سرقة القرن الرقمية.. كيف تبخرت 6.3 مليارات دولار من بينانس في 20 دقيقة؟

لم تكن أكبر عملية سرقة في تاريخ قطاع الأصول المشفرة بحاجة إلى فك شفرات شبكة "البلوك تشين" (Blockchain) أو تحطيم جدران الحماية الرقمية لعملة "إيثيريوم"، بل استندت إلى استغلال دقيق لمنظومات التوقيع الداخلي وميزة برمجية حديثة، مكّنت قراصنة محترفين من الاستيلاء على نحو 6.3 مليارات دولار من منصة "بينانس" (Binance) العالمية في غضون 20 دقيقة فقط.

وبينما تحدثت المنصة عن اختراق بدأ من حاسوب أحد موظفيها، كشفت تقارير صادرة عن شركات متخصصة في الأمن السيبراني ومراقبة تقنية بلوك تشين تفاصيل تقنية لعملية وُصفت بـ "سرقة القرن الرقمية"، أثارت مخاوف واسعة حول الثقة في المنصات المركزية، وفتحت سجالا واسعا حول اتهام مجموعات قرصنة مرتبطة بكوريا الشمالية بالوقوف وراءها.

فمن ناحيتها تشير شركة بلوك إيد (Blockaid)، المتخصصة في أمن العملات المشفرة، في تحليلها للبيانات إلى أن العملية كانت مدروسة بعناية وجرى التخطيط لها على مراحل، وأن التحضير لها بدأ في 28 أكتوبر/تشرين الأول 2026 عبر قيام المهاجم بتمويل عنوانه الرقمي بثلاث عمليات سحب من خدمة "تورنادو كاش" (Tornado Cash)، وهي خدمة شهيرة لخلط العملات تُستخدم لتمويه الصلة بين هوية المودع والأموال وقطع مسار تعقب الأصول المالية.

ووفقا للشركة، فقد أجرى المهاجم في اليوم التالي اختبارات عملية على 3 محافظ رقمية يسيطر عليها بمبالغ ضئيلة تراوحت بين دولارين و6 دولارات؛ للتأكد من أن الآلية تعمل على الاستيلاء على الأرصدة وتفريغها آليا قبل الانتقال إلى المحافظ المستهدفة.

وعقب نجاح تلك الاختبارات، نشر المهاجم "عقدا ذكيا" مخصصا على شبكة إيثيريوم أطلقت عليه شركة بلوك إيد اسم "الكناس" (Sweeper)، وهو برنامج مخصص لتنفيذ مهمتين رئيسيتين: أولاهما سحب جميع الأصول والعملات من المحفظة المستهدفة ونقلها تلقائيا إلى عنوان خارجي فور استدعائه يحدده المهاجم، والأخرى منح المحفظة إمكانية استدعاء عقود ذكية إضافية، بما يتيح له توسيع نطاق العمليات التخريبية والاستيلاء على مزيد من الأرصدة.

اعتمد الهجوم بصورة أساسية على استغلال آلية حديثة دخلت حيز التشغيل في مايو/أيار 2025 تُعرف باسم معيار "EIP-7702″. وتتيح هذه الخاصية للمحافظ الرقمية التقليدية، المعروفة تقنيا بـ"الحسابات المملوكة خارجيا" (EOA) والتي تعتمد على مفتاح سري للتوقيع، الارتباط بعقد ذكي وتشغيل تعليماته آليا.

وتكمن الخطورة الاستثنائية لهذا المعيار في أن التفويض يظل ساريا ولا يسقط تلقائيا ما لم يُلغَ بتوقيع جديد؛ مما يعني أن توقيعا واحدا غير مصرح به يكفي لمنح جهة خارجية سيطرة دائمة ومستمرة على المحفظة وعلى أي أموال جديدة تودع فيها مستقبلا.

وتضيف بلوك إيد أنه عندما سعى المهاجم للسيطرة على محفظة "بينانس 14″، وهي إحدى أكبر المحافظ الساخنة التابعة للمنصة وأكثرها حركة، واجه عقبة تمثلت في التغير الدائم للرقم التسلسلي الترتيبي لمعاملاتها نتيجة المعاملات المتواصلة التي يجريها المستخدمون، مما منع معرفة الرقم المعتمد بدقة.

ولتجاوز هذه العقبة التقنية، أرسل المهاجم مساء 29 أكتوبر/تشرين الأول دفعة تضمنت 50 تفويضا بأرقام تسلسلية متتابعة، رُفض 49 منها وقبلت الشبكة تفويضا واحدا تطابق مع الرقم الفعلي في تلك اللحظة، لتتحول المحفظة في ثانية واحدة إلى أداة برمجية تعمل لحساب العقد الذكي "الكناس" الذي يتحكم فيه المخترق.

بعد نحو 3 دقائق من نجاح التفويض، وتحديدا عند الساعة 20:24 بالتوقيت العالمي، بدأت عملية السحب الواسعة من محفظة "بينانس 14″، حيث استولى المهاجم في معاملة واحدة على أكثر من 167 ألف وحدة إيثيريوم، ونحو 1.615 مليار دولار من عملة "تيذر" المستقرة، إضافة إلى نحو 60 أصلا رقميا آخر، تاركا في المحفظة وحدة إيثيريوم يتيمة.

ولم تمضِ 24 ثانية على تلك الضربة حتى تمدد الهجوم ليشمل عشر محافظ ساخنة أخرى تابعة للمنصة موزعة على شبكات أوبتيميزم وأربيتروم وأفالانش وإيثيريوم، نُقلت أصولها إلى العنوان المالي للمهاجم عبر معاملات عادية موقّعة بمفاتيحها الخاصة خلال 12 دقيقة.

ولم يتوقف النزيف عند هذا الحد؛ إذ استغل المهاجم بقاء التفويض البرمجي ساريا للنفاذ إلى حساب ذكي مرتبط بخدمات شركة "سيركل" (Circle) المصدرة لعملة "يو إس دي سي" (USDC)، وسحب 823 مليون دولار من هذه العملة، ثم عاد بعد نحو 80 دقيقة إلى محفظة "بينانس 14" لينفذ عملية سحب جديدة استولت على 200 مليون وحدة تيذر كانت قد أودعت فيها بعد الهجوم الأول.

تكشف التحقيقات وجود تمايز جوهري في توصيف كيفية حدوث الاختراق بين منصة بينانس وشركات الأمن السيبراني.

فرواية منصة بينانس تركز على نقطة الدخول الأولية مؤكدة أن الاختراق انطلق من حاسوب محمول يعود لأحد مهندسيها، ومنه تم النفاذ إلى حاوية خدمية داخلية مسؤولة عن تنفيذ السحوبات، مع تشديد المنصة على عدم وجود أدلة تثبت تسريب المفاتيح الخاصة للمحافظ، ومؤكدة في الوقت ذاته وجود نقاط اختراق إضافية أظهرتها التحقيقات.

وفي المقابل، يقدم تحليل شركة "بلوك إيد" التشريح البرمجي لآلية السيطرة، مشيرا إلى أن الخلل استند بالأساس إلى توظيف معيار EIP-7702 عبر التفويضات المتسلسلة لربط المحفظة بالعقد الكناس، مما جعل السيطرة البرمجية أمرا واقعا.

أما شركة "تي آر إم لابس" (TRM Labs) المتخصصة في تحليل بيانات البلوك تشين ومكافحة الجرائم المالية المتعلقة بالأصول الرقمية والعملات المشفرة، فتتبنى زاوية البنية التحتية، مفسرة الأمر بأن المهاجمين لم يسرقوا مفتاح الخزنة بشكل مباشر، بل تمكنوا من اختطاف منظومة توقيع المعاملات ذاتها، وهي المسؤولة عن منح الموافقات الرقمية وإصدار أوامر الصرف.

وعلى صعيد التحقيقات الجنائية وهوية الفاعلين، خلصت شركتا "تي آر إم لابس" و"تشيناليسيس" (Chainalysis) الأمريكيتان المتخصصتان في استخبارات البلوك تشين إلى وجود مؤشرات قوية ترجح وقوف وحدة القرصنة "تريدر تريتور" (TraderTraitor) المرتبطة بمجموعة "لازاروس" (Lazarus) الكورية الشمالية خلف العملية.

واستندت الشركتان إلى تطابق أسلوب الهجوم مع اختراق منصة "بايبت" عام 2025 إضافة إلى تقييمات استخباراتية وحركة تعقب الأموال. ومع ذلك، حرصت بينانس على تأكيد أن تحقيقاتها الرسمية لم تحسم حتى الآن هوية الجناة، وهي مسألة يقابلها عادة نفي متكرر من بيونغ يانغ حول مسؤوليتها عن أنشطة القرصنة الدولية.

وعقب الاستيلاء على الأصول، دخل المهاجمون في سباق مع الزمن لإخفاء معالم الأموال؛ حيث رصدت شركة تشيناليسيس سلوكيات غسيل أموال آلية غير مسبوقة تضمنت تدوير العملات عبر آلاف العناوين وإعادة ضخها في عناوين استُعملت سابقا لتمويه مسارها.

وفي سباق ملاحقة الأموال، نجحت الشركات المصدرة للعملات المستقرة مثل تيذر وسيركل وريبل (Ripple) وشركة وورلد ليبرتي فاينانشال (World Liberty Financial) في تجميد أصول تعادل نحو 3 مليارات دولار. غير أن القراصنة دخلوا في سباق مع الزمن لإخفاء معالم الأموال؛ حيث رصدت شركة تشيناليسيس سلوكيات غسيل أموال آلية غير مسبوقة تضمنت تدوير العملات عبر آلاف العناوين المشبوهة، كما استخدموا جزءا منها كضمانات لاقتراض إيثيريوم، مما جعل أصولا بقيمة 2.4 مليار دولار من عملتي بيتكوين وإيثيريوم بعيدة تماما عن متناول التجميد بسبب طبيعتهما اللامركزية.

ورغم تطمينات بينانس بتغطية كافة الخسائر عبر صندوق الأصول الآمنة واحتياطيات الشركة، يجمع خبراء الأمن السيبراني على أن الواقعة أثبتت أن الخطر الأكبر في عالم التشفير لم يعد كامنا في ثغرات البلوك تشين الأساسية، بل في الثقة الممنوحة للبنى التحتية للتوقيع المؤتمت، وغياب التدقيق اللحظي على الصلاحيات البرمجية الدائمة للمحافظ الساخنة.

وبالتالي فرضت الحادثة درسا تاريخيا قاسيا وهو أن صحة التوقيع الرقمي لم تعد تعني بالضرورة دليلا كافيا على أمان المعاملة ومشروعية التحويل، مما يفرض إعادة النظر في الصلاحيات البرمجية الممنوحة للمحافظ الساخنة وأنظمة التوقيع الداخلي.