نسبت شركة "تي آر إم لابز" المتخصصة في تحليل بيانات سلاسل الكتل، أكبر سرقة للعملات المشفرة في التاريخ والتي تمت على منصة بينانس، إلى مجموعة "تريدر تريتور"، وهي وحدة قرصنة مدعومة من دولة كوريا الشمالية.
وجرى سحب نحو 6.36 مليار دولار من محافظ منصة بينانس أمس، وتقول الشركة إن تقييمها يستند إلى "ثقة عالية" وإلى معلومات استخباراتية داخل سلاسل الكتل وخارجها، فيما لم تؤكد بينانس حتى الآن هوية المنفذين.
10 عمليات في وقت قياسي
بحسب الشركة، نقل المهاجم الأموال من محافظ مرتبطة ببينانس عبر 10 سلاسل كتل، تشمل إيثيريوم وبيتكوين وترون وإكس آر بي ليدجر وسولانا وأربيتروم وأفالانش وأوبتيميزم وبيس وبوليغون.
وجرى العملية خلال نحو 20 دقيقة فقط وتبلغ القيمة نحو 4 أضعاف عملية اختراق منصة بايبت (Bybit) التي بلغت 1.5 مليار دولار في فبراير 2025، وهي أيضا من تنفيذ المجموعة نفسها بحسب الشركة.
وأكدت بينانس وقوع حادث أمني وعلّقت السحب والإيداع على شبكات عدة، مقدرة الأثر بنحو 6.3 مليار دولار، وقالت إنها ستغطي الخسائر من صندوق الطوارئ لحماية المستخدمين (سيفو) وأموال الشركة، وإن أموال المستخدمين آمنة.
لماذا تتجه الأصابع إلى بيونغ يانغ؟
استندت شركة "تي آر إم لابز" إلى تطابق الهجوم مع عمليات سابقة نُسبت لكوريا الشمالية، من بينها هجوم بايبت وهجوم بروتوكول "كيلب داو" في أبريل 2026.
ووافق خبراء آخرون على هذا الاتجاه، إذ رأى الرئيس التنفيذي لشركة "تشينالسيس" أن الهجوم يحمل بصمة "تريدر تريتور"، فيما اعتبر المحقق في سلاسل الكتل "زاك إكس بي تي" (ZachXBT) أن المهاجم يرجح أن يكون من مجموعة لازاروس.
وتشير تقارير إلى أن التحضير بدأ قبل التنفيذ بنحو 36 ساعة، إذ تلقت محفظة المهاجم تحويلات صغيرة عبر خدمة خلط العملات "تورنادو كاش" للتمويه، واختبر القراصنة الشيفرة البرمجية على عدة محافظ قبل تثبيت النسخة النهائية.
تنفذ الاختراق
استخدم المهاجم آلية مقترح تحسين إيثيريوم رقم 7702 (EIP-7702)، التي تتيح لمحفظة عادية تشغيل شيفرة عقد ذكي عبر توقيع تفويض.
وبهذا ثبّت عقدا ذكيا مخصصا على المحفظة الساخنة لبينانس، أي المحفظة المتصلة بالإنترنت، لا يقبل الأوامر إلا منه، واستخدمه لسحب الأموال ومواصلة اقتناص أي أموال تصل لاحقا.
وترجح الشركة أن الهجوم تم عبر اختراق البنية التي توقّع معاملات المحافظ الساخنة، إذ حصل المهاجم على توقيعات صالحة لمحافظ على 10 سلاسل خلال ساعات.
وقالت بينانس إن النتائج الأولية تشير إلى أن اختراق حاسوب محمول لأحد مهندسي التطوير والتشغيل ربما أتاح الوصول إلى حاوية الخدمة وإرسال معاملات سحب غير مصرح بها، من دون أدلة على تسريب المفاتيح الخاصة للمحافظ.
تجميد الأنشطة
جمدت شركتا "تيثر" و"سيركل" المصدرتان للعملات المستقرة، إلى جانب "ريبل" (Ripple) و"وورلد ليبرتي فاينانشال، نحو 2.67 مليار دولار من العملات المستقرة، وجمد مجلس أمن أربيتروم نحو 30 مليونا من عملتي إيثيريوم وأربيتروم، بإجمالي يقارب 2.7 مليار دولار بحسب الشركة.
فيما تقدر بينانس الأصول المجمدة بنحو 3 مليارات، ويظل المهاجم مسيطرا على أكثر من 420 ألف وحدة من إيثيريوم و 18,270 وحدة من بيتكوين، بقيمة تقارب 2.4 مليار دولار، إلى جانب كميات أصغر على سلاسل أخرى.
سعى المهاجم في الساعات الأولى إلى تحويل العملات القابلة للتجميد إلى أصول لا تملك جهة الإصدار السيطرة عليها، ولو بكلفة باهظة.
فقد تم بيع نحو 325 مليون دولار من عملة تيثر عبر منصة "يونيسواب إكس" (UniswapX) وعقود ذكية تعتمد على النوايا مقابل نحو 122,300 وحدة من إيثيريوم، أي بسعر قرابة 2,650 دولارا للوحدة مقابل 2,300 إلى 2,350 دولارا في السوق، بخسارة تجاوزت 10%، وجُمد 175 مليون دولار من تلك الدفعة.
ماذا بعد؟
تتوقع شركة "تي آر إم لابز"، استنادا إلى سرقات كبرى سابقة، أن تمر المرحلة المقبلة عبر جسور الربط بين الشبكات وخدمات تبديل العملات والوسطاء خارج المنصات الرسمية، وتراقب المحافظ التي جُمعت فيها الأصول والمسارات التي سلكتها.
وتنصح المنصات وفرق الامتثال بفحص الإيداعات والجهات المقابلة ومقارنتها بعناوين المهاجم، ومراقبة تفويضات المقترح 7702 على محافظ الخزينة، ورفض أي تفويض غير متوقع، وفصل مسارات التوقيع والموافقة حسب السلسلة والمحفظة.
وتبقى التحقيقات جارية، فيما تتجه الأنظار إلى قدرة جهات الإصدار والمنصات على تضييق الخناق على الأصول التي لا تزال بيد المهاجم، وإلى ما ستكشفه بينانس عن الثغرة التي سمحت بالهجوم.
