يحقق المحققون في الكيفية التي تمكن فيها قراصنة إلكترونيون من سرقة 6,3 مليار دولار (5,6 مليار يورو) من منصة تداول العملات المشفرة "Binance"، في ما يُوصف بأنه "أكبر عملية اختراق في التاريخ"، مع مؤشرات تفيد بأن مجموعة قرصنة كورية شمالية كانت وراء الهجوم.

اعلان
اعلان

وتفوق هذه الأرقام بكثير حجم الهجمات السابقة على العملات المشفرة مثل "Bybit" (1,5 مليار دولار، 1,39 مليار يورو)، و"Poly Network" (610 مليون دولار، 545 مليون يورو) و"Ronin Network" (540 مليون دولار، 482 مليون يورو). ويُعد ما حدث لـ"Binance" أحدث حلقة في سلسلة من الحوادث السيبرانية خلال شهر أكتوبر، إذ يُلقى باللوم إلى حد كبير على التوسع في استخدام الذكاء الاصطناعي لاكتشاف الثغرات، بحسب خبراء الأمن السيبراني.

وتُعد "Binance" أكبر منصة لتداول العملات المشفرة في العالم، إذ تسيطر على نحو 35 في المئة من إجمالي الحصة السوقية للعملات الرقمية، وفقا للشركة. وتعمل كركيزة أساسية في نظام التشفير، إذ تتيح للناس شراء وبيع العملات المشفرة.

وكما هو الحال في منصات صرف العملات التقليدية، تحتفظ المنصة بعملات العملاء في محافظ تسيطر عليها هي، وتعالج عمليات السحب من عدد قليل من هذه المحافظ التي تبقى متصلة بالإنترنت طوال الوقت.

وقع الهجوم في أقل من أربع ساعات، بعدما حصل القراصنة على حق الوصول إلى عدة محافظ عبر جهاز كمبيوتر محمول مخترَق، وأرسلوا الأموال من محافظ "Binance" إلى محافظهم الخاصة. ولحسن الحظ، تمكنت "Binance" وشركاؤها من تجميد 2,7 مليار دولار (2,4 مليار يورو) من الأموال المسروقة، لكن بقية الأموال لا تزال مجمدة من دون لمس في محافظ المهاجم.

فيما يلي جدول زمني لكيفية وقوع الحادث:

الخميس

الساعة 10:29 مساء بتوقيت وسط أوروبا (CET) تقول "Binance" إنها تحقق بنشاط في تقارير عن مشكلة أمنية محتملة، وتطمئن العملاء بأن أموالهم "آمنة تماما"، لكنها تحذر من "عمليات احتيال".

الساعة 11:15 مساء بتوقيت وسط أوروبا (CET) تقول الشركة إنها تجري فحوصا أمنية، على أن تُستأنف عمليات السحب بمجرد حل المشكلة الأمنية.

الجمعة

الساعة 12:06 صباحا بتوقيت وسط أوروبا (CET) تعلّق الشركة التداول على "Binance Alpha"، وتقول إن التداول سيُستأنف عندما تُحل المشكلة الأمنية، وتعود لتطمئن العملاء بأن أموالهم لا تزال آمنة.

الساعة 12:22 صباحا بتوقيت وسط أوروبا (CET) تصدر "Binance" أول إعلان يفيد بتأثر الأصول. وتقول إنها على علم بتقارير عن تجميد أموال، موضحة أن 2,54 مليار دولار (2,26 مليار يورو) تم تجميدها حتى الآن، وتضيف أن الرقم قد يرتفع بينما تعمل عن كثب مع أجهزة إنفاذ القانون والسلطات المعنية لتعقّب الأصول وتجميدها.

الساعة 1:13 صباحا بتوقيت وسط أوروبا (CET) تصدر "Binance" بيانا تقول فيه إنها "ستغطي جميع الخسائر"، وإنه، كإجراء احترازي، تم تعليق جميع الإيداعات والسحوبات مؤقتا.

الساعة 1:52 صباحا بتوقيت وسط أوروبا (CET) تحدّث الشركة رقم الأصول المجمدة الذي ارتفع إلى 3 مليارات دولار (2,68 مليار يورو).

الساعة 3:25 صباحا بتوقيت وسط أوروبا (CET) تكشف "Binance" أن الأثر الإجمالي يبلغ نحو 6,3 مليار دولار (5,6 مليار يورو)، وتشير نتائج تحقيقها إلى أن جهاز كمبيوتر محمول يخص مهندس "DevOps" تم اختراقه، وقد يكون نقطة الدخول لهجوم أتاح الوصول إلى حاوية خدمة وتقديم معاملات سحب غير مصرح بها.

وتضيف الشركة أنه لا توجد أدلة على تسرب أي مفتاح خاص لمحفظة. وكإجراء احترازي، ألغت تفويض العنوان المتأثر، واستعانت بأجهزة إنفاذ القانون وشركاء من قطاع سلاسل الكتل لتعقّب الأموال واسترجاعها، إضافة إلى تجميد الحسابات.

الساعة 5:36 صباحا بتوقيت وسط أوروبا (CET) تقول الشركة في تحديث إن الحادث نجم عن عوامل عدة، وليس فقط عن جهاز الكمبيوتر المحمول المخترَق.

الساعة 9:47 صباحا بتوقيت وسط أوروبا (CET) تؤكد "Binance" بيانها السابق الذي يفيد بأن جهاز كمبيوتر محمول مخترَق قد يكون نقطة الدخول، لكنها تقول إن المحققين اكتشفوا خروقات أخرى في هجوم وصفته بأنه "هجوم معقد". وتقول الشركة إنها في طريقها لاستئناف خدمات السحب خلال 45 ساعة.

الساعة 11:55 صباحا بتوقيت وسط أوروبا (CET) تقول الشركة إنها بدأت استرجاع الأصول المتأثرة لصالح المستخدمين، وستغطي الخسائر من أموال الشركة، مع رصد 6,34 مليار دولار (5,66 مليار يورو) لتغطية الحادث.

وتقول الشركة على منصة التواصل الاجتماعي "X": "سننجو من هذه العاصفة".

كيف نفّذوا الهجوم؟

قالت "Binance" إن الحادث كان "هجوما معقدا" نجم عن عوامل متعددة.

وتشير التحقيقات الأولية إلى أن الحادث الأمني قد يكون مرتبطا بجهاز كمبيوتر محمول يخص مهندس "DevOps" تم اختراقه، ما أتاح للمهاجم الوصول إلى حاوية خدمة وتقديم معاملات سحب غير مصرح بها.

وتفيد شركة "Bitquery" المتخصصة في بيانات البنية التحتية لسلاسل الكتل بأن نظام السحب الخاص بـ"Binance" نفسه وقّع على تحويل 6,3 مليار دولار (5,6 مليار يورو) من 17 من محافظها الساخنة في أقل من أربع ساعات، من ليلة الخميس عند الساعة 9:04 مساء إلى الساعة 12:56 صباحا بتوقيت وسط أوروبا (CET) صباح الجمعة.

وأدى ذلك إلى أن شركات إصدار العملات المستقرة "Tether" و"Circle" و"Arbitrum"، إضافة إلى أربعة مُصدِرين أصغر، قامت بتجميد 2,7 مليار دولار لمنع سرقة الأموال، بحسب "Bitquery"، في حين أكدت "Bitcoin" أن 3 مليارات دولار تم تجميدها في الإجمال.

وقام المهاجم بتحويل 729 مليون دولار أخرى من العملات المستقرة قبل بدء التجميد. وفي النهاية، احتفظ المهاجم بنحو 3,1 مليار دولار، معظمها بعملة "Ether" و"Bitcoin"، وفقا لـ"Bitquery".

وتشير "Bitquery" أيضا إلى أن الأموال أُرسلت إلى عناوين جديدة عبر تسعة سلاسل كتل، وكانت "Ethereum" و"Bitcoin" و"TRON" الأكثر تضررا.

ولا تزال الشركة تحقق في المسألة بالتنسيق مع أجهزة إنفاذ القانون وشركاء استخبارات سلاسل الكتل لتعقّب الأموال واسترجاعها.

وقد علّقت "Binance" مؤقتا الإيداعات والسحوبات إلى حين استكمال الفحوص الأمنية، وألغت تفويض العنوان المتأثر واستعانت بأجهزة إنفاذ القانون وشركاء استخبارات سلاسل الكتل لتعقّب الأموال واسترجاعها.

وقالت الشركة إنها ستنشر تحليلا تقنيا مفصلا لما بعد الحادث بمجرد استكمال التحقيق والتحقق من الحقائق.

وتخطط أيضا لنشر "Proof of Reserves" محدّث بعد الانتهاء من إجراءات المعالجة.

من يقف وراء الهجوم؟

تقول شركة "TRM Labs" المتخصصة في استخبارات سلاسل الكتل والأمن السيبراني إن مجموعة "TraderTraitor"، وهي مجموعة قرصنة كورية شمالية، تقف وراء الهجوم.

وقالت الشركة في بيان: "استنادا إلى معلومات قوية داخل السلسلة وخارجها، نتوصل إلى هذا الحكم بثقة عالية".

وتشير الشركة أيضا إلى أن مكتب التحقيقات الفيدرالي "FBI" سمّى المجموعة نفسها مسؤولة عن هجوم "Bybit" الذي بلغت خسائره 1,5 مليار دولار (1,34 مليار يورو) في فبراير 2025.