$BTC ملخص أسباب اختراق ثلاث منصات تداول (لم تُسرق المفاتيح الخاصة مباشرةً في أي منها؛ بل جرى خداع مسار التوقيع والموافقة أو اختراقه)
1. Bybit（2025-02، خسائر بنحو 14.6 مليار دولار، محفظة باردة متعددة التوقيعات على إيثيريوم）
✅ جوهر الاختراق: التلاعب بواجهة محفظة متعددة التوقيعات
اخترق القراصنة جهاز كمبيوتر أحد مطوري مزوّد خدمة محفظة Gnosis Safe متعددة التوقيعات، وحقنوا فيه شيفرة JavaScript خبيثة.
أثناء إجراء موظفي Bybit تحويلًا روتينيًا للأموال من المحفظة الباردة، عرضت واجهة المستخدم على الشاشة عملية تحويل طبيعية، لكن بيانات المعاملة الفعلية عُدّلت سرًا في الخلفية: لم يكن التوقيع يحوّل الأموال، بل ينقل السيطرة على المحفظة متعددة التوقيعات بالكامل إلى عقدٍ يتحكم فيه القراصنة.
وقّع الموقّعون باستخدام محفظة أجهزة، وعندما اكتشفوا الأمر، كانت أصول المحفظة الباردة قد حُوّلت بالكامل.
النقطة الأساسية: لم تُسرق المفاتيح الخاصة للمحفظة الباردة؛ بل خُدع الأشخاص بواسطة الواجهة ووقّعوا معاملة خبيثة. وخلص مكتب التحقيقات الفيدرالي (FBI) إلى أن مجموعة Lazarus الكورية الشمالية (TraderTraitor) تقف وراء الهجوم.
2. Bitget（2026-09، خسائر بنحو 387 مليون دولار، محافظ ساخنة ودافئة）
✅ جوهر الاختراق: ثغرة في سلسلة توريد برامج أمنية تابعة لجهة خارجية
استغل القراصنة ثغرة يوم الصفر في مكوّن أمني تابع لجهة خارجية اشترته Bitget، واخترقوا الشبكة الداخلية للمنصة وحصلوا على بيانات اعتماد إدارية ذات صلاحيات عالية.
ثم زوّروا أوامر سحب وهمية وخدعوا نظام الموافقة الداخلي لإدارة المخاطر، ما جعل نظام التوقيع الداخلي للمنصة يوافق تلقائيًا على معاملات السحب التي أجراها القراصنة.
لم يقتربوا إطلاقًا من المحافظ الباردة، ولم تُسرّب المفاتيح الخاصة؛ بل سيطر القراصنة على مسار الموافقة في الأنظمة الخلفية، وحوّلوا الأصول على دفعات من المحافظ الساخنة عبر عدة سلاسل كتل.
3. Binance（2026-10، خسائر بنحو 6.3 مليارات دولار، محافظ ساخنة على عدة سلاسل كتل؛ استنتاجات التحقيق الأولية، ولم يصدر التقرير الكامل بعد）
✅ جوهر الاختراق: اختراق حاسوب محمول لمهندس عمليات + آلية تفويض العقود EIP-7702
نقطة الدخول: اخترق القراصنة حاسوبًا محمولًا لأحد مهندسي DevOps، وحصلوا على صلاحية الدخول إلى حاويات الخدمات الداخلية، ما أتاح لهم تقديم طلبات معاملات سحب.
الأسلوب على السلسلة: استغلوا الميزة الجديدة EIP-7702 في إيثيريوم لتفويض محفظة Binance الساخنة إلى عقد تصفية نشره القراصنة.
لم تكن هناك حاجة لسرقة المفاتيح الخاصة؛ فقد جعلوا المحفظة نفسها تفوّض العقد الخبيث لتحويل جميع الأصول تلقائيًا.
المحافظ الباردة سليمة، ولم تتضرر سوى المحافظ الساخنة؛ ويُشتبه بقوة، كذلك، في أن مجموعة القراصنة الكورية الشمالية نفسها تقف وراء الهجوم.
✍✍✍✍
1. Bybit（2025-02، خسائر بنحو 14.6 مليار دولار، محفظة باردة متعددة التوقيعات على إيثيريوم）
✅ جوهر الاختراق: التلاعب بواجهة محفظة متعددة التوقيعات
اخترق القراصنة جهاز كمبيوتر أحد مطوري مزوّد خدمة محفظة Gnosis Safe متعددة التوقيعات، وحقنوا فيه شيفرة JavaScript خبيثة.
أثناء إجراء موظفي Bybit تحويلًا روتينيًا للأموال من المحفظة الباردة، عرضت واجهة المستخدم على الشاشة عملية تحويل طبيعية، لكن بيانات المعاملة الفعلية عُدّلت سرًا في الخلفية: لم يكن التوقيع يحوّل الأموال، بل ينقل السيطرة على المحفظة متعددة التوقيعات بالكامل إلى عقدٍ يتحكم فيه القراصنة.
وقّع الموقّعون باستخدام محفظة أجهزة، وعندما اكتشفوا الأمر، كانت أصول المحفظة الباردة قد حُوّلت بالكامل.
النقطة الأساسية: لم تُسرق المفاتيح الخاصة للمحفظة الباردة؛ بل خُدع الأشخاص بواسطة الواجهة ووقّعوا معاملة خبيثة. وخلص مكتب التحقيقات الفيدرالي (FBI) إلى أن مجموعة Lazarus الكورية الشمالية (TraderTraitor) تقف وراء الهجوم.
2. Bitget（2026-09، خسائر بنحو 387 مليون دولار، محافظ ساخنة ودافئة）
✅ جوهر الاختراق: ثغرة في سلسلة توريد برامج أمنية تابعة لجهة خارجية
استغل القراصنة ثغرة يوم الصفر في مكوّن أمني تابع لجهة خارجية اشترته Bitget، واخترقوا الشبكة الداخلية للمنصة وحصلوا على بيانات اعتماد إدارية ذات صلاحيات عالية.
ثم زوّروا أوامر سحب وهمية وخدعوا نظام الموافقة الداخلي لإدارة المخاطر، ما جعل نظام التوقيع الداخلي للمنصة يوافق تلقائيًا على معاملات السحب التي أجراها القراصنة.
لم يقتربوا إطلاقًا من المحافظ الباردة، ولم تُسرّب المفاتيح الخاصة؛ بل سيطر القراصنة على مسار الموافقة في الأنظمة الخلفية، وحوّلوا الأصول على دفعات من المحافظ الساخنة عبر عدة سلاسل كتل.
3. Binance（2026-10، خسائر بنحو 6.3 مليارات دولار، محافظ ساخنة على عدة سلاسل كتل؛ استنتاجات التحقيق الأولية، ولم يصدر التقرير الكامل بعد）
✅ جوهر الاختراق: اختراق حاسوب محمول لمهندس عمليات + آلية تفويض العقود EIP-7702
نقطة الدخول: اخترق القراصنة حاسوبًا محمولًا لأحد مهندسي DevOps، وحصلوا على صلاحية الدخول إلى حاويات الخدمات الداخلية، ما أتاح لهم تقديم طلبات معاملات سحب.
الأسلوب على السلسلة: استغلوا الميزة الجديدة EIP-7702 في إيثيريوم لتفويض محفظة Binance الساخنة إلى عقد تصفية نشره القراصنة.
لم تكن هناك حاجة لسرقة المفاتيح الخاصة؛ فقد جعلوا المحفظة نفسها تفوّض العقد الخبيث لتحويل جميع الأصول تلقائيًا.
المحافظ الباردة سليمة، ولم تتضرر سوى المحافظ الساخنة؛ ويُشتبه بقوة، كذلك، في أن مجموعة القراصنة الكورية الشمالية نفسها تقف وراء الهجوم.
✍✍✍✍