Binance يبلغ عن سرقة رقمية قياسية بقيمة 6.3 مليار دولار عبر لابتوب متضرر وخرق إضافي

Binance، المنصة العالمية الرائدة في العملات الرقمية، أعلنت يوم الجمعة أن المهاجمين سحبوا نحو 6.3 مليار دولار من محافظها. بدا أن نقطة الدخول الأولى كانت لابتوب متضرر يستخدمه مهندس DevOps، لكن التحقيق كشف عن مسارات اختراق أخرى. وعدت Binance بتعويض كل خسارة باستخدام صندوق الأصول الآمن للمستخدمين (SAFU) وموارد مؤسسية إضافية، مع التعاون مع شركات تحليل البلوكشين ووكالات إنفاذ القانون لتتبع الأموال المفقودة.

• بدأ الاختراق بلابتوب مهندس DevOps، لكن تم تحديد نقاط وصول أخرى لاحقاً.
• يُشتبه على نطاق واسع في أن مجموعة القراصنة الكورية الشمالية TraderTraitor قامت بتنظيم الهجوم.
• حوالي 3 مليار دولار من الأصول المسروقة تم تجميدها على السلسلة؛ الباقي لا يزال تحت سيطرة المهاجمين.

سلسلة الهجوم

أشارت بيان Binance على X إلى أن اللابتوب المتضرر منح المهاجم الوصول إلى حاوية الخدمة، مما مكنه من تنفيذ أوامر سحب غير مصرح بها. بينما أشارت التحليلات الأولية إلى جهاز واحد متضرر، أوضح التحديث لاحقاً أن الحادث “شمل نقاط اختراق متعددة”، مع أن اللابتوب كان مجرد متجه محتمل. لم يُعثر على دليل على تسرب مفتاح خاص.

وفقاً لـ TRM Labs، بدأت عملية التصدير في 20:05 UTC في 29 أكتوبر، مع نقل معظم الـ 6.36 مليار دولار من محافظ Binance خلال نافذة 20 دقيقة عبر عشرة بلوكشين مختلفة، مثل Ethereum وBitcoin وTron وSolana وLedger XRP. جاءت موجة ثانوية تستهدف Avalanche وPolygon حول 23:05 UTC. أبلغ المهاجمون عن إعداد محفظة باستخدام سحوبات صغيرة من Tornado Cash وممارسة العملية على حسابات تجريبية قبل السرقة الرئيسية.

التحليل إلى وحدة كورية شمالية

يُعزى الحادث إلى كل من TRM Labs وChainalysis إلى TraderTraitor، وهي مجموعة هكر كورية شمالية مملوكة للدولة تُعرف أيضاً باسم Lazarus Group أو APT38. تنص الشركات على أن لديها “ثقة عالية” في هذا التحليل بناءً على أنماط السلسلة الخارجية والمخابرات الخارجية. ربطت FBI نفس المجموعة في فبراير 2025 بهجوم Bybit بقيمة 1.5 مليار دولار.

يُظهر تحليل TRM أن المهاجمين استغلوا ميزة Ethereum EIP-7702 لنقل تحكم محفظة ساخنة Binance إلى كودهم الخاص، مع نقل 167,464 ETH ومئات الرموز الأخرى، بما في ذلك 1.615 مليار USDT، في معاملة واحدة. لوحظت عمليات نقل مماثلة موقعة على السلاسل الأخرى، مما يشير إلى أن المهاجمين يمكنهم التحكم في نظام التوقيع متعدد السلاسل الخاص بـ Binance.

تجميد الأصول والتعرض المتبقي

تصرّف ناشدو العملات المستقرة بسرعة. قامت Tether بتجميد 971.1 مليون USDT في 21:01 UTC، بينما قامت Circle بتأمين 823 مليون USDC بعد ثلاث دقائق. كما قامت Ripple وWorld Liberty Financial ومجلس أمان Arbitrum بتجميد أجزاء من الأموال المسروقة. بحلول 00:30 UTC يوم الجمعة، قدرت TRM نحو 2.7 مليار دولار مجمّدة على السلسلة؛ عدد Binance الخاص يقارب 3 مليار دولار.

مع ذلك، لا يزال المهاجمون يسيطرون على أكثر من 420,000 ETH و18,270 BTC، بقيمة تقريبية 2.4 مليار دولار، لا يمكن لأي ناشئ تجميدها. أوقفت Binance سحب الأموال فوراً بعد الاختراق، لكن الإيداعات عادت منذ ذلك الحين. تتوقع البورصة إعادة فتح عمليات السحب خلال حوالي 45 ساعة بعد الانتهاء من مراجعة أمان خدمة السحب.

رد فعل السوق والتبعات الأوسع

بعد الإعلان، انخفض Bitcoin إلى أقل من 77,000 دولار، مسجلاً أدنى مستوى له في ستة أسابيع، وسقطت أسهم Coinbase وغيرها من الأسهم المرتبطة بالعملات الرقمية. يحذر المحللون من أن حجم الخسارة قد يقوض ثقة المستثمرين في البورصات المركزية ويزيد من التدقيق على مخاطر الطرف المقابل والسيولة.

يضيف الحادث إلى سلسلة من سرقات العملات الرقمية ذات القيمة العالية، حيث سرق 2.9 مليار دولار عبر ما يقرب من 150 هجوماً في عام 2025 وحده، ما يبرز الثغرات المستمرة في بنية البورصات.

الخطوات التالية لـ Binance والصناعة

التزمت Binance بنشر تقرير فني مفصل بعد التحقيق وتحديث إثبات الاحتياطيات بمجرد الانتهاء. يهدف التعاون المستمر مع جهات إنفاذ القانون وشركاء تحليل البلوكشين إلى استرداد أكبر قدر ممكن من الـ 2.4 مليار دولار المتبقية.

من المتوقع أن تكثف الجهات التنظيمية الرقابة على ضوابط الوصول المميّزة وإجراءات الاستجابة للحوادث في البورصات الكبرى. بالنسبة للمطورين، وفِرق تكنولوجيا المعلومات، ومديري المواقع، يبرز الاختراق أهمية سياسات الأقل امتيازاً الصارمة، والمراقبة المستمرة للحسابات المميّزة، وقدرات الإصلاح السريع.