في 29 أكتوبر 2026، استولى مهاجم على نحو 6.15 مليارات دولار من Binance خلال 31 دقيقة، في واحدة من أكبر عمليات السرقة في تاريخ العملات المشفرة، أو بالأحرى، في تاريخ الإنترنت.

قدّرت Binance الخسائر في البداية بـ6.3 مليارات دولار؛ لكن تتبّع شركة تحليلات البلوك تشين BitOK للمعاملات واحدةً تلو الأخرى، يقدّرها بـ6.15 مليارات دولار عبر تسع سلاسل بلوك تشين.

لم يسرق المهاجم مفاتيح Binance الخاصة قط. بل جعل أنظمة Binance نفسها توافق على السرقة. يتتبّع هذا الدليل عملية السطو بالترتيب، ويشرح كل مصطلح تقني أثناء ذلك. جميع الأوقات بتوقيت UTC.

الأساسيات: كيف تنقل منصات التداول الأموال

المحافظ الساخنة هي محافظ منصة التداول المتصلة بالإنترنت، وتبقى متصلة كي تُنفّذ عمليات السحب بسرعة.

التوقيع. يجب اعتماد كل تحويل باستخدام المفتاح الخاص للمحفظة، وهو رقم سري. تستخدم منصات التداول أنظمة آلية لتوقيع آلاف الدفعات يوميًا.

الـ nonces هي عدّادات المعاملات في محافظ Ethereum. ويرتفع رقم nonce في المحفظة كثيرة الاستخدام باستمرار.

العملات القابلة للتجميد. يمكن لمُصدري العملات المستقرة، مثل Tether (USDT) وCircle (USDC)، تجميد العناوين. ولا يستطيع أحد تجميد العملات الأصلية مثل BTC أو ETH أو TRX.

28 أكتوبر: الاستعداد قبل الاختراق

تكلف كل معاملة على سلسلة كتل رسومًا بسيطة. ولتمويل محافظه دون ترك أثر، استخدم المهاجم Tornado Cash، وهو «خلاط» يجمع عملات مستخدمين كثيرين كي لا يمكن ربط عمليات السحب بالإيداعات.

موّلت ست عمليات سحب من Tornado Cash محفظة المشغّل ومحفظتين مساعدتين.

29 أكتوبر، 02:28–16:47 بالتوقيت العالمي المنسق: تجربتان

قبل استهداف Binance، تدرب المهاجم على محافظه الخاصة، كما قد يختبر اللص أداة فتح الأقفال على باب منزله أولًا.

كانت الأداة عقدًا ذكيًا: برنامجًا يعمل على Ethereum وينفذ ما تنص عليه شفرته حرفيًا. وقد صُمم هذا العقد لإفراغ أي محفظة تمنحه الإذن بالتصرف نيابةً عنها. (تتيح ميزة EIP-7702 في Ethereum هذا النوع من الأذونات؛ وسنتناولها لاحقًا.)

  • 02:28 — نشر المهاجم نسخة تجريبية من برنامج السحب.

  • 13:51–14:24 — التجربة الأولى. أودع المهاجم كميات صغيرة من USDT وUSDC في محفظتين يملكهما، ومنح البرنامج التجريبي إذنًا بالتصرف فيهما، ثم شغّله. أُفرغت المحفظتان. الأداة تعمل.

  • 15:59 — نشر النسخة النهائية، وهي النسخة التي استُخدمت لاحقًا ضد Binance.

  • 16:20–16:47 — التجربة الثانية، بتكرار الاختبار باستخدام النسخة النهائية.

امتلكت النسخة النهائية قدرة إضافية: إذ أمكنها جعل المحفظة تنفذ أي شيء، لا مجرد إرسال الرموز. وفي تلك الليلة، أتاح لها ذلك إصدار أمر لمحفظة Binance بتحرير 823 مليون USDC. تشير أداة مصممة بهذه الدقة إلى أن المهاجم كان يعرف مسبقًا كيفية إعداد محافظ Binance.

«كان الاختلاف بين النسختين جوهريًا. فقد تضمّن العقد الرئيسي وظيفةً قادرة على تنفيذ أوامر عشوائية نيابةً عن محفظة فوّضت إليه التحكم فيها. واستخدم المهاجم هذه الوظيفة لاحقًا لسحب 823 مليون USDC من محفظة ذكية تابعة لـ Binance»، أوضحت BitOK.

29 أكتوبر، 20:04 بالتوقيت العالمي المنسق: السحب خلال 31 دقيقة

من 20:04:52 إلى 20:35:53، أفرغ المهاجم المحافظ الساخنة التابعة لـ Binance على XRP Ledger وSolana وBitcoin وEthereum وTron وBase وOptimism وArbitrum وAvalanche. وشملت الغنيمة:

  • 18,270.2 BTC،

  • 197,540 ETH،

  • 2.49 مليار USDT،

  • 823 مليون USDC،

  • 233.46 مليون XRP،

  • 970,522 SOL وعشرات الرموز الأخرى.

وقّعت محافظ Binance نفسها جميع التحويلات. وتمكنت BitOK من رصدها من خلال سماتها المميزة: رسوم أعلى من المعتاد بمقدار 2 إلى 2.7 مرة، وتنسيقات معاملات لا يستخدمها برنامج Binance للدفعات، وعلى Ethereum، تحويلات مزيفة أُدرجت بين دفعات العملاء الحقيقية.

اخترق المهاجم حاسوبًا محمولًا لمهندس DevOps، ثم استخدم حاوية خدمة (برنامجًا مُعبّأً يعمل داخل أنظمة Binance) لإرسال أوامر سحب مزيفة.

كانت هذه أذكى خطوة في تلك الليلة. كان الهدف محفظة Ethereum ساخنة كثيرة الاستخدام تُسمى Binance 14.

الخطة. باستخدام EIP-7702، يمكن للمحفظة توقيع تفويض، يُسمى إذنًا، يسمح لعقد ذكي بالتصرف نيابةً عنها. لو وقّعت Binance 14 تفويضًا يُسمّي عقد المهاجم، لأصبح المهاجم متحكمًا بالمحفظة.

المشكلة. لا يعمل التفويض إلا إذا تضمّن رقم المعاملة الحالي للمحفظة، أي الـ nonce الخاص بها. كانت Binance 14 تدفع للعملاء باستمرار، لذلك كان هذا الرقم يتغير طوال الوقت. أما التفويض الذي يتضمن رقمًا خاطئًا فيُتجاهل ببساطة.

الحيلة. عند 20:20:59، جعل المهاجم نظام التوقيع لدى Binance يوقّع 50 تفويضًا دفعةً واحدة، لكل منها رقم مختلف. تخيّل الأمر كمحاولة استخدام 50 مفتاحًا على قفل في اللحظة نفسها: لا بد أن ينجح واحد منها فقط. وقد نجح أحدها. أصبحت Binance 14 تقبل الآن الأوامر من عقد المهاجم، لكنها واصلت العمل بشكل طبيعي، فاستمر تدفق الأموال إليها.

العائد. بعد دقائق، أفرغت معاملة واحدة 65 رمزًا مختلفًا بقيمة تجاوزت 2.2 مليار دولار، من بينها 1.615 مليار USDT و167,464 ETH. وعند 20:41 و20:59، جعل العقد محفظة أخرى تابعة لـ Binance ترسل أيضًا 823 مليون USDC.

Binance 16. سُرقت محفظة ساخنة ثانية بطريقة أبسط. أُدخلت إلى نظام Binance تسع تحويلات مزيفة، فوقع عليها وأرسلها إلى جانب دفعات العملاء الحقيقية. وكانت تحتوي على 28,005.6 ETH و55.7 مليون USDT.

على Ethereum، غادر 500 مليون USDT عنوان الاستلام الرئيسي خلال ست دقائق. وبين 20:34 و21:09، حوّل المهاجم 435 مليون USDT إلى ETH عبر Uniswap، وهي منصة تداول لامركزية تُدار بالشيفرة البرمجية. كما أودع 60 مليون USDT في Aave، وهو بروتوكول إقراض، واقترض مقابله 19,762 ETH، تاركًا الضمانات القابلة للتجميد وراءه.

على Tron، غادر 612.7 مليون USDT محفظة Binance-Hot 7. وفي 16 عملية مبادلة عبر SunSwap، منصة التداول اللامركزية الرئيسية على Tron، حوّل المهاجم 234 مليون USDT إلى 638.2 مليون TRX.

لتجميد USDT، احتاجت Tether إلى ثلاثة موافقات من محفظتها متعددة التوقيعات، وهي آلية تتطلب عدة توقيعات. استغرق كل تجميد ما يصل إلى دقيقتين و36 ثانية، وكانت الطلبات المعلّقة مرئية على السلسلة. أمكن للمهاجم رؤية التجميد في الطريق والتحرك أولًا: نقلت إحدى المحافظ 130 مليون USDT قبل 48 ثانية فقط من تجميدها. لكن المهاجم تردد عند أحد العناوين وخسر ما يقارب 175 مليون USDT.

ظلت جميع الـ 823 مليون USDC في عنوان واحد، وجُمّدت في معاملة واحدة.

المجمّد بواسطة Tether وCircleالمبلغEthereum USDT$1.38 مليارEthereum USDC$823 مليونTron USDT$378.7 مليونAvalanche USDt$8.4 مليونالإجمالي$2.59 مليار

جمّد مُصدرون آخرون رموز USD1 وXAUt وPAXG وwBETH وFDUSD، وأحرق مُصدر BEAM نحو 984 مليون رمز مسروق. كما استولى مجلس أمن Arbitrum، وهو هيئة طوارئ تضم 12 عضوًا، على 8,426 ETH و74.56 مليون ARB.

إجمالًا، جُمّد أو أُحرق أو صودِر ما قيمته نحو 2.79 مليار دولار. ومع ذلك، كان 669 مليون USDT قد تحوّل بالفعل إلى ETH وTRX.

21:43–00:10 بالتوقيت العالمي المنسق: المحفظة التي ظلّت تتعرض للسرقة

ظلت Binance 14 تحت سيطرة المهاجم.

  • 21:43:59 — أرسلت عملية تمويل اعتيادية من Binance مبلغ 200 مليون USDT إلى Binance 14. وبعد اثنتي عشرة ثانية، سحبها العقد. وصل USDT إلى عنوان كان مجمّدًا بالفعل، لكن ما يقارب 370 ETH تمكن من الإفلات.

  • 22:39 — سحبت عملية أخرى 128.49 ETH.

  • 23:56 — سُحب 2,961.91 ETH بعد دقيقة من وصوله.

  • 00:10:35، 30 أكتوبر — ألغت Binance أخيرًا عملية التسليم.

احتفظ المهاجم بالمحفظة لما يقارب أربع ساعات.

إلى أين ذهبت 18,270 BTC؟

عند 20:20:06، نقلت 11 معاملة 18,270.2 BTC من محفظة ساخنة تابعة لـ Binance، مع دفع رسوم تعادل ضعف الرسوم المعتادة. وُزعت العملات على 19 عنوانًا، احتوى 17 منها على 1,000 BTC لكل منها. وحتى 30 أكتوبر، لم يتحرك أي منها. يُبقي السجل العام لبيتكوين هذه العملات قابلة للتتبع، لكن لا يمكن لأحد تجميدها.

أهم ما توصلت إليه BitOK: وصلت أموال Binance المسروقة إلى عنوان Ethereum نفسه الذي كان يجمع بالفعل عائدات اختراق Bitget في سبتمبر 2026.

نقل المهاجم TRX وUSDT عبر THORChain، وهو بروتوكول يبادل العملات بين سلاسل الكتل، وتلقى ETH في العنوان 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7.

كان هذا العنوان قد تلقى بالفعل ETH عُزي إلى اختراق Bitget. وقد جاء من عناوين بيتكوين مدرجة في القائمة المنشورة لمحافظ المهاجم، وكانت نشطة منذ 23 أكتوبر، وبدأت بعملة ZEC التي لم تُسرق قط من Binance.

بحلول 06:20، كان قد تلقى ثماني دفعات مرتبطة بـ Bitget (349.46 ETH) وخمس دفعات مرتبطة بـ Binance (13.63 ETH)، ثم أرسل الأموال المختلطة إلى محافظ جديدة. وجود عنوان مشترك وحده لا يكشف هوية المسؤول عن أي من الاختراقين.

تضمن الهجومان اختراق أنظمة داخلية دون سرقة المفاتيح الخاصة، وكانت Bitget قد اتهمت كوريا الشمالية بالوقوف وراء اختراقها. وتشير BitOK أيضًا إلى سمات تربطها بمجموعات كورية شمالية: إجراء تجارب مسبقة، والتمويل عبر Tornado Cash، والتبديل الفوري من العملات القابلة للتجميد، والاستعداد خلال ساعات العمل بالتوقيت العالمي المنسق +9.

«يمثل عنوان غسل الأموال المشترك الذي كُشف عنه حديثًا دليلًا أقوى على وجود تداخل تشغيلي من مجرد أوجه التشابه في الأساليب. وترى BitOK أن السطوين قد يكونان مرتبطين بالمجموعة الكورية الشمالية نفسها، وأن مشغّلًا واحدًا كان يتحكم في تدفقات غسل الأموال المرصودة. ويظل ذلك إسنادًا تحليليًا، لا دليلًا على الهوية الحقيقية لكل مشارك»، حسبما قالت BitOK.

رد Binance

أوقفت Binance عمليات السحب من محافظها الساخنة على Bitcoin وTron قرابة 20:36، مع استمرار الإيداعات. وتعهدت بتغطية جميع خسائر العملاء من صندوق الطوارئ SAFU ومن مواردها الخاصة.

أريد أن أتحدث إليكم مباشرةً عمّا حدث.الخلاصة – أموالكم آمنة، وسنتكفل بتغطية كل الخسائر.يشير تحقيقنا الأولي إلى أن هذا الحادث الأمني ربما بدأ باختراق حاسوب محمول لمهندس DevOps. وقد أتاح ذلك للمهاجم الوصول إلى…

— Richard Teng (@_RichardTeng) 30 أكتوبر 2026

على مستوى السوق، صُفّيت مراكز برافعة مالية بقيمة 1.58 مليار دولار خلال 24 ساعة، وفقًا لـ Coinglass.

ما الأصول التي بحوزة المهاجمين الآن؟

حتى 06:20 من يوم 30 أكتوبر، ربطت BitOK المهاجم بالأصول التالية:

  • 197,460 ETH،

  • 18,270.2 BTC،

  • 233.46 مليون XRP،

  • نحو 970,500 SOL،

  • 675.9 مليون TRX،

  • و1.61 مليون AVAX.

بلغت قيمة ETH وBTC وXRP وSOL وحدها نحو 2.95 مليار دولار.

اختطف المهاجمون النظام الذي يوقّع عمليات السحب لدى Binance. وشاركت BitOK دروسًا يمكن لقطاع العملات المشفرة استخلاصها من اختراق Binance.

«تُظهر حادثة Binance لماذا لا تكفي حماية المفاتيح الخاصة وحدها. تحتاج منصات التداول أيضًا إلى ضوابط على صلاحيات التوقيع، وإجراءات وقائية ضد تعليمات السحب المشبوهة، وإلغاء سريع للصلاحيات المخترقة، ومراقبة مستمرة لحركة الأصول عبر الشبكات».