إذا كان هدف القراصنة العاديين سرقة البيانات، فإن أهداف هجمات مجموعة Lazarus Group (مجموعة لازاروس) تجاوزت منذ زمن حدود الجرائم الإلكترونية التقليدية.
على مدى أكثر من عقد، واصلت هذه المجموعة من القراصنة، التي ترى الحكومة الأمريكية أنها مرتبطة بكوريا الشمالية، مهاجمة البنوك والمؤسسات المالية وشركات التكنولوجيا ومشاريع العملات المشفّرة حول العالم. فمن الهجوم على Sony Pictures، إلى سرقة 81 مليون دولار من البنك المركزي البنغلاديشي، وصولًا إلى جسر Ronin بين السلاسل وشبكة Harmony وسرقة أصول من Bybit بقيمة تقارب 1.5 مليار دولار في عام 2025، ظلت العمليات المرتبطة بـ Lazarus تدفع القطاع المالي العالمي إلى إعادة تقييم فهمه لمخاطر الأمن السيبراني.
لم تكن هجماتهم تستهدف ثغرات الأنظمة فحسب، بل استهدفت أيضًا الثقة بين الناس والصلاحيات داخل المؤسسات والحدود الأمنية للبنية التحتية المالية بأكملها.
أولًا: ما مجموعة Lazarus بالضبط؟
مجموعة Lazarus Group، المعروفة أيضًا باسم مجموعة لازاروس، هو مصطلح تستخدمه أوساط الأمن السيبراني للإشارة إلى مجموعة من أنشطة الهجمات الإلكترونية ذات الصلة بكوريا الشمالية.
فرضت وزارة الخزانة الأمريكية عقوبات رسميًا على Lazarus Group في عام 2019، وأشارت إلى ارتباطها بمكتب الاستطلاع العام في كوريا الشمالية.
تشمل أنشطة الهجمات المرتبطة بها اختراق المؤسسات المالية وسرقة الأسرار التجارية وبرامج الفدية وسرقة العملات المشفّرة وتخريب البنية التحتية للشبكات. وفي أبحاث الأمن السيبراني، ترد أيضًا أسماء مثل APT38 وTraderTraitor وBluenoroff لوصف أنشطة الهجمات ذات الصلة أو مجموعات التهديد المرتبطة بها، لكن هذه الأسماء لا تعني أن فريقًا واحدًا نفّذ جميع العمليات.
ترى الحكومة الأمريكية أن أنشطة الجرائم الإلكترونية المرتبطة بكوريا الشمالية تمثّل قناة مهمة للحصول على أموال غير مشروعة، وقد تُستخدم بعض هذه الأموال لدعم النظام الكوري الشمالي ومشاريعه التسليحية.
ثانيًا: تاريخ هجمات يمتد لأكثر من عقد — أحداث كبرى هزّت العالم
2014: هجوم على شركة Sony Pictures
في نوفمبر 2014، تعرضت شركة Sony Pictures لهجوم إلكتروني واسع النطاق. اخترق المهاجمون الشبكة الداخلية للشركة وسرقوا كميات كبيرة من المعلومات الحساسة، واستخدموا برمجيات خبيثة مدمرة لحذف البيانات، ما ألحق أضرارًا جسيمة بأعمال الشركة.
شملت المعلومات المسرّبة رسائل بريد إلكتروني داخلية لكبار المسؤولين وبيانات شخصية للموظفين ومواد لأفلام لم تُعرض بعد ومعلومات مالية للشركة وأسرارًا تجارية.
أدركت الشركات حول العالم بعد هذه الحادثة أن الهجمات الإلكترونية لا تقتصر على سرقة المعلومات، بل يمكنها أيضًا تعطيل العمليات الطبيعية للشركات مباشرةً. وربطت الحكومة الأمريكية لاحقًا هذا الهجوم بأنشطة إلكترونية مرتبطة بكوريا الشمالية.
2016: سرقة 81 مليون دولار من البنك المركزي البنغلاديشي
تُعد هذه واحدة من أشهر الحوادث في تاريخ الهجمات المالية المرتبطة بـ Lazarus.
اخترق المهاجمون أولًا الأنظمة الداخلية للبنك المركزي البنغلاديشي، وحصلوا على بيانات اعتماد الاتصالات المصرفية ذات الصلة، ثم استخدموا نظام SWIFT للاتصالات المالية بين البنوك دوليًا لإرسال أوامر تحويل مزيفة.
حاول المهاجمون تحويل أموال بقيمة نحو 951 مليون دولار، لكن أُوقف بعض التحويلات في الوقت المناسب، ونُقل في النهاية نحو 81 مليون دولار بنجاح.
كشفت هذه الحادثة عن مخاطر جسيمة في النظام المالي التقليدي: فحتى البنوك التي تمتلك أنظمة ناضجة للدفع الدولي قد تتكبد خسائر ضخمة إذا اختُرقت أجهزتها الداخلية أو بيانات اعتمادها أو إجراءاتها التشغيلية.
2017: فيروس الفدية WannaCry يجتاح العالم
في مايو 2017، انتشر فيروس الفدية WannaCry بسرعة في ما لا يقل عن 150 دولة حول العالم، وأصاب نحو 300 ألف جهاز كمبيوتر.
انتشر الفيروس مستغلًا ثغرة في نظام Windows، ثم شفّر الملفات على الأجهزة المصابة وطالب الضحايا بدفع فدية بعملة بيتكوين.
تأثرت هيئة الخدمات الصحية الوطنية البريطانية (NHS) بشدة؛ إذ تعطلت مواعيد المستشفيات والخدمات الطبية والأنظمة الداخلية، وأُلغيت أكثر من 19 ألف موعد.
نسبت الولايات المتحدة والمملكة المتحدة ودول أخرى علنًا هجوم WannaCry لاحقًا إلى أنشطة إلكترونية مرتبطة بكوريا الشمالية. وأثبتت هذه الحادثة أن الأضرار الناجمة عن الهجمات الإلكترونية لم تعد تقتصر على الخسائر المالية، بل قد تؤثر حتى في الخدمات الصحية والبنية التحتية العامة.
2022: سرقة نحو 625 مليون دولار من Ronin Bridge
في مارس 2022، تعرّضت شبكة Ronin التي تقف وراء لعبة البلوك تشين Axie Infinity لهجوم.
حصل المهاجمون على الصلاحيات اللازمة للتحكم في عُقد التحقق من خلال هجمات هندسة اجتماعية استهدفت أشخاصًا مرتبطين بـ Sky Mavis، وتمكنوا في نهاية المطاف من السيطرة على عدد كافٍ من عُقد التحقق.
بعد ذلك، حوّل المهاجمون من Ronin Bridge نحو 173,600 وحدة من ETH و25.5 مليون وحدة من USDC، وبلغت الخسائر نحو 625 مليون دولار وفقًا لأسعار السوق آنذاك.
لم يكتشف فريق المشروع النشاط غير المعتاد إلا بعد مرور عدة أيام. وفي أبريل 2022، نسب FBI رسميًا هذا الهجوم إلى Lazarus Group وأنشطة إلكترونية أخرى مرتبطة بكوريا الشمالية.
كشفت هذه الحادثة عن الخطر الجوهري للجسور بين السلاسل: فقد يعمل البلوك تشين نفسه بشكل طبيعي، لكن إذا اختُرقت آلية التحقق التي تتحكم في نقل الأصول بين السلاسل، فقد يصبح نظام الجسر بأكمله هدفًا للهجوم.
2022: سرقة 100 مليون دولار من Harmony Horizon Bridge
في يونيو 2022، تعرّض جسر Horizon متعدد السلاسل التابع لمشروع Harmony لهجوم، وسُرقت أصول مشفّرة بقيمة نحو 100 مليون دولار.
في يناير 2023، أكّد مكتب التحقيقات الفيدرالي الأمريكي (FBI) رسميًا مسؤولية مجموعة Lazarus Group عن هذه السرقة. وبعد ذلك، استخدم المهاجمون عناوين مختلفة وبروتوكولات للخصوصية لنقل الأموال.
وكشف FBI أيضًا أن أشخاصًا مرتبطين بالحادثة استخدموا بروتوكولات للخصوصية مثل RAILGUN لمعالجة جزء من عملة ETH المسروقة.
وهذا يوضح أن سرقة الأصول ليست سوى جزء من الهجوم؛ فنقل الأموال المسروقة وتقسيمها ومعالجتها تمثّل أيضًا حلقات مهمة في سلسلة الجريمة بأكملها.
2023: هجمات متتالية على قطاع العملات المشفّرة
في عام 2023، واصلت الهجمات الإلكترونية المرتبطة بـ Lazarus استهداف قطاع العملات المشفّرة.
تكبّدت Atomic Wallet خسائر بنحو 100 مليون دولار، وAlphapo نحو 60 مليون دولار، وCoinsPaid نحو 37 مليون دولار، وStake.com نحو 41 مليون دولار.
أعلن FBI تباعًا معلومات عن الجهات التي نسب إليها هذه الحوادث، وربطها بأنشطة هجمات إلكترونية مرتبطة بكوريا الشمالية.
لم تعد أهداف الهجمات تقتصر على منصات التداول الكبرى، بل امتدت تدريجيًا إلى مزوّدي خدمات المحافظ ومنصات الدفع والنظام البيئي للعملات المشفّرة بأكمله.
2025: سرقة أصول بقيمة نحو 1.5 مليار دولار من Bybit
تُعد هذه واحدة من أكبر سرقات الأصول في تاريخ قطاع العملات المشفّرة.
في 21 فبراير 2025، تعرّضت Bybit لهجوم، ونُقلت أصول من ETH وأصول مرتبطة بها بقيمة نحو 1.46 مليار دولار.
أبرز ما يستحق الدراسة في هذا الهجوم هو أن المهاجمين لم يكتفوا باختراق كلمة مرور منصة التداول، بل استغلوا علاقات الثقة في سلسلة التوريد وفي آلية توقيع المعاملات لتنفيذ الهجوم.
وفقًا لمعلومات التحقيق التي نشرتها Bybit، اخترق المهاجمون بيانات اعتماد مطوّرين مرتبطين بـ Safe وبنيتهم التحتية، وتلاعبوا بواجهة توقيع المعاملات، بحيث اختلف محتوى المعاملة الذي رآه الموقّعون عن المعاملة الخبيثة التي نُفذت فعليًا.
وفي نهاية المطاف، سيطر المهاجمون على إحدى محافظ Bybit الباردة لعملة ETH، ونقلوا أصولًا بقيمة نحو 1.46 مليار دولار.
في 26 فبراير 2025، نسب FBI رسميًا هذا الهجوم إلى جهات تنفذ هجمات إلكترونية مرتبطة بكوريا الشمالية، وأدرجه ضمن أنشطة TraderTraitor.
وكشف FBI أيضًا أن المهاجمين سارعوا إلى تحويل جزء من الأصول المسروقة إلى بيتكوين وأصول مشفّرة أخرى، ثم وزعوها على عدد كبير من عناوين البلوك تشين.
دقّ هذا الهجوم ناقوس الخطر في القطاع بأكمله: فالمحافظ الباردة لا تعني أمانًا مطلقًا، وآلية التوقيع المتعدد لا تعني أمانًا مطلقًا، كما أن محافظ الأجهزة لا تستطيع منع جميع التوقيعات الخبيثة.
المشكلة الحقيقية لا تقتصر على ما إذا كان المفتاح الخاص قد تسرّب، بل تتعلق أيضًا بطبيعة المعاملة التي توقّعها.
ثالثًا: كيف تنفّذ Lazarus هجماتها؟
عند دراسة هذه الحوادث التاريخية، يمكن ملاحظة عدة أنماط متكررة للهجمات.
أولها هجمات الهندسة الاجتماعية.
قد ينتحل المهاجمون صفة مؤسسات استثمارية أو مسؤولي توظيف أو مطوّري برمجيات أو ممثلي مشاريع أو شركاء تجاريين، ويتواصلون مع أهدافهم عبر X وLinkedIn وTelegram والبريد الإلكتروني. وبعد بناء الثقة، يرسلون ما يسمونه ملفات عمل أو مواد استثمارية أو اختبارات برمجية أو دعوات لاجتماعات.
ما إن ينزّل الهدف ملفًا خبيثًا ويشغّله، حتى يتمكن المهاجمون من سرقة بيانات اعتماد الحسابات، والحصول على صلاحية الوصول إلى الأجهزة، بل وحتى اختراق الشبكات الداخلية للمؤسسات.
ثانيها هجمات سلسلة التوريد.
عادةً ما تتمتع منصات التداول الكبرى ومشاريع البلوك تشين بطبقات متعددة من الحماية الأمنية، ما يجعل مهاجمة أنظمتها الأساسية مباشرةً أمرًا صعبًا. لذلك، قد يحوّل المهاجمون تركيزهم إلى المطوّرين ومزوّدي الخدمات الخارجيين ومورّدي البرمجيات وغيرهم من الشركاء الذين لديهم صلاحية الوصول إلى الأنظمة.
تُعد حادثة Bybit مثالًا نموذجيًا. فقد استغل المهاجمون اختراق بيئة تطوير تابعة لطرف ثالث وواجهة المعاملات للتأثير على فهم الموقّعين لمحتوى المعاملة.
ثالثها نقل الأموال عبر البلوك تشين.
بعد سرقة الأصول، قد يوزّع المهاجمون الأموال على عناوين متعددة، ويستخدمون التحويل بين السلاسل ومنصات تداول مختلفة وبروتوكولات للخصوصية لزيادة صعوبة تتبّعها.
لكن البلوك تشين ليس مجهول الهوية تمامًا. فكل معاملة تترك سجلًا، وحتى إذا واصل المهاجمون تغيير عناوينهم، يمكن أن توفّر حركة الأموال وتوقيت المعاملات ومصادر التمويل المشتركة والعلاقات بين العناوين خيوطًا للتحقيق.
وهذا ما يفسر قدرة FBI وشركات تحليل البلوك تشين ومنصات التداول على تحديد جزء من الأموال المسروقة من خلال تتبّعها على السلسلة.
رابعًا: ما تأثير هذه الهجمات في قطاع العملات المشفّرة العالمي؟
أولًا، تضررت الثقة بأمن المؤسسات المالية. فقد أثبتت حادثة البنك المركزي البنغلاديشي أن أنظمة الدفع الدولية للبنوك التقليدية قد تتعرض هي الأخرى لهجمات إلكترونية.
ثانيًا، أُعيد تقييم المخاطر الأمنية للبنية التحتية للعملات المشفّرة. فقد دفعت حوادث Ronin وHarmony القطاع بأكمله إلى إعادة النظر في التصميم الأمني للجسور بين السلاسل والمحافظ متعددة التوقيع وعُقد التحقق والعقود الذكية.
ثالثًا، تواصلت زيادة تكاليف تشغيل منصات التداول. فإدارة المحافظ الباردة والتحقق من التوقيعات والتدقيق لدى جهات خارجية ومراقبة المعاملات على السلسلة والاستجابة للطوارئ والتغطية التأمينية، كلها أمور تتطلب موارد أكبر.
رابعًا، قد تدخل الأصول المسروقة في منظومة أوسع لتداول الأموال غير المشروعة. وبعد نقل هذه الأصول بين سلاسل متعددة وتحويلها وغسلها، قد تؤثر في منصات التداول وبروتوكولات DeFi ومستخدمين عاديين آخرين.
والأهم من ذلك أن قضايا الأمن السيبراني على مستوى الدول تقاطعت مع قطاع العملات المشفّرة. لم تعد المسألة مجرد هجمات ينفذها قراصنة أفراد، بل أصبحت قضية معقدة تشمل البنية التحتية المالية والأمن الدولي وتنظيم الأصول الرقمية.
خامسًا: كيف يمكن لمستخدمي العملات المشفّرة العاديين حماية أنفسهم؟
$BNB لا يحتاج المستثمرون العاديون إلى إتقان تقنيات الأمن السيبراني المتخصصة، لكن عليهم اكتساب عادات أمنية أساسية.
احفظ الأصول الكبيرة، قدر الإمكان، في محفظة باردة مستقلة.
لا ترفع العبارة الاستذكارية أو المفتاح الخاص مطلقًا إلى التخزين السحابي أو تطبيقات المحادثة.
لا تعطِ أي شخص العبارة الاستذكارية أو المفتاح الخاص أو إذن التوقيع.
لا تثبّت إضافات محافظ يقدّمها أشخاص مجهولون دون تروٍّ.
لا تستخدم برامج محافظ مجهولة المصدر.
تحقّق دوريًا من أذونات المحفظة وألغِ الأذونات التي لم تعد بحاجة إليها.
لا توقّع معاملات لا تفهمها دون تفكير.
تحقّق من عنوان المستلِم وعنوان العقد ومحتوى المعاملة قبل التوقيع.
احذر من تفويض Token بحدود غير محدودة.
ابدأ العمليات الكبيرة باختبار مبلغ صغير.
وبالنسبة إلى حسابات منصات التداول، ينبغي أيضًا تفعيل المصادقة الثنائية المستقلة، وإعطاء الأولوية لأساليب المصادقة المقاومة للتصيد، مثل مفاتيح الأمان المادية، وإعداد قائمة بعناوين السحب المسموح بها، وتفعيل إشعارات تسجيل الدخول والسحب.
من المهم التأكيد على أن محافظ الأجهزة تحمي المفاتيح الخاصة، لكنها لا تضمن أن المعاملة التي توافق عليها آمنة. فإذا وقّعت معاملة خبيثة، فقد تصبح محفظة الأجهزة هي الأخرى مدخلًا لخسارة الأموال.
أما منصات التداول ومشاريع DeFi وفرق التطوير، فعليها أيضًا فصل المفاتيح الخاصة عن أنظمة الأعمال، وفصل صلاحيات التوقيع المتعدد، وإجراء تدقيق للبرمجيات الخارجية، وتطبيق مبدأ الحد الأدنى من الصلاحيات، ومراقبة المعاملات غير الاعتيادية، ووضع آلية للإيقاف الطارئ.
سادسًا: ما يستحق الحذر حقًا هو تحوّل أهداف الهجمات الإلكترونية
عند استعراض تاريخ الهجمات على مدى أكثر من عقد، يمكن ملاحظة مسار واضح لتطورها.
بين عامي 2014 و2017، استهدفت الهجمات أنظمة الشركات أساسًا، ونفذت سرقات للبيانات وهجمات ببرامج الفدية.
بين عامي 2016 و2020، امتد نطاق الهجمات إلى الأنظمة المصرفية وأنظمة الدفع الدولية والمؤسسات المالية.
بين عامي 2018 و2021، أصبحت منصات تداول العملات المشفّرة والمحافظ والبرمجيات المرتبطة بها أهدافًا رئيسية تدريجيًا.
بين عامي 2022 و2023، امتدت الهجمات أكثر لتشمل الجسور بين السلاسل وDeFi والبنية التحتية للبلوك تشين.
في عام 2025، أصبحت سلاسل التوريد وبيئات التطوير التابعة لأطراف ثالثة وآليات المعاملات متعددة التوقيع مداخل للهجمات تستدعي الحذر.
لا يعني ذلك أن جميع الهجمات نفذها الأشخاص أنفسهم أو باستخدام التقنيات ذاتها، بل يشير إلى أن أنشطة التهديد السيبراني المرتبطة بـ Lazarus باتت تشمل عددًا متزايدًا من البنى التحتية المالية.
تتغير حدود الأمن في قطاع العملات المشفّرة.
في الماضي، كان التركيز منصبًا على ما إذا كان المفتاح الخاص قد تسرّب أو ما إذا كانت هناك ثغرة في العقد الذكي. أما اليوم، فيجب أيضًا التحقق من أمن أجهزة المطوّرين، ومدى موثوقية البرمجيات الخارجية، وما إذا كانت واجهة التوقيع قد عُبث بها، وما إذا أسيء استخدام الصلاحيات الداخلية.
يكشف تاريخ هجمات Lazarus على مدى أكثر من عقد حقيقة قاسية: في عصر التمويل الرقمي، قد لا يكون الخطر الأكبر اختراق الأنظمة، بل استغلال الثقة.
عندما يمكن نقل أصول رقمية بعشرات المليارات من الدولارات خلال فترة قصيرة، يتعين على القطاع بأكمله إعادة التفكير في سؤال:
هل نبني نظامًا ماليًا رقميًا آمنًا، أم أننا ننقل مخاطر عالم التمويل التقليدي إلى البلوك تشين فحسب؟$BTC