مساء 29 أكتوبر 2026، تعرضت منصة باينانس، أكبر منصة لتداول العملات المشفرة في العالم، لأكبر عملية سرقة إلكترونية في تاريخها. ووفقًا لبيانات عدة مؤسسات لتحليل بيانات البلوك تشين، منها TRM Labs وChainalysis وElliptic، سحب المهاجمون خلال نحو 20 دقيقة أصولًا بقيمة تُقدّر بنحو 6.3 إلى 6.4 مليار دولار من المحافظ الساخنة لباينانس، عبر ما لا يقل عن 10 سلاسل بلوك تشين. ويتجاوز حجم العملية بكثير سرقة 1.5 مليار دولار من منصة Bybit عام 2025.
أشار التحقيق الأولي الرسمي لباينانس إلى أن الحادثة ربما بدأت باختراق حاسوب محمول لمهندس DevOps، ما مكّن المخترقين من الدخول إلى حاوية الخدمة وإرسال معاملات سحب غير مصرّح بها. وأكدت المنصة أنها لم تجد حتى الآن أي دليل على تسريب المفاتيح الخاصة للمحافظ. وكشف التحقيق اللاحق عن «نقاط اختراق إضافية»، مشيرًا إلى أن ما حدث لم يكن عملية ينفذها شخص واحد بضغطة زر. وتعهدت باينانس بتعويض المستخدمين بالكامل عن خسائرهم باستخدام صندوق SAFU وأموال الشركة، فيما جُمّدت أصول بقيمة نحو 3 مليارات دولار على البلوك تشين.
أولًا: فترة التحضير امتدت 36 ساعة على الأقل، ما يشير إلى تنظيم محكم
يُظهر تحليل TRM Labs للبيانات على السلسلة أن الهجوم لم يكن ارتجاليًا:
• ابتداءً من صباح 28 أكتوبر، تلقّت محفظة استخدمها المهاجم ثلاثة تحويلات صغيرة من Tornado Cash.
• في وقت مبكر من 29 أكتوبر، نُشرت النسخة الأولى من الشيفرة الهجومية واختُبرت على محفظتين.
• وفي وقت لاحق من اليوم نفسه، جرت تجربة النسخة النهائية على محفظة ثالثة، ثم أُعيدت أموال الاختبار.
• بعد نحو 4 ساعات من انتهاء التجربة، ثُبّتت الشيفرة نفسها على محفظة Binance الساخنة.
على شبكة Ethereum، استخدم المهاجم آلية التفويض EIP-7702، وأعد مسبقًا 50 تفويضًا موقّعًا مسبقًا بتسلسلات nonce متتابعة، لضمان نجاح أحدها. وبعد ثلاث دقائق، بدأ على الفور استنزاف واسع النطاق للمحافظ. يشبه هذا النهج القائم على «الاختبار أولًا، ثم التجربة، وأخيرًا الاستيلاء المكثف» إلى حد كبير عدة حوادث سابقة نُسبت إلى مجموعات مرتبطة بكوريا الشمالية.
ثانيًا: تدفقات الأموال ونسب الهجوم
نسبت TRM Labs وChainalysis هذه الحادثة «بثقة عالية» إلى وحدة القرصنة النخبوية الكورية الشمالية TraderTraitor (فرع مرتبط بمجموعة Lazarus). وتشمل الأدلة الرئيسية أساليب التحضير، ونمط تمويل Tornado Cash، وسمات السحب المتزامن عبر عدة سلاسل، وهي أمور تتوافق مع حادثة Bybit لعام 2025 (التي نسب مكتب التحقيقات الفيدرالي FBI مسؤوليتها إلى المجموعة نفسها).
والأكثر لفتًا للانتباه أن المحقق على السلسلة ZachXBT وChainalysis اكتشفا أن بعض الأموال المسروقة من Binance مرّت عبر THORChain، ثم وصلت إلى العنوان نفسه الذي تدفقت إليه أموال مسروقة بقيمة نحو 388 مليون دولار من Bitget في سبتمبر 2026. وكانت جهات متعددة قد نسبت حادثة Bitget سابقًا إلى المجموعة نفسها.
ثالثًا: التوقيت غير المعتاد في سوق الخيارات
هذا هو الجانب الأكثر إثارة للاهتمام حاليًا. ووفقًا لما قاله Nicolas Quatravaux، مسؤول منطقة أوروبا والشرق الأوسط وأفريقيا لدى Paradigm (شبكة السيولة المؤسسية)، لموقع CoinDesk:
• أُجريت أول صفقة كتلية كبيرة لخيارات البيع عند الساعة 20:38 بالتوقيت العالمي المنسق (UTC)، أي قبل نحو 15 دقيقة من أول تدفق للأموال إلى الخارج من محفظة Binance، حين لم تكن الأخبار قد أُعلنت بعد.
• تضمنت الصفقة شراء 250 عقدًا من خيارات بيع BTC تستحق في 31 أكتوبر، بسعر تنفيذ قدره 78,000 دولار (بقيمة اسمية تقارب 20 مليون دولار).
• وبعد 3 دقائق، نُفذت صفقة أخرى بالعقد نفسه وبالحجم ذاته، ودفع المشتري علاوة أعلى بنحو 35%.
• خلال 8 ساعات من وقوع الحادثة، نفذت Paradigm صفقات كتلية لخيارات BTC بقيمة اسمية تقارب 590 مليون دولار، وكانت تميل بوضوح إلى الهبوط.
• تركزت عمليات الشراء في نطاق قريب من السعر بين 74,000 و78,000 دولار، بل إن الفترة الأكثر نشاطًا سبقت إعلان Binance.
إن ظهور عمليات شراء كبيرة لخيارات البيع قريبة من السعر بعد بدء تدفق الأموال إلى الخارج على السلسلة، وقبل انتشار أخبار السوق على نطاق واسع، قد يكون تحوطًا سريعًا من متداولين محترفين لاحظوا تحويلات كبيرة غير معتادة، وقد يكون أيضًا تحركًا من أشخاص حصلوا على معلومات مسبقًا. لا توجد حاليًا أدلة علنية تثبت الاحتمال الثاني مباشرة، لكن النافذة الزمنية ضيقة للغاية بالفعل.
رابعًا: مسائل لا تزال بحاجة إلى توضيح
• كيف جرى اختراق حاسوب المهندس المحمول؟
• ما التفاصيل التقنية المحددة لـ«نقطة الاختراق الإضافية»؟
• ما المسار الكامل لإساءة استخدام نظام التوقيع؟
• من هو المشتري وما مصدر الأموال وراء صفقة شراء الخيارات المبكرة للغاية؟
• ما المسار اللاحق لنحو 2.4 مليار دولار لم تُجمَّد (معظمها من ETH وBTC)؟
أعلنت Binance أنها ستنشر تقريرًا تقنيًا مفصلًا بعد انتهاء التحقيق، وستحدّث إثبات الاحتياطيات (Proof of Reserves).
تُظهر هذه الحادثة سمات التنظيم المحكم والتخطيط المسبق من حيث التحضير التقني، وإيقاع التنفيذ، والارتباط بأموال حوادث سابقة. أما التوقيت غير المعتاد في سوق الخيارات، فهو الجانب الأبرز حاليًا والأصعب تفسيره بالكامل على أنه مجرد مصادفة. وقد لا يشكل دليلًا قاطعًا على التداول بناءً على معلومات داخلية، لكنه بالتأكيد علامة تحذير تستدعي مزيدًا من المتابعة.
في سوق العملات المشفرة، يظل الأمان والشفافية المعلوماتية من الركائز الأساسية. وتذكّرنا هذه الحادثة مجددًا بأن ضوابط الصلاحيات الداخلية في منصات التداول، وبنية التوقيع التحتية، وسلوك التداول في السوق قبل الأحداث الكبرى وبعدها، كلها أمور تستحق المتابعة المستمرة.
برأيك، ما الجانب الأجدر بالتعمق في هذه الحادثة: الثغرة التقنية أم المصادفة في التوقيت؟ نرحب بآرائكم في التعليقات أدناه.
#幣安 #Binance #加密貨幣 #安全事件 #鏈上分析
