في الساعات الأولى من صباح 30 أكتوبر، بتوقيت بكين، وقع هجوم قد يُخلّد اسمه في تاريخ أمن العملات المشفرة.
تعرّضت عدة محافظ ساخنة تابعة لبينانس لتحويلات غير اعتيادية، شملت أصولًا بقيمة نحو 6.3 مليارات دولار، عبر شبكات متعددة لسلاسل الكتل.
لم تكن هذه سرقة محفظة عادية.
يكمن الجانب الأكثر إثارة للرعب في أن المخترقين لم يبدوا وكأنهم اخترقوا سلسلة الكتل مباشرة، بل نجحوا في استغلال نظام التوقيع على المعاملات وتنفيذها الخاص بالبورصة.
أعدتُ ترتيب سجلات هذه الحادثة على سلسلة الكتل والتحقيقات العلنية، وهناك عدة تفاصيل تستحق الانتباه بشدة.
أولًا: عند الساعة 4:20 فجرًا، جرى الاستيلاء سرًا على Binance 14
استهدف المهاجم المحفظة الساخنة الرئيسية لدى بينانس، Binance 14.
تولت هذه المحفظة لفترة طويلة مسؤولية إدارة تدفقات مالية كبيرة.
استخدم المهاجم آلية EIP-7702 الخاصة بإيثيريوم.
ببساطة، يمكن لمحفظة إيثيريوم عادية أن تفوّض إلى عقد ذكي بعض صلاحيات تنفيذ العمليات من خلال التفويض.
بمجرد نجاح التفويض، يستطيع العقد تنفيذ عمليات المحفظة وفقًا للمنطق المحدد مسبقًا.
نحو الساعة 4:20 فجرًا، أرسل المهاجم معاملة تتضمن 50 تفويضًا موقّعًا مسبقًا.
لماذا 50 تفويضًا؟
لأن كل تفويض يقابل قيمة Nonce مختلفة (رقم المعاملة)، ولم يتمكن المهاجم من التنبؤ بدقة بقيمة Nonce للمحفظة في ذلك الوقت، فأعدّ 50 احتمالًا دفعة واحدة.
وفي النهاية، نجح احتمال واحد فقط.
وهكذا فُوِّضت صلاحية تنفيذ المعاملات في حساب Binance 14 إلى العقد الخبيث التابع للمهاجم.
ثانيًا: بعد 4 دقائق، حُوِّل نحو 2.5 مليار دولار دفعة واحدة
في الساعة 4:24 فجرًا، استدعى المهاجم عقدًا خبيثًا لتنفيذ عملية Sweep.
في معاملة واحدة، حُوِّل:
167,464 ETH
نحو 1.615 مليار دولار من USDT
أكثر من 60 نوعًا آخر من الرموز
بقيمة إجمالية تقارب 2.5 مليار دولار.
والأكثر إثارة للصدمة أن محفظة Binance 16 الساخنة الأخرى حوّلت، بعد 24 ثانية، نحو 28,005.6 ETH إلى عنوان المهاجم نفسه، إلى جانب كميات كبيرة من أصول أخرى.
كانت هذه المعاملة أيضًا تحويلًا موقّعًا بصورة طبيعية، ولم تكن مجرد نسخ لعملية التفويض الخاصة بـ Binance 14.
وهذا يعني أن المهاجم ربما تمكن من الوصول إلى أكثر من محفظة واحدة.
ثالثًا: الأمر الأكثر فداحة هو أن نظام التجميع الآلي ظل يعمل بعد سرقة المحفظة
لم يتوقف المهاجم عن نهب الأموال.
ولأن أموال إيداعات المستخدمين ظلت تُجمَّع في المحفظة الساخنة وفقًا للإجراءات المعتادة، واصلت Binance 14، التي سبق تفويضها خبيثًا، استقبال الأموال.
كما وثّق التحقيق على السلسلة إيداعًا لاحقًا للأموال بقيمة تقارب 200 مليون USDT.
وبعد 72 ثانية، استولى المهاجم على هذه الأموال أيضًا.
وهذا هو الجانب الأكثر إثارة للقلق في الحادثة برمتها:
ظهرت مؤشرات غير طبيعية على المحفظة، لكن آلية تجميع الأموال لم تُوقَف في الوقت المناسب.
لم تكن هذه مجرد معاملة واحدة لسرقة العملات، بل استغل المهاجم نظامًا آليًا لمواصلة النهب.
رابعًا: ما حجم الخسائر الفعلية في هذه الحادثة؟
في البداية، ركّز كثيرون فقط على تدفقات الأموال على شبكة إيثيريوم.
لكن التحقيقات اللاحقة عبر السلاسل، التي أجرتها TRM Labs وBitquery، أظهرت أن نطاق الهجوم تجاوز Ethereum بكثير.
تشير التحقيقات العلنية حتى الآن إلى ما يلي:
خرجت أصول بقيمة تقارب 6.3 مليارات دولار من 17 محفظة ساخنة تابعة لبينانس.
شمل الهجوم 9 إلى 10 شبكات بلوكتشين (مع اختلاف طفيف في منهجيات الإحصاء بين الجهات).
حُوِّل نحو 18,270 BTC من شبكة بيتكوين.
حُوِّل نحو 613 مليون USDT من شبكة TRON.
وسُرقت أيضًا كميات كبيرة من ETH وUSDT ورموز أخرى على إيثيريوم.
كما تأثرت شبكات XRP وSolana وBase وOptimism وAvalanche وغيرها.
لم يعد الأمر يتعلق باختراق محفظة واحدة، بل بظهور خلل في قنوات تمويل متعددة للبورصة في الوقت نفسه.
خامسًا: يمكن تجميد العملات المستقرة، لكن الأمر ليس بهذه السهولة مع ETH
ومن الجوانب المميزة لهذه الحادثة أن الجهات المُصدرة للعملات المستقرة المركزية تستطيع تجميد الأصول ذات الصلة.
جمّدت Tether أصولًا ذات صلة بقيمة تقارب 1.57 مليار دولار، وجمّدت Circle أكثر من 800 مليون دولار، كما شاركت مؤسسات مثل Ripple وWorld Liberty في تجميد الأموال.
وأعلنت بينانس رسميًا لاحقًا أنها جمّدت أصولًا بقيمة تقارب 3 مليارات دولار بالتعاون مع شركائها.
لكن تجدر الإشارة إلى أن:
تجميد الأصول لا يعني استردادها، ولا يعني أن جميع الأصول المتأثرة قد عادت إلى بينانس.
لا يمتلك ETH آلية قائمة سوداء لدى جهة مُصدرة مثل USDT، ولا تستطيع مؤسسة مركزية بعينها تجميد حسابات الشبكة الرئيسية مباشرةً.
ووفقًا لأحدث لقطة على السلسلة من Bitquery، لا يزال المهاجم يمتلك نحو 508,600 ETH، إضافةً إلى نحو 18,270 BTC. وتشمل كمية ETH هذه ما اشتراه المهاجم باستخدام الأصول المسروقة، ولا تعني أن الكمية كلها حُوِّلت مباشرةً من بينانس.
سادسًا: يختلف التفسير الأولي الذي قدمته بينانس رسميًا عن تفاصيل السلسلة في نقطة جوهرية
في 30 أكتوبر، أصدرت بينانس بيانًا بشأن الحادثة الأمنية:
خلص التحقيق الأولي إلى أن الهجوم قد يكون مرتبطًا باختراق حاسوب محمول لمهندس DevOps، ما أتاح للمهاجم دخول حاوية خدمة وإرسال معاملات سحب غير مصرّح بها.
وقالت بينانس إنها لم تعثر حتى الآن على دليل يثبت تسريب المفاتيح الخاصة للمحافظ.
كما تعهدت بما يلي:
تعليق خدمات الإيداع والسحب ذات الصلة لإجراء فحوصات أمنية.
إلغاء التفويضات الخاصة بالعناوين المتأثرة.
تحمّل الخسائر كاملةً باستخدام صندوق SAFU وأموال الشركة.
نشر إثبات احتياطيات محدّث لاحقًا.
وهنا يوجد فرق بالغ الأهمية:
يمكن للسجلات على السلسلة إثبات أن المعاملة جرى توقيعها توقيعًا صالحًا، لكنها لا تستطيع وحدها إثبات الكيفية التي استُخدم بها المفتاح الخاص.
لذلك، لا يمكن الجزم ببساطة بأن المفتاح الخاص لبينانس قد تسرّب.
الأرجح أن التحقيق يجب أن يحدد أي حلقة فقدت السيطرة الأمنية بين الأجهزة الداخلية وحاويات الخدمات والموافقة على المعاملات والبنية التحتية للتوقيع.
إضافةً إلى ذلك، نسبت TRM Labs الهجوم إلى مجموعة القراصنة الكورية الشمالية TraderTraitor، معربةً عن ثقة عالية في تقييمها. لكن هذا يظل إسنادًا صادرًا عن جهة أمنية خارجية، وليس استنتاجًا نهائيًا أعلنته بينانس.
سابعًا: هذه الحادثة تدق ناقوس الخطر لقطاع العملات المشفرة بأكمله
برأيي، لا يكمن أهم ما يستحق التفكير في هذه الحادثة في مدى براعة القراصنة، بل في ما إذا كان النظام الأمني للبورصات لا يزال عالقًا في الماضي.
في الماضي، كان الاعتقاد السائد هو:
ما دام المفتاح الخاص لم يتسرّب، فالأصول آمنة.
لكن هذا المنطق لم يعد كافيًا.
فقد تُخترق الأجهزة، وقد تقع الخدمات الداخلية تحت السيطرة، وقد يُساء استخدام أنظمة التوقيع، بل قد يتحول نظام التجميع الآلي إلى أداة تساعد القراصنة.
ينبغي للبورصات مستقبلًا أن تعيد النظر في عدة مسائل على الأقل:
هل يتطلب تفويض التوقيع موافقات متعددة ومستقلة؟
هل يمكن إيقاف التحويلات الكبيرة عبر رصد فوري للأنشطة غير الطبيعية؟
هل ينبغي وضع آلية إيقاف تلقائي للمحافظ الساخنة؟
هل يمكن تعليق تجميع الإيداعات فور ظهور نشاط غير طبيعي في المحفظة؟
هل فُصلت الصلاحيات فعليًا بين الشبكات والمحافظ المختلفة؟
وهناك نقطة أخرى جديرة بالانتباه:
آلية EIP-7702 ليست ثغرة بحد ذاتها، كما أن الذكاء الاصطناعي ليس سببًا ثبتت صلته بهذا الهجوم. ما ينبغي الحذر منه حقًا هو أن المهاجمين يستغلون تقنيات متزايدة التعقيد للعثور على نقاط الضعف في أنظمة الأمن التقليدية.
وأخيرًا،
لطالما تحدث قطاع العملات المشفرة عن اللامركزية، وعن أن الشيفرة هي القانون، وعن السيادة على الأصول.
لكن البورصات لا تزال تتحمل مسؤولية حفظ أصول مئات الملايين من المستخدمين.
عندما تقع محفظة ساخنة تحت سيطرة المهاجم، ويواصل نظام التجميع الآلي ضخ الأموال إلى القراصنة، فهذه ليست مجرد مشكلة تقنية.
لقد اشترت لنا خسارة 6.3 مليارات دولار درسًا أمنيًا باهظ الثمن للغاية.
في الجولة المقبلة من المنافسة في القطاع، لن يقتصر التنافس على عمق التداول والسيولة والمنتجات وحجم قاعدة المستخدمين، بل سيشمل أيضًا أمرًا واحدًا:
من يستطيع حقًا حماية أصول المستخدمين.
كلما تسارع التقدم التقني، وجب ألا يتخلف عنه النظام الأمني.
لم تنتهِ هذه الحادثة بعد؛ والإجابة الحقيقية تنتظر تقرير التحقيق التقني الكامل من بينانس.
المصادر الرئيسية التي جرت مراجعتها:
بينانس رسميًا: تحديث بشأن الحادثة الأمنية (30 أكتوبر) — مسار الاختراق الأولي، والأصول المتأثرة بقيمة 6.3 مليارات دولار، والأصول المجمدة والتعهد بالتعويض.
TRM Labs: تحقيق بشأن مجموعة TraderTraitor الكورية الشمالية والهجوم على بينانس — 50 تفويضًا، والهجوم عبر السلاسل، وإسناد الهجوم إلى الجهة المسؤولة.
Bitquery: تحقيق على السلسلة بشأن الهجوم على المحافظ الساخنة لبينانس — 17 محفظة ساخنة، وتدفقات الأموال، وحالات التجميد، وأرصدة المهاجم.
Cointelegraph: تحليل EIP-7702 والبنية التحتية للتوقيع — 50 تفويضًا والفرق بين إساءة استخدام المفتاح الخاص وتسريبه.
CoinDesk: تحليل احتياطيات بينانس وأصول المحافظ الساخنة — العلاقة بين Binance 14 وإثبات الاحتياطيات.
Reuters: تقرير عن إسناد TRM لهوية المهاجم — إسناد الهجوم إلى مجموعة قراصنة كورية شمالية.