قالت Binance في 30 أكتوبر 2026 إنها خصصت أكثر من 6.3 مليارات دولار أمريكي لتغطية الخسائر الناجمة عن اختراق العملات المشفرة في Binance الذي وقع قبل ذلك بيوم. وتتبعَت TRM Labs نحو 6.36 مليارات دولار أمريكي مسروقة عبر عشر سلاسل بلوكتشين، وسُرق معظمها في غضون نحو 20 دقيقة، في أكبر سرقة للعملات المشفرة سجلتها الشركة.

أبرز النقاط

• تعهدت Binance بتغطية جميع الخسائر من أموال الشركة.

• تنسب TRM السرقة، بدرجة عالية من الثقة، إلى مجموعة TraderTraitor التابعة لكوريا الشمالية.

• أتاح تفويض خبيث على Ethereum تنفيذ عمليات سحب متكررة من المحافظ.

• بلغ أحدث تقدير من Binance للأصول المجمدة نحو 3 مليارات دولار.

اختراق عملات Binance المشفرة استنزف محافظ عبر عشر سلاسل

قالت TRM إن السرقة بدأت في 29 أكتوبر 2026، عند 20:05 بالتوقيت العالمي المنسق، وتركزت معظم التدفقات الخارجة في نحو 20 دقيقة. ويستند تقييمها البالغ 6.36 مليار دولار إلى أسعار الأصول لحظة كل تحويل، وهو نحو أربعة أضعاف سرقة Bybit البالغة 1.5 مليار دولار في فبراير 2025.

بلغت قيمة الأصول على Ethereum نحو 3.79 مليار دولار، وشملت 200,630 ETH و185 رمزاً آخر. ومن بين هذه الرموز 1.875 مليار USDT و823 مليون USDC و88.5 مليون RLUSD، في حين بلغ إجمالي التدفقات الخارجة من Bitcoin نحو 18,270 BTC، أي ما يعادل نحو 1.47 مليار دولار.

تتبعت TRM نحو 628 مليون دولار من Tron، و296 مليون دولار من XRP Ledger، و96 مليون دولار من Solana. وخسرت Arbitrum وOptimism وBase مجتمعة نحو 39 مليون دولار؛ فيما خسرت Avalanche نحو 28 مليون دولار وPolygon نحو 10 ملايين دولار. ووصلت موجة أخرى إلى Avalanche وPolygon قرابة 23:05 بالتوقيت العالمي المنسق.

أكدت Binance وقوع حادث أمني، وعلّقت عمليات السحب على عدة شبكات، وقالت إن أموال المستخدمين آمنة. وفي 30 أكتوبر، قالت إن 5 مليارات دولار من احتياطياتها البديلة تطابق بالفعل الرموز المتأثرة، وإنها تعمل على شراء الكمية المتبقية. ولا تشمل هذه الاحتياطيات الأصول المجمدة الخاضعة للاسترداد والتحقق.

كيف أتاحت تفويضات Ethereum عمليات سرقة متكررة

بحسب TRM، استخدم المهاجم تفويضات EIP-7702 لدفع محفظة Ethereum الساخنة التابعة لـBinance إلى تنفيذ شيفرة يتحكم بها المهاجم. وتتيح هذه الميزة في Ethereum لمحفظة عادية تفويض عقد ذكي للتحكم في سلوكها.

عند 20:20 بالتوقيت العالمي المنسق، أرسل المشغّل 50 تفويضاً موقّعاً مسبقاً تغطي أعداداً متتالية من المعاملات. وطابق أحدها العدد الحالي للمحفظة، ففعّل عقداً لسحب الأموال لا يقبل سوى تعليمات المشغّل.

بعد فاصل زمني قدره ثلاث دقائق و24 ثانية، نقلت عملية سحب واحدة 167,464 ETH إلى جانب 63 رمزاً، من بينها 1.615 مليار USDT. وظل التفويض نشطاً، ما أتاح تنفيذ ست عمليات سحب إضافية مع ورود إيداعات أخرى. كما سيطرت المحفظة المخترقة على حساب ذكي منفصل يحتوي على 823 مليون USDC، جمّدته Circle لاحقاً.

استخدمت السلاسل الأخرى تحويلات عادية موقّعة. وترى TRM أن المهاجم على الأرجح تمكن من الوصول إلى بنية التوقيع الخاصة بالمحافظ الساخنة لـBinance عبر سلاسل متعددة. وقالت Binance إن تحقيقها الأولي أشار إلى اختراق حاسوب محمول، فيما كشف تحقيق لاحق عن نقاط اختراق إضافية.

TRM تربط الهجوم بمجموعة TraderTraitor

تعزو TRM اختراق Binance للعملات المشفرة إلى TraderTraitor، وهي وحدة قرصنة ترعاها الدولة في كوريا الشمالية، بدرجة ثقة عالية استناداً إلى معلومات استخباراتية من داخل السلسلة وخارجها. وخلص جوناثان ليفين، الرئيس التنفيذي لـChainalysis، بشكل مستقل إلى أن TraderTraitor هي على الأرجح من نفذت الهجوم.

تتبعت TRM الاستعدادات إلى ما لا يقل عن 36 ساعة قبل الهجوم، وشملت عمليات سحب صغيرة من Tornado Cash، وشيفرة هجوم منشورة، وتجارب تحضيرية. ورصدت أوجه تشابه مع سرقات سابقة مرتبطة بكوريا الشمالية. وكان مكتب التحقيقات الفيدرالي قد نسب هجوم Bybit في فبراير 2025 إلى المجموعة نفسها.

عمليات التجميد منعت مليارات الدولارات، لكن الاسترداد مسألة منفصلة

أحصت TRM نحو 2.7 مليار دولار من الأصول المجمدة حتى 30 أكتوبر عند 00:30 بالتوقيت العالمي المنسق؛ ثم رفعت Binance الإجمالي لاحقاً إلى نحو 3 مليارات دولار. وشمل إحصاء TRM نحو 2.67 مليار دولار من العملات المستقرة ونحو 30 مليون دولار جرى تأمينها على Arbitrum.

جمّدت Tether نحو 1.77 مليار USDT، وCircle نحو 825 مليون USDC، وRipple نحو 40.5 مليون RLUSD، وWorld Liberty Financial نحو 27.8 مليون USD1. وانتزع مجلس الأمن في Arbitrum من سيطرة المهاجم 8,426 ETH و74.6 مليون ARB.

باع المهاجم نحو 325 مليون USDT عبر صُنّاع السوق وعقود قائمة على النوايا، مقابل نحو 122,300 ETH. كما أودع 60 مليون USDT في Aave واقترض نحو 19,760 ETH؛ ثم جمّدت Aave الأسواق المتأثرة.

تتبعت TRM أكثر من 420,000 ETH و18,270 BTC — أي ما يعادل نحو 2.4 مليار دولار — وهي أصول تتجاوز قدرة الجهات المُصدرة على تجميدها. وقُسّمت عملات Bitcoin عبر «سلاسل التقشير» لتعقيد التتبع.

أوضح آري ريدبورد من TRM أن استرداد الأموال المجمدة يتطلب إجراءات قانونية. وقال إريك جاردين، رئيس الأبحاث في Chainalysis، إن استرداد الأموال قد يستغرق أشهراً أو سنوات.

دعوات إلى منصات التداول للتحقق من الإيداعات وضوابط التوقيع

توصي TRM بفحص الإيداعات والأطراف المقابلة ومقارنتها بعناوين المهاجم التي جرى تحديدها، ومراقبة محافظ الخزينة لرصد تفويضات EIP-7702 غير المتوقعة. كما تنصح برفض التفويضات غير المتوقعة وفصل بنية التوقيع بحسب السلسلة وفئة المحفظة.

قالت Binance في 30 أكتوبر إنها بدأت استرداد الأصول المتأثرة، وإنها تعمل مع جهات إنفاذ القانون وشركائها لتتبع أموال إضافية وتجميدها واستردادها.

أُعدت المقالة بمساعدة الذكاء الاصطناعي، وراجعها فريق التحرير.