من Mt. Gox إلى Bitfinex، ومن Bybit إلى Bitget، تتطور نقاط الدخول إلى منصات التداول باستمرار؛ وبعد إخفاق Binance في عام 2019، تواجه مجددًا السؤال نفسه: من سيتحمل الخسائر؟
إذا وضعنا حوادث سرقة منصات التداول خلال السنوات العشر الماضية أو أكثر على خط زمني واحد، فسنلاحظ تغيرًا واضحًا:
تتزايد الخسائر، لكن المهاجمين باتوا أقل استهدافًا للمحافظ الباردة بشكل مباشر. وغالبًا ما يكون هدفهم الحقيقي المحافظ الساخنة والمفاتيح الخاصة وإجراءات التوقيع والأجهزة الداخلية والروابط بين منصات التداول والخدمات التابعة لجهات خارجية.
——
من المحافظ الساخنة إلى المفاتيح الخاصة: أولى نقاط الدخول للهجمات
في فبراير 2014، أُعلن عن فقدان نحو 850 ألف بيتكوين من Mt. Gox، بقيمة تقارب 450 مليون دولار وفقًا لأسعار ذلك الوقت. لم تُحوّل الأصول دفعة واحدة، بل استمر استنزافها على مدى فترة طويلة. وأدى سوء إدارة المحافظ الساخنة وضعف حماية المفاتيح الخاصة في نهاية المطاف إلى إفلاس أكبر منصة لتداول البيتكوين آنذاك.
في أغسطس 2016، سُرقت 119,756 بيتكوين من Bitfinex، بقيمة تقارب 72 مليون دولار وفقًا لأسعار ذلك الوقت. وتمكن المهاجمون من اختراق نظام الحفظ متعدد التوقيعات وإجراءات التفويض في المنصة، ونفّذوا تحويلات غير مصرّح بها. واستُعيد جزء من الأصول لاحقًا، لكن المستخدمين ظلوا يواجهون تقاسم الخسائر وعملية تعويض طويلة.
في يناير 2018، سُرقت من منصة التداول اليابانية Coincheck عملات NEM بقيمة نحو 523 مليون دولار. وكان قدر كبير من الأصول محفوظًا في محافظ ساخنة متصلة بالإنترنت، من دون استخدام التوقيعات المتعددة. وبعد تسريب المفاتيح الخاصة، حُوّلت الأصول دفعة واحدة، وعوّضت Coincheck المستخدمين في نهاية المطاف من أموال الشركة.
كانت السمة المشتركة لهذه المرحلة واضحة:
ظلت الأصول في منصة التداول، لكن المفاتيح والمحافظ وإجراءات التفويض لم تكن معزولة فعليًا.
في مايو 2019، تعرضت Binance نفسها لهجوم واسع النطاق. حوّل القراصنة 7,000 بيتكوين من محفظتها الساخنة، وكانت قيمتها آنذاك نحو 40 مليون دولار. وقالت Binance إن المهاجمين حصلوا على مفاتيح API الخاصة بالمستخدمين وبيانات التحقق بخطوتين وغيرها من المعلومات، عبر التصيد الاحتيالي والفيروسات وأساليب أخرى، ثم نفّذوا عمليات السحب دفعة واحدة.
تكفّل صندوق SAFU في نهاية المطاف بخسائر تلك الحادثة، ولم يتكبد المستخدمون خسائر مباشرة. وبعد إجراء فحوصات أمنية، استأنفت Binance عملياتها، وأرست بذلك نموذجًا للتعامل مع الحوادث الأمنية يقوم على «تحمل المنصة التكاليف وعدم تضرر المستخدمين».
——
من سرقة المفاتيح إلى استهداف إجراءات التشغيل
بعد ذلك، بدأ المهاجمون يتجاوزون استهداف محفظة واحدة، ويتجهون بدلًا من ذلك إلى مهاجمة إجراءات التشغيل وأنظمة الصلاحيات في منصات التداول.
في سبتمبر 2020، تسرّبت المفاتيح الخاصة لمحافظ KuCoin الساخنة، وبلغت الخسائر نحو 280 مليون دولار. وتعقبت الجهات المصدرة للمشروعات ومنصة التداول والمؤسسات الأمنية الأموال معًا، واستُعيد نحو 84% من الأصول، فيما غطّى التأمين وأموال الشركة الباقي.
في ديسمبر 2021، تعرضت BitMart لهجوم على محافظها الساخنة، وقدرت الخسائر بنحو 150 إلى 196 مليون دولار. وتشير المعلومات المنشورة إلى ارتباط الحادثة بتسريب المفاتيح الخاصة لمحفظة ساخنة، وتعهدت BitMart لاحقًا بتعويض المستخدمين المتضررين باستخدام أموال الشركة والتأمين.
في عام 2023، حُوّلت أصول بقيمة نحو 70 مليون دولار من CoinEx، ورأى كثيرون أن ذلك يرتبط بتسريب المفاتيح الخاصة لمحفظة ساخنة. وفي العام نفسه، سُرقت أصول بقيمة نحو 125 مليون دولار من Poloniex، وحوّل المهاجمون أصولًا عبر سلاسل متعددة، لكن المنصة لم تكشف بالكامل عن نقطة الدخول النهائية للهجوم.
تشهد أساليب الهجوم تغيرًا:
من «الحصول على المفتاح الخاص» → «تجاوز الصلاحيات» → «تزوير المعاملات».
——
البرمجيات التابعة لجهات خارجية أصبحت أيضًا نقطة دخول للهجمات
باتت الحادثتان اللتان وقعتا في عام 2024 أقرب إلى أساليب الهجوم المستخدمة اليوم.
في مايو، سُرق نحو 4,502.9 بيتكوين من منصة التداول اليابانية DMM Bitcoin، بقيمة تقارب 305 ملايين دولار وفقًا لأسعار ذلك الوقت. ولم تكشف الشركة رسميًا عن تفاصيل طريقة الاختراق الأولية، لكن مكتب التحقيقات الفيدرالي الأمريكي نسب الهجوم لاحقًا إلى مجموعة TraderTraitor المرتبطة بكوريا الشمالية.
في يوليو، سُرقت أصول بقيمة نحو 235 مليون دولار من WazirX. ويُشتبه في أن المهاجمين استغلوا الاختلافات بين واجهة معاملات المحفظة متعددة التوقيعات وبيانات التوقيع، لدفع المعنيين إلى الموافقة على معاملات ضارة. وبعد ذلك، نشب خلاف بين WazirX ومزود خدمة الحفظ Liminal بشأن تحديد المسؤولية.
في فبراير 2025، سُرقت أصول بقيمة نحو 1.46 إلى 1.5 مليار دولار من Bybit، لتصبح أكبر عملية سرقة لمنصة تداول حتى ذلك الوقت.
أوضحت Bybit أمرًا واحدًا:
التوقيعات المتعددة لا تعني أمانًا مطلقًا.
لم يخترق المهاجمون المفاتيح الخاصة للمحافظ الباردة ببساطة، بل استغلوا الاختلافات في عرض المعاملات والبيانات ضمن إجراءات التوقيع، ودفعوا الموقّعين إلى الموافقة على معاملات ضارة. ونسب مكتب التحقيقات الفيدرالي الأمريكي الهجوم لاحقًا إلى مجموعة TraderTraitor المرتبطة بكوريا الشمالية.
لم تُخترق المحافظ الباردة مباشرةً، لكن المعاملات أُجيزت رغم ذلك. وهكذا انتقلت المسألة الأمنية من سؤال «أين تُحفظ الأصول؟» إلى سؤال «من يوافق على المعاملات، وماذا يرى؟».
——
Bitget: إنذار قبل حادثة Binance
في 24 سبتمبر 2026، عند الساعة 18:31 بالتوقيت العالمي المنسق، نفّذ المهاجمون تحويلات غير مصرّح بها انطلاقًا من بعض المحافظ الساخنة والدافئة لدى Bitget. وفي الساعة 19:05 بالتوقيت العالمي المنسق، رصد نظام مطابقة الأموال لدى Bitget نشاطًا غير طبيعي، فأوقفت المنصة فورًا عمليات السحب على مستوى المنصة بأكملها.
قدّرت Bitget في البداية الخسائر بنحو 351.6 مليون دولار. وبعد إعادة تصنيف المعاملات على سلاسل مثل Zcash وTRON، عُدّل تقدير الخسائر لاحقًا إلى نحو 387.5 مليون دولار، ثم بلغ المبلغ المؤكد الوارد في الصفحة الرسمية نحو 388 مليون دولار.
أوضحت Bitget أن سبب الهجوم هو استغلال المهاجمين ثغرة يوم الصفر في منتج أمني تابع لجهة خارجية، وسرقة بيانات اعتماد الوصول إلى الشبكة الداخلية، ثم تزوير أوامر السحب وتجاوز نظام إدارة المخاطر لإدخال أوامر التحويل مباشرةً إلى نظام المحافظ.
لم تشمل هذه الحادثة المحافظ الباردة، كما أفادت الشركة رسميًا بأن المفاتيح الخاصة لم تُخترق. ولم تتأثر أرصدة مستخدمي Bitget، إذ تكفّل صندوق حماية المستخدمين بالخسائر، واستُؤنفت خدمات السحب على مراحل قبل 2 أكتوبر.
كانت الإشارات التي خلّفتها Bitget واضحة:
قد لا يكمن الخطر الحقيقي في المحفظة نفسها، بل في البرمجيات والأجهزة والصلاحيات التي تقف وراءها.
——
Binance: تجاوز الحدود الأمنية مرة أخرى
في الساعات الأولى من صباح 30 أكتوبر 2026، ووفقًا لإعادة بناء الأحداث استنادًا إلى معلومات منشورة على السلسلة، ظهرت أذونات غير طبيعية في المحفظة الساخنة التي تحمل Binance الرمز «Binance 14». وبعد دقائق، حُوّلت أصول متعددة من المحفظة على دفعات، ثم تتابعت التحويلات من محافظ ساخنة عدة عبر سلاسل مختلفة.
في صباح ذلك اليوم، أوقفت Binance عمليات الإيداع والسحب، وأكدت أن أموال المستخدمين آمنة وأن الشركة ستتحمل جميع الخسائر.
أظهر التحقيق الأولي الذي أعلنته Binance أن الحادثة ربما ارتبطت باختراق حاسوب محمول لأحد مهندسي DevOps. واستغل المهاجمون ذلك للوصول إلى حاوية الخدمات وبدء معاملات سحب غير مصرّح بها.
أفادت Binance بأنها لم تعثر حتى الآن على أدلة على تسريب المفاتيح الخاصة للمحافظ. لكن التحقيقات اللاحقة كشفت عن نقاط اختراق أخرى، لذا فإن حاسوب الموظف ليس سوى خيط أولي، وليس السبب النهائي.
أما من حيث المبلغ، فقدّرت Chainalysis قيمة الأصول المسروقة بنحو 5.9 مليارات دولار، وقدّرت TRM Labs المبلغ بأكثر من 6 مليارات دولار. أما التقدير الرسمي الحالي لـBinance فهو:
بلغ إجمالي الأثر الناجم عن هذه الحادثة نحو 6.3 مليارات دولار.
أفادت Binance بأن أصولًا بقيمة نحو 3 مليارات دولار جُمّدت أو حُميت. كما خصصت الشركة أكثر من 6.34 مليارات دولار من أموالها لتغطية الحادثة، منها نحو 5 مليارات دولار خُصصت من الرموز المقابلة للأصول المتأثرة.
هذا المبلغ مخصص للتعويض، وليس قيمة إضافية للأصول المسروقة، ولا ينبغي جمعه مباشرةً مع مبلغ الـ3 مليارات دولار الذي جُمّد.
تركزت تصريحات CZ على ثلاث نقاط رئيسية:
أموال المستخدمين آمنة، ويبدو أن الحادثة كانت بالفعل هجومًا إلكترونيًا؛
لم تشهد Binance انهيارًا على غرار FTX، لأن ما حدث أقرب إلى حادثة أمنية محدودة يمكن للشركة استيعابها من خلال ميزانيتها العمومية؛
بدأت بالفعل أعمال استعادة الأصول، ويمكن لـBinance تعويض الرموز المتأثرة تدريجيًا من خلال رسوم التداول ونشاط السوق.
حتى مساء 30 أكتوبر 2026: تأثرت أصول بقيمة نحو 6.3 مليارات دولار، وجُمّدت أو حُميت أصول بقيمة نحو 3 مليارات دولار، وأعدّت Binance أكثر من 6.34 مليارات دولار من أموال الشركة لتغطية الخسائر. لكن صافي الخسائر النهائي، والمبلغ المسترد فعليًا، والمسار الكامل للهجوم، لم تُؤكد بعد.
لذلك، لا يمكن تفسير هذه الحادثة ببساطة على أنها «خسرت Binance في النهاية 6.3 مليارات دولار».
في عام 2019، استخدمت Binance صندوق SAFU لتغطية خسائر بنحو 40 مليون دولار. أما هذه المرة، فقد بلغ حجم الحادثة مستوى 6.3 مليارات دولار، وامتدت نقطة دخول الهجوم من واجهة API الخاصة بالمستخدمين والمحافظ الساخنة إلى الأجهزة الداخلية والبرمجيات التابعة لجهات خارجية وصلاحيات الأنظمة الخلفية.
من Mt. Gox إلى Bitget ثم Binance، لم يعد أمن منصات التداول يقتصر على الفرق بين المحافظ الباردة والساخنة.
السؤال الحقيقي الذي تطرحه هذه الحادثة لا يقتصر على ما إذا كانت Binance قادرة على التعويض.
عندما تُخترق الحدود الأمنية لمنصات التداول مرارًا، فمن الذي يتحمل الخسائر في نهاية المطاف: المنصة أم المستخدمون؟