في الفترة من 29 إلى 30 أكتوبر 2026، واجهت Binance حادثة أمنية نادرة الحجم، لكن جرى احتواء آثارها إلى حد كبير في نهاية المطاف. وخلاصة الوقائع هي أن عدة محافظ ساخنة تعرضت لعمليات «سحب شامل» غير اعتيادية خلال فترة وجيزة جدًا، وبلغت التدفقات الخارجة المسجلة، وفقًا للتتبع، عشرات المليارات من الدولارات في مرحلة ما. لكن الجهات المصدرة للعملات المستقرة الرئيسية سارعت إلى تجميد معظم الأموال المرتبطة بالحادثة، وقدّر CZ صافي الخسائر الفعلية بنحو ما يزيد قليلًا على مليار دولار، وتعهدت Binance بتغطيتها بالكامل.

تدفقات خارجة غير اعتيادية: تعرّضت عدة محافظ ساخنة لعمليات «سحب شامل» متتالية

بدأت الحادثة نحو الساعة 4:24 فجرًا يوم 30 أكتوبر بتوقيت تايبيه (20:24 يوم 29 أكتوبر بالتوقيت العالمي المنسق)، حين نفذت المحفظة الساخنة التي تصنفها Binance باسم «Binance 14» معاملة sweep (سحب شامل)، حُوّل بموجبها دفعة واحدة نحو 167,464 ETH و63 نوعًا من رموز ERC-20، من بينها نحو 1.615 مليار USDT، بقيمة قُدرت آنذاك بنحو 2.5 مليار دولار.

وبعد ذلك مباشرة، لم تتوقف التحويلات غير المعتادة:

· بعد 24 ثانية فقط، حوّلت محفظة ساخنة أخرى، «Binance 16»، نحو 28,005 من ETH إلى عنوان الاستلام نفسه، إلى جانب أصول أخرى، منها نحو 55.74 مليون USDT و25.94 مليون RLUSD.

· بعد نحو 17 دقيقة (الساعة 4:41)، حوّلت «Hot Wallet 34» مجدداً 780 مليون USDC إلى العنوان نفسه؛ ثم أعقبت ذلك عملية تحويل أخرى لـ43 مليون دولار من USDC.

بما أن الأموال تدفقت في فترة وجيزة من عدة محافظ ساخنة مستقلة إلى عنوان أُنشئ في اليوم نفسه، لم تستبعد تنبيهات البلوك تشين في البداية احتمال أن يكون الأمر «تحويلاً روتينياً لأغراض التشغيل». لكن حداثة عنوان الاستلام، والتحويل السريع للأصول مرة أخرى، واستخدام دالة sweep، سرعان ما دفعت السوق إلى ترجيح فرضية الهجوم.

أسلوب الهجوم: المشكلة لم تكن في المفتاح الخاص، بل في «تفويض التوقيع»

تكمن الخصوصية التقنية لهذا الحادث في أن المهاجم، على ما يبدو، لم يسرق مباشرةً المفاتيح الخاصة لمحافظ باينانس.

تشير تحليلات البلوك تشين إلى إساءة استخدام آلية EIP-7702 في إيثيريوم. تتيح هذه الآلية لحساب خارجي تفويض صلاحية التنفيذ إلى شيفرة محددة عبر «تفويض التوقيع». ويُشتبه في أن المهاجم حصل على تفويض التوقيع بوسائل مثل التصيد الاحتيالي، ما أتاح له تثبيت شيفرة خبيثة تتضمن وظيفة «كنس» على محافظ مرتبطة بباينانس، ثم استدعاء sweep لتحويل الأصول دفعة واحدة. وأشار محللون أمنيون إلى أنه لو كان المهاجم قد استحوذ فعلاً على المفتاح الخاص، لما احتاج إلى المرور عبر مُرحِّل (Relayer) وإجراءات التفويض، إذ كان بإمكانه نقل الأصول مباشرةً عبر معاملة ذرية؛ لذا فإن التفسير الأرجح هو أنه «حصل فقط على توقيع تفويض EIP-7702».

وهذا يعني أن عتبة تنفيذ الهجوم انخفضت كثيراً: فلا حاجة إلى اختراق المفتاح الخاص، إذ قد يكفي الاحتيال للحصول على تفويض توقيع واحد لتحويل عنوان إلى حالة يمكن فيها «كنس» أصوله. كما أن تحويل أصول من المحفظة نفسها مرة أخرى بعد عملية الكنس الأولى يؤكد أن هذا التفويض ظل سارياً لفترة من الوقت بعد وقوع الحادث.

التجميد وتوصيف الحادث: من «قيد التحقيق» إلى «هجوم مؤكد»

بعد وقوع الحادث، شهدت التصريحات العلنية لباينانس تشدداً واضحاً. فقد اقتصر بيانها الأول على القول إنها «تحقق في مشكلة أمنية محتملة» وإنها «لم تؤكد بعد تأثر أموال المستخدمين». وخلال نحو عشر دقائق، عُدّل البيان عدة مرات، إلى أن أُضيف في نسخته النهائية أن «أموال المستخدمين آمنة تماماً»، من دون أن يُستخدم رسمياً آنذاك وصف «سرقة» أو «اختراق».

جاء التحول مع تصريح CZ (تشانغبينغ تشاو)، إذ قال بوضوح: «يبدو أن هذا بالفعل هجوم من قراصنة على باينانس»، مؤكداً في الوقت نفسه أن أموال المستخدمين آمنة، وشاكراً تيثر وسيركل على سرعة تجميد الأموال. وأوضح CZ أنه لم يعد يدير العمليات اليومية لباينانس، لكنه يتوقع، بصفته مساهماً، أن تتم تغطية أموال جميع المستخدمين بالكامل.

وتزامناً مع توصيف الحادث، جمّدت الجهات المُصدرة للعملات المستقرة الأموال:

· جمّدت تيثر أكثر من 1.567 مليار USDT (وأفادت تقارير أخرى بأن المبلغ نحو 971 مليون دولار)؛

· جمّدت سيركل نحو 823 مليون USDC.

بلغ إجمالي ما جمّدته الشركتان نحو 2.39 مليار دولار، وهذا هو السبب الرئيسي للفارق الكبير الذي ظهر لاحقاً بين «الأموال الخارجة على السجلات» و«الخسائر الفعلية».

الأرقام المسجلة والخسائر الحقيقية: لماذا تراجع التقدير من مليارات إلى «أكثر قليلاً من مليار»؟

نظراً إلى أن الهجوم شمل محافظ متعددة وسلاسل عدة وعشرات من الرموز، اتسمت تقديرات إجمالي الأموال الخارجة من تتبع البلوك تشين بقدر كبير من الاضطراب: إذ تراوحت بين نحو 2.5 مليار دولار في التقديرات الأولية، ونحو 2.8 مليار، ثم نحو 3.3 مليار وفقاً للتتبعات اللاحقة، بل إن بعض جهات الرصد قدرتها بأكثر من 5.8 مليار دولار.

لكن هذه الأرقام تمثل في معظمها حجم التحويلات، لا صافي الخسائر النهائية التي يتعذر استردادها. ويقدم تقدير 0xngmi، مؤسس DefiLlama، صورة أوضح: فبعد تجميد كميات كبيرة من USDT وUSDC، بلغ إجمالي خسائر الحادث نحو مليار دولار، أي ما يعادل 0.69% فقط من أصول باينانس المحتفظ بها والبالغة نحو 144 مليار دولار، وهو مبلغ تستطيع باينانس تغطيته بالكامل من ميزانيتها العمومية. وأعاد CZ نشر هذا التقدير، مضيفاً: «قد تكون الخسائر أعلى قليلاً من ذلك، لكنها ستُغطى بالكامل».

وتتلخص العلاقة بين هذه الأرقام في أن الجهات المُصدرة جمّدت نحو 2.4 مليار دولار من العملات المستقرة التي حوّلها المهاجمون، فيما استقر حجم الجزء الذي خرج فعلياً من سيطرة باينانس ولم يُجمّد على المدى القصير عند نحو مليار دولار. لذلك تكبدت باينانس خسارة صافية قابلة للتغطية، لا تبخراً كاملاً لعشرات المليارات من الدولارات.

تعليق السحب والأثر الفعلي على المستخدمين

أوقفت باينانس عمليات السحب خلال فحوصات الأمان. وأفادت الشركة في البداية بأن عمليات سحب بعض المستخدمين تعثرت بسبب «خطأ تقني»، ثم أوضحت أن «عمليات السحب ستُستأنف بعد معالجة المشكلة الأمنية بالكامل»، مؤكدة مجدداً سلامة أموال المستخدمين. وهذا يعني أن الأثر المباشر للحادث على المستخدمين العاديين اقتصر أساساً على انقطاع السحب لفترة قصيرة، لا على تصفير أرصدة حساباتهم. وكان موقف CZ وباينانس الرسمي متطابقاً: أموال المستخدمين «آمنة تماماً»، والمنصة ستغطي الخسائر.

بوجه عام، تتمثل الصورة الحقيقية للحادث في عملية كنس واسعة النطاق وغير مصرّح بها استهدفت محافظ باينانس الساخنة، واستغلت آلية تفويض EIP-7702. وقد بلغت أرقام الأموال الخارجة على السجلات عشرات المليارات من الدولارات، لكن تجميد العملات المستقرة وما توفره ميزانية المنصة العمومية من هامش حماية أسهما في خفض صافي الخسائر الفعلية إلى نحو مليار دولار. ولم يتكبد المستخدمون خسائر مباشرة، واستؤنفت عمليات السحب بعد التأكد من سلامة الوضع الأمني. ولم يُكشف بعد عن هوية المهاجم أو الوسيلة المحددة التي استخدمها للحصول على التفويض، ولا تزال التحقيقات ومحاولات تعقب الأموال مستمرة.