة على الأقل، إذ تلقت محفظة المشغّل التابعة للمهاجم 3 تحويلات صغيرة من خدمة «Tornado Cash»، وهي خدمة تُستخدم لحجب مصدر العملات المشفرة، بدءًا من صباح 28 أكتوبر.
وفي اليوم التالي، نشر المهاجم أجزاء من الشيفرة البرمجية المستخدمة في الهجوم واختبرها على 3 محافظ، قبل تثبيت النسخة النهائية على «محفظة ساخنة» تابعة لـ«بينانس»، وهي المحفظة الرقمية المتصلة بالإنترنت التابعة للمنصة، بعد نحو 4 ساعات من التجربة الأخيرة.
وبدأت التحويلات الرئيسية مساء 29 أكتوبر، عندما أرسلت 5 محافظ تابعة للمنصة على شبكة «XRP Ledger» نحو 233.46 مليون وحدة من عملة «XRP» إلى عنوان يتحكم فيه المهاجم، بين الساعة 20:05 و20:09 بتوقيت غرينتش.
وبعد ذلك، امتدت عمليات السحب إلى شبكات «سولانا» و«أوبتيميزم» و«بيتكوين» و«ترون»، قبل أن تشمل شبكات أخرى، من بينها «أفالانش» و«بوليجون»، في موجة ثانية من التحويلات بدأت نحو الساعة 23:05 بتوقيت غرينتش.
وبحسب التقرير، استحوذ المهاجم على نحو 18270 وحدة من «بيتكوين»، بقيمة تقارب 1.47 مليار دولار، كما سحب نحو 612.7 مليون وحدة من «USDT» و46.4 مليون وحدة من «TRX» عبر شبكة «ترون»، بقيمة إجمالية تقارب 628 مليون دولار.
واستخدم المهاجم تقنية تُعرف باسم «سلسلة التقشير» (Peel Chain)، من خلال تقسيم كميات كبيرة من عملة «بيتكوين» إلى تحويلات أصغر، بما يزيد صعوبة تتبع مسار الأموال.

آلية تقنية مكّنت المهاجم من السيطرة على «المحفظة الساخنة»
كان الاختراق الأبرز على شبكة «إيثيريوم»، حيث استغل المهاجم آلية التفويض «EIP-7702» لتحويل «محفظة ساخنة» تابعة لـ«بينانس» إلى أداة لسحب الأموال يسيطر عليها.
وتتيح هذه الآلية، التي أُدخلت إلى شبكة «إيثيريوم» ضمن تحديث «Pectra» في مايو/أيار 2025، للمحفظة العادية نقل التحكم في طريقة عملها إلى عقد ذكي من خلال توقيع تفويض، بما يسمح بتنفيذ الشيفرة البرمجية الخاصة بالعقد عند إجراء المعاملات.
ووفقًا لـ«TRM Labs»، أرسل المهاجم معاملة واحدة تضمنت 50 تفويضًا موقّعًا مسبقًا من المحفظة الساخنة التابعة لـ«بينانس»، بهدف تحويل التحكم فيها إلى عقد ذكي مخصص لسحب الأموال، لا يقبل التعليمات إلا من المهاجم.

واستفاد المهاجم من نظام عدّاد المعاملات المتواصل المعروف باسم «Nonce»، إذ أعد توقيعات مسبقة لـ50 قيمة متتالية، لضمان بقاء أحد التفويضات صالحًا عند تنفيذ المعاملة، رغم التغير المستمر في قيمة العداد نتيجة عمليات السحب التي تنفذها المحفظة.
وبعد 3 دقائق و24 ثانية من تنفيذ التفويض، أصدر المهاجم تعليمات إلى المحفظة لإرسال كامل رصيدها، الذي بلغ 167464 وحدة من «إيثيريوم» و63 رمزًا آخر، من بينها 1.615 مليار وحدة من «USDT».

ولم تتوقف العملية عند ذلك، إذ ظل التفويض قائمًا، ما أتاح للمهاجم سحب الأموال الجديدة التي وصلت إلى المحفظة الساخنة في 6 مناسبات لاحقة، بين الساعة 20:41 و23:56 بتوقيت غرينتش.
كما استُخدمت المحفظة منفذًا لتنفيذ معاملات حساب ذكي منفصل تابع لـ«بينانس»، ما أتاح سحب نحو 823 مليون وحدة من «USDC»، قبل أن تتمكن شركة «سيركل» من تجميدها.

لماذا ترجح «TRM» اختراق نظام توقيع المعاملات؟
رغم أن استخدام آلية «EIP-7702» قد يشير إلى حصول المهاجم على التفويضات عبر التصيد الاحتيالي، ترى «TRM Labs» أن هذا التفسير لا يكفي لتوضيح جميع تفاصيل العملية، خصوصًا التحويلات التي نُفذت عبر الشبكات الأخرى.
فخلال الفترة الزمنية نفسها، أصدرت محافظ تابعة لـ«بينانس» على 10 شبكات «بلوك تشين» تحويلات موقّعة وصحيحة لصالح المهاجم، باستخدام شبكات مختلفة وأنواع متعددة من المفاتيح وآليات متنوعة لتوقيع المعاملات.
وشملت هذه التحويلات محافظ على شبكات «XRP Ledger» و«أربيتروم» و«أفالانش» و«أوبتيميزم» و«بيس» و«بيتكوين» و«ترون» و«سولانا»، إضافة إلى محافظ أخرى على شبكة «إيثيريوم».
وترى الشركة أن التفسير الأرجح يتمثل في تمكن المهاجم من الوصول إلى نظام توقيع المعاملات الخاص بالمحافظ الساخنة لدى «بينانس»، وجعله يوقّع معاملات اختارها عبر شبكات متعددة.
وتشير التوقيعات الخمسون التي أُعدت مسبقًا إلى أن الوصول إلى النظام ربما كان محدودًا زمنيًا، أو أن الحصول على التوقيعات كان يتطلب تقديم طلبات عبر نظام معين.
ولم تكشف «بينانس» حتى الآن السبب الجذري للاختراق، لكنها قالت إنها ستنشر تقريرًا فنيًا مفصلًا بعد اكتمال التحقيق والتحقق من الوقائع.

تجميد 2.7 مليار دولار.. أين ذهبت بقية الأموال؟
لم تقتصر تداعيات الاختراق على عمليات السحب، إذ تحركت شركات إصدار العملات المستقرة وشركاء البلوك تشين لتجميد الأصول التي تمكنت من تحديدها، في محاولة للحد من قدرة المهاجم على التصرف فيها.
وبحسب تقرير «TRM Labs»، بلغ إجمالي الأموال المجمدة نحو 2.7 مليار دولار حتى الساعة 00:30 بتوقيت غرينتش اليوم 30 أكتوبر، وشملت الإجراءات:

وكانت «بينانس» قد أعلنت، في الساعة 23:35 بتوقيت غرينتش، أن إجمالي الأموال التي جرى التحقق من تجميدها بلغ 2.54 مليار دولار، قبل أن ترتفع التقديرات مع عمليات التجميد اللاحقة.
لكن المهاجم حاول تفادي هذه الإجراءات من خلال تحويل العملات المستقرة القابلة للتجميد إلى أصول يصعب على الجهات المصدرة تجميدها، إذ باع نحو 325 مليون وحدة من «USDT» إلى صناع السوق والجهات المتخصصة في تنفيذ الأوامر، مقابل نحو 122300 وحدة من «إيثيريوم»، عبر بروتوكول «UniswapX» وعقود أخرى لتنفيذ الصفقات.
وأظهرت البيانات أن عمليات البيع تمت بخصم تجاوز 10% مقارنة بسعر «إيثيريوم» في السوق وقت تنفيذها، إذ بلغ سعر الوحدة نحو 2650 دولارًا في هذه الصفقات، مقابل 2300 إلى 2350 دولارًا في السوق.

كما أودع المهاجم 60 مليون وحدة من «USDT» في بروتوكول الإقراض «Aave»، واقترض مقابلها نحو 19760 وحدة من «إيثيريوم»، قبل تجميد الأسواق المتأثرة.
وعلى شبكة «ترون»، نقل 300 مليون وحدة من «USDT» إلى محفظة بدأت إيداعها في بروتوكول «JustLend»، فيما نُقلت 200 مليون وحدة إضافية عبر محافظ وسيطة أجرت مبادلات للعملات على منصة «Uniswap».
وفي المقابل، تمكنت الجهات المعنية من تجميد أجزاء من هذه التحويلات، بينها 30 مليون وحدة من «USDT»، إلى جانب العملات التي جرى تجميدها في المحافظ الرئيسية.
وبعد هذه التحركات، ظل المهاجم يسيطر على أكثر من 420 ألف وحدة من «إيثيريوم» و18270 وحدة من «بيتكوين»، بقيمة إجمالية تقارب 2.4 مليار دولار، وهي أصول لا تستطيع الجهات المصدرة للعملات المستقرة تجميدها.

ما الذي يجعل الاختراق الأكبر في تاريخ العملات المشفرة؟
تتجاوز أهمية العملية حجم الأموال المسروقة، إذ تكشف عن قدرة المهاجم على تنفيذ تحويلات متزامنة عبر 10 شبكات بلوك تشين، باستخدام توقيعات صحيحة صادرة عن محافظ تابعة لمنصة واحدة.
وتنسب «TRM Labs» الهجوم إلى مجموعة «TraderTraitor» الكورية الشمالية، استنادًا إلى أوجه تشابه مع اختراقات سابقة، أبرزها الهجوم على منصة «باي بت» في فبراير/شباط 2025، الذي بلغت خسائره 1.5 مليار دولار، وحمّل مكتب التحقيقات الفيدرالي الأمريكي المجموعة مسؤولية تنفيذه.
كما رصدت الشركة أوجه تشابه مع الهجوم على «KelpDAO» في أبريل/نيسان 2026، من بينها تمويل محفظة المشغّل عبر تحويلات صغيرة من خدمة «Tornado Cash»، والتحضير للعملية قبل تنفيذها بوقت طويل، والحصول على التوقيعات مسبقًا قبل استخدامها دفعة واحدة.

ومع ذلك، تختلف طريقة غسل الأموال في الاختراق الحالي عن تلك التي أعقبت عملية «باي بت»، إذ اعتمد المهاجم هذه المرة بدرجة كبيرة على مبادلات ضخمة عبر صناع السوق وبروتوكولات الإقراض، بدلًا من الاعتماد بشكل رئيسي على الجسور بين الشبكات.
وتتوقع «TRM Labs» أن تشمل المراحل التالية استخدام جسور الربط بين الشبكات وخدمات مبادلة العملات والوسطاء الذين ينفذون الصفقات خارج البورصات (OTC)، مشيرة إلى أنها تراقب المحافظ التي جُمعت فيها الأصول لرصد التحركات المقبلة.

كيف تعاملت «بينانس» مع الاختراق؟
أعلنت المنصة اتخاذ إجراءات احترازية فورية، شملت تعليق عمليات الإيداع والسحب مؤقتًا لحين استكمال الفحوص الأمنية، وإلغاء صلاحية التفويض الخاصة بالعنوان المتأثر، والتواصل مع جهات إنفاذ القانون وشركاء استخبارات البلوك تشين لتتبع الأموال ومحاولة استعادتها.
وأكدت «بينانس» أن فرقها تعمل على مدار الساعة لمعالجة المشكلة، مشيرة إلى أنها ستغطي جميع الخسائر من صندوق «SAFU» وأموال الشركة، ولن يتحمل المستخدمون تبعات الحادث.
كما أعلنت أنها ستنشر نسخة محدثة من تقرير إثبات الاحتياطيات (Proof of Reserves) بعد استكمال إجراءات المعالجة، إلى جانب تقرير فني مفصل يوضح ملابسات الاختراق والإجراءات المتخذة.
ودعت المنصة المستخدمين إلى الاعتماد على قنواتها الرسمية فقط للحصول على التحديثات، والتواصل مع خدمة دعم العملاء عند الحاجة.