أعلنت منصة «بينانس»، أكبر بورصة للعملات المشفرة في العالم، تعرضها لاختراق أمني قُدرت آثاره المالية بنحو 6.3 مليار دولار، في واقعة قد تصبح الأكبر من نوعها في تاريخ سوق الأصول الرقمية.
وقالت المنصة، في بيان نشرته عبر حسابها على منصة «إكس»، إنها تعاونت مع شركائها لتجميد أصول بقيمة تقارب 3 مليارات دولار، مؤكدة أنها ستغطي الخسائر من صندوق حماية المستخدمين (SAFU) وأموال الشركة، مع ضمان سلامة أرصدة العملاء.
وبحسب التحقيقات الأولية التي أعلنتها «بينانس»، يُحتمل أن يكون الهجوم قد بدأ من خلال اختراق حاسوب محمول لأحد مهندسي عمليات التطوير (DevOps)، ما أتاح للمهاجمين الوصول إلى حاوية خدمات داخل النظام وإرسال معاملات سحب غير مصرح بها.
وأكدت المنصة أنها لم ترصد حتى الآن أدلة على تسريب المفاتيح الخاصة بالمحافظ الرقمية، مشيرة إلى أن التحقيقات لا تزال مستمرة.
كيف تم الاختراق؟
وفقًا للتحليل الفني الذي نشرته شركة «تي آر إم لابس» (TRM Labs)، المتخصصة في تحليل معاملات البلوك تشين، سبقت عملية الاختراق استعدادات تقنية من جانب المهاجمين، شملت تجهيز محافظ رقمية واختبار آليات التحويل قبل تنفيذ الهجوم.
ورصدت الشركة تحركات مالية مشبوهة قبل الهجوم بنحو 36 ساعة، ما يشير إلى أن العملية استندت إلى تخطيط مسبق ودراسة للبنية التقنية للمنصة، قبل الانتقال إلى تنفيذ التحويلات على نطاق واسع.
وأوضحت الشركة أن المهاجمين تمكنوا من نقل أصول رقمية من محافظ ساخنة تابعة لـ«بينانس»، وهي المحافظ المتصلة بالإنترنت والمستخدمة في تنفيذ عمليات التداول والسحب اليومية، عبر عدد من شبكات البلوك تشين.
ولم تقتصر العملية على عملة واحدة، بل شملت مجموعة متنوعة من الأصول الرقمية، ما أتاح للمهاجمين توزيع الأموال بين شبكات ومحافظ متعددة، وصعّب مهمة تتبعها واستعادتها.
وفي تفسيرها للطريقة التي نُفذ بها الاختراق على شبكة «إيثريوم»، أشارت «تي آر إم لابس» إلى استغلال المهاجمين معيارًا تقنيًا يُعرف باسم (EIP-7702)، يتيح للمحافظ الرقمية العادية تفويض تنفيذ بعض العمليات إلى شيفرات برمجية خارجية، من خلال توقيع تفويض يسمح بتشغيل هذه الشيفرات.
واستغل المهاجمون هذه الخاصية لتحويل إحدى المحافظ الساخنة التابعة لـ«بينانس» إلى أداة برمجية تنفذ التحويلات لصالحهم، بعدما أعدوا تفويضات موقعة مسبقًا واختبروا آلية عملها قبل تنفيذ الهجوم.
وتكتسب هذه النقطة أهمية خاصة؛ لأنها تشير إلى أن المهاجمين لم يحتاجوا بالضرورة إلى الاستيلاء على المفاتيح الخاصة بالمحفظة، وإنما استغلوا صلاحية تقنية موقعة مسبقًا لتنفيذ تحويلات غير مصرح بها، بدت من الناحية الفنية وكأنها تستند إلى تفويض صحيح.
وبحسب تحليل الشركة، لم يقتصر الهجوم على شبكة «إيثريوم»، إذ شهدت تسع شبكات أخرى تحويلات من محافظ تابعة للمنصة، باستخدام معاملات سحب اعتيادية جرى تمريرها عبر البنية التقنية المتضررة.
وانتقلت غالبية الأموال خلال نحو 20 دقيقة، في حين امتدت التحويلات إلى محافظ وشبكات أخرى خلال الساعات التالية.
وبعد خروج الأموال من المنصة، بدأ المهاجمون في نقلها بين محافظ رقمية متعددة، وتحويل أجزاء منها إلى عملات أخرى، في محاولة لتعقيد عملية التتبع والحد من فرص تجميدها.
ووفقًا لتحليل الشركة، استخدموا منصات تداول لامركزية وبروتوكولات إقراض لإجراء مبادلات بين الأصول، بما يعكس محاولة للاستفادة من تعدد شبكات البلوك تشين وتنوع الأدوات المالية المتاحة داخل سوق العملات المشفرة.
وفي المقابل، تحركت شركات إصدار العملات المستقرة بالتعاون مع جهات متخصصة في تحليل البلوك تشين لتجميد الأصول المرتبطة بالهجوم.
وأفادت «تي آر إم لابس» بأن شركات مثل «تيثر» و«سيركل» شاركت في تجميد أموال مرتبطة بالمحافظ المستهدفة، إلى جانب تدخل جهات مسؤولة عن بعض شبكات البلوك تشين.
وقدرت الشركة قيمة العملات المستقرة والأصول التي جرى تجميدها بنحو 2.7 مليار دولار، فيما أعلنت «بينانس» أن إجمالي الأصول المجمدة بالتعاون مع شركائها بلغ نحو 3 مليارات دولار.
وتكشف هذه الخطوة عن أهمية التعاون بين منصات التداول وشركات العملات المستقرة ومقدمي خدمات تحليل البلوك تشين في الحد من حركة الأموال المسروقة، خصوصًا أن بعض العملات المستقرة تتيح لمصدريها تجميد أرصدة محددة عند رصد أنشطة غير مشروعة.
لكن تجميد جزء من الأموال لا يعني انتهاء الأزمة، إذ تظل العملات المشفرة مثل «بيتكوين» و«إيثريوم» أكثر صعوبة في التجميد مقارنة بالعملات المستقرة، لعدم وجود جهة مركزية مصدرة تستطيع إيقاف التحويلات أو تجميد المحافظ بصورة مباشرة.
أصابع اتهام تشير إلى كوريا الشمالية
وفيما لم تعلن «بينانس» رسميًا هوية الجهة المسؤولة عن الهجوم، أشارت شركة «تي آر إم لابس» الأمريكية المتخصصة في تحليل معاملات العملات المشفرة إلى مسؤولية مجموعة «تريدر تريتور» (TraderTraitor)، وهي وحدة قرصنة مرتبطة بكوريا الشمالية، عن تنفيذ العملية.
وقالت الشركة إنها توصلت إلى هذا التقييم استنادًا إلى أدلة مستمدة من معاملات البلوك تشين ومعلومات استخباراتية أخرى، مؤكدة بدرجة عالية من الثقة أن المجموعة تقف وراء الهجوم.
ونقلت وكالة «رويترز» عن الشركة أن أساليب الهجوم تحمل أوجه تشابه مع عمليات سابقة نُسبت إلى المجموعة الكورية الشمالية، من بينها الهجوم على منصة «باي بت» في فبراير 2025، الذي استولى خلاله المهاجمون على أصول رقمية بلغت قيمتها نحو 1.5 مليار دولار.
وتُتهم مجموعات قرصنة مرتبطة بكوريا الشمالية باستهداف منصات تداول العملات المشفرة وشركات الأصول الرقمية، في عمليات تقول جهات أمريكية إن عائداتها تُستخدم في تمويل أنشطة النظام.
تاريخ عمليات الاختراق في سوق العملات الرقمية
لم تكن واقعة «بينانس» الأولى من نوعها في سوق العملات المشفرة، إذ سبقتها سلسلة من الاختراقات التي كبدت منصات التداول وشبكات الأصول الرقمية خسائر بمليارات الدولارات.
ففي يناير 2018، تعرضت منصة «كوين تشيك» اليابانية لسرقة نحو 530 مليون دولار من عملة «نيم»، بعدما تمكن المهاجمون من الوصول إلى محفظة ساخنة متصلة بالإنترنت. ودفع الاختراق المنصة إلى تعليق عمليات السحب والتداول، قبل أن تعلن لاحقًا تعويض المستخدمين المتضررين.
وفي أغسطس 2021، تعرضت شبكة «بولي نتورك» لاختراق أدى إلى سرقة أصول رقمية تجاوزت قيمتها 600 مليون دولار، بعدما استغل المهاجمون ثغرة في العقود الذكية المسؤولة عن إدارة التحويلات بين شبكات البلوك تشين.
واتخذت الواقعة مسارًا غير معتاد، إذ بدأ المهاجم في إعادة الأموال بعد أيام من الاختراق، وتمكنت المنصة في نهاية المطاف من استعادة معظم الأصول المسروقة.
وفي مارس 2022، تعرضت شبكة «رونين»، المرتبطة بلعبة «أكسي إنفينيتي»، لعملية اختراق أسفرت عن سرقة نحو 615 مليون دولار، بعدما تمكن المهاجمون من السيطرة على مفاتيح التحقق اللازمة لاعتماد التحويلات، واستخدامها لتنفيذ معاملات غير مشروعة. ولم يُكتشف الاختراق إلا بعد نحو أسبوع، عندما فشل أحد المستخدمين في سحب أمواله، قبل أن تنسب السلطات الأمريكية الهجوم إلى مجموعة «لازاروس» المرتبطة بكوريا الشمالية.
وفي أكتوبر 2022، تعرضت شبكة «بي إن بي تشين» لاختراق عبر جسر رقمي يتيح نقل الأصول بين شبكات البلوك تشين، بعدما استغل المهاجمون ثغرة في آلية التحقق من المعاملات، وتمكنوا من إنشاء وحدات رقمية غير مشروعة بقيمة قُدرت بنحو 570 مليون دولار. وتدخل مطورو الشبكة لتعليق التحويلات مؤقتًا والحد من انتقال الأموال، في واقعة سلطت الضوء على المخاطر الأمنية التي تواجه الجسور الرقمية.
أما أحدث الحوادث الكبرى قبل اختراق «بينانس»، فكانت في فبراير 2025، عندما تعرضت منصة «باي بت» لاختراق بلغت قيمته نحو 1.5 مليار دولار من عملة «إيثريوم»، بعدما تمكن المهاجمون من التلاعب بعملية توقيع معاملة تحويل بين محافظ المنصة، وتغيير وجهة الأموال إلى عناوين يسيطرون عليها.
واتهم مكتب التحقيقات الفيدرالي الأمريكي مجموعة قرصنة مرتبطة بكوريا الشمالية بتنفيذ الهجوم، الذي أصبح أحد أكبر عمليات سرقة العملات المشفرة المسجلة في التاريخ.