تتعاون منصة تداول العملات المشفرة Binance مع مكتب التحقيقات الفيدرالي الأمريكي (FBI) لاستعادة أصول مجمّدة بقيمة نحو 3 مليارات دولار في أكبر عملية سرقة للعملات المشفرة في التاريخ. وكشف مصدر مطّلع لوسائل إعلام أن Binance خصصت أكثر من 6.34 مليارات دولار من أموال الشركة لتغطية الخسائر، منها أصول بقيمة 5 مليارات دولار تطابق تمامًا الرموز المسروقة، فيما يجري استكمال المبلغ المتبقي عبر قنوات السوق والتداول خارج البورصة (OTC).

نُفّذ الهجوم في 29 أكتوبر عند الساعة 20:05 بالتوقيت العالمي المنسق (UTC)، ونُقلت خلال نحو 20 دقيقة أصول بقيمة تقارب 6.36 مليارات دولار من عناوين خاضعة لسيطرة Binance، عبر 10 شبكات بلوكتشين. ونسبت شركة تحليل البلوكتشين TRM Labs الهجوم، بدرجة عالية من الثقة، إلى مجموعة القراصنة الكورية الشمالية TraderTraitor، التي سبق أن حمّلها FBI مسؤولية سرقة 1.5 مليار دولار من Bybit في فبراير 2025. وأكدت Binance في بيان رسمي صدر في 30 أكتوبر أن شركاءها في القطاع جمّدوا حتى الآن أصولًا بقيمة نحو 3 مليارات دولار، وأنها تتعاون مع جهات إنفاذ القانون لاستعادتها. كما تعهدت بأن تُتاح في نهاية المطاف إمكانية التحقق علنًا من جميع أموال المستخدمين عبر إثبات الاحتياطيات (Proof of Reserves، PoR).

20 دقيقة و10 سلاسل: كيف تعرّض نظام توقيع المحافظ الساخنة للاختراق

وفقًا لبيانات TRM Labs، نقل المهاجمون أموالًا بقيمة تقارب 6.36 مليار دولار من عناوين خاضعة لسيطرة Binance إلى عنوان واحد للمهاجم، خلال نافذة زمنية امتدت نحو 20 دقيقة وبدأت في 29 أكتوبر عند الساعة 20:05 بالتوقيت العالمي المنسق، وشملت 10 سلاسل بلوك تشين. وتُعد هذه أكبر سرقة عملات مشفرة مسجلة حتى الآن، إذ تجاوزت خسائر Bybit البالغة 1.5 مليار دولار في فبراير 2025، كما فاقت بكثير سرقة 625 مليون دولار من سلسلة Ronin الجانبية التابعة لـ Axie Infinity في فبراير 2022.

قالت Binance في منشور رسمي على X إن التحقيق الأولي «يشير إلى أن الحادث الأمني ربما تورط فيه اختراق حاسوب محمول لمهندس DevOps»، ما أتاح للمهاجمين الدخول إلى حاوية الخدمة وإرسال معاملات سحب غير مصرّح بها. وشددت المنصة أيضًا على عدم العثور على أي مؤشرات إلى تسرب المفاتيح الخاصة للمحافظ. وتشير هذه التفاصيل إلى ثغرة في ضوابط الصلاحيات ضمن عملية توقيع المعاملات للمحافظ الساخنة، لا إلى انهيار منظومة حفظ المفاتيح الأساسية؛ فقد حصل المهاجمون على «صلاحية إرسال المعاملات»، لا على «المفتاح الذي يُنشئ التوقيع».

يقدم تحليل TRM Labs صورة أشمل للهجوم: فقد بدأت استعدادات المهاجمين قبل 36 ساعة على الأقل، إذ اختبروا الشيفرة على محفظتين وأجروا تدريبًا على محفظة ثالثة، ثم انتظروا نحو 4 ساعات قبل شن الهجوم الرئيسي. ويمكن تتبع التمويل الأولي لعنوان المهاجمين إلى إيداع أُجري عبر Tornado Cash صباح اليوم السابق للهجوم. وتشير هذه الآثار إلى هجوم منسق ومدرّب عليه جيدًا استهدف أنظمة توقيع المحافظ الساخنة متعددة السلاسل، لا إلى حادث عرضي نجم عن خطأ موظف واحد. وبالنسبة إلى المنصات، لا يتمثل الدرس الحقيقي في «من نقر على رابط خبيث»، بل في سبب تعطل الموافقات متعددة التوقيعات وحدود السحب ومراقبة السلوك غير المعتاد كلها في النافذة الزمنية نفسها.

ما وراء تجميد 3 مليارات دولار: «فرامل الطوارئ» لدى مُصدري العملات المستقرة

من أصل الأموال التي نُقلت، وقيمتها 6.36 مليار دولار، جُمّد نحو 3 مليارات دولار. ووفقًا للقطة بيانات TRM Labs عند الساعة 00:30 بالتوقيت العالمي المنسق في 31 أكتوبر، جمّد مُصدرو العملات المستقرة نحو 2.7 مليار دولار، وهم Tether وCircle وRipple وWorld Liberty Financial. يستطيع هؤلاء المُصدرون تجميد العملات المستقرة المرتبطة بعناوين محددة على البلوك تشين، بما يشبه الضغط على «فرامل الطوارئ» في مسار انتقال الأموال. ثم حدّثت Binance حجم الأموال المجمدة إلى نحو 3 مليارات دولار.

أوضحت Binance في بيانها: «جُمّد حتى الآن 3 مليارات دولار، ونشكر شركاءنا في القطاع. ونعمل مع شركائنا والسلطات المعنية بإنفاذ القانون لاسترداد الأصول المجمدة». ولم تُحتسب هذه الأموال ضمن رصيد أموال الشركة البالغ 6.34 مليارات دولار الذي خصصته Binance؛ فقد شددت المنصة على أن الرقم «لا يشمل الأصول المجمدة أو المحمية، التي لا تزال قيد الاسترداد والتحقق». وبعبارة أخرى، إذا نجح استرداد الأصول المجمدة البالغة 3 مليارات دولار وإعادتها إلى المستخدمين، فقد يكون ما ستضطر Binance إلى استخدامه من أموال الشركة أقل بكثير من 6.34 مليارات دولار.

أما نحو 2.4 مليار دولار متبقية، فلا تزال بحوزة المهاجمين في صورة إيثيريوم (ETH) وبيتكوين (BTC)، وتشمل أكثر من 420 ألف ETH و18,270 BTC. ولأن هذين الأصلين لا يملكان جهة مُصدرة تستطيع التدخل لتجميدهما، فإن استردادهما أصعب بكثير من استرداد العملات المستقرة، وغالبًا ما يتطلب تتبعًا على البلوك تشين من سلطات إنفاذ القانون، وتعاونًا من منصات التداول، ومصادرة قضائية. وهذا يفسر حاجة Binance إلى الاستعانة بجهات إنفاذ القانون، مثل مكتب التحقيقات الفيدرالي (FBI): إذ يمكن تجميد العملات المستقرة بواسطة مُصدريها، أما الأصول الأصلية فلا يمكن اعتراضها إلا بجهود جهات إنفاذ القانون.

شبهات حول كوريا الشمالية: TraderTraitor وسلسلة الإسناد في قضية Bybit

عزت TRM Labs هذا الهجوم بدرجة عالية من الثقة إلى TraderTraitor، وهي مجموعة قرصنة مرتبطة بكوريا الشمالية. وكان مكتب التحقيقات الفيدرالي قد أعلن علنًا في فبراير 2025 مسؤولية هذه المجموعة عن سرقة 1.5 مليار دولار من Bybit. وإذا أكدت سلطات إنفاذ القانون هذا الإسناد في نهاية المطاف، فسيكون ذلك ثاني عام على التوالي تنفذ فيه مجموعة قرصنة كورية شمالية سرقة عملات مشفرة بمليارات الدولارات، كما سيعني أن أساليب استهداف المحافظ الساخنة في منصات التداول المركزية تتطور بسرعة.

قدم محقق البلوك تشين ZachXBT خيطًا آخر للربط بين الحادثين: فقد ظهرت الأموال المسروقة من Binance، إلى جانب أموال سرقة Bitget البالغة 388 مليون دولار في سبتمبر، في العنوان نفسه بعد انتقالها عبر بروتوكول THORChain العابر للسلاسل. وقال: «من المرجح أن الشخص نفسه يقف وراء الحادثتين». ويُعد خلط الأموال عبر السلاسل وتجميعها في عناوين من أساليب غسل الأموال الشائعة لدى مجموعات القرصنة الكورية الشمالية، بهدف طمس مسار الأموال وجعل تتبعها أصعب. وقد أصبح THORChain، وهو بروتوكول سيولة عابر للسلاسل لا يتطلب إذنًا، في قلب الجدل أيضًا؛ إذ أفادت تقارير بأن رمز RUNE التابع لـ THORChain ارتفع مؤقتًا بنسبة 13% بعد انتشار خبر سرقة Binance.

من المهم توخي الحذر: لم تسمِّ Binance رسميًا أي جهة مهاجمة، واكتفت بالقول إنها تعمل مع سلطات إنفاذ القانون لتحديد المسؤولين عن الهجوم. ويظل إسناد TRM Labs حكمًا صادرًا عن جهة تحليل مستقلة، ولا يتأكد نهائيًا إلا بتأييد من سلطات إنفاذ القانون أو عبر وثائق قضائية. وفي الحوادث الأمنية المرتبطة بالعملات المشفرة، قد يؤدي الإسناد الخاطئ إلى مخاطر دبلوماسية وقانونية، وهو ما يفسر عادةً تحفظ منصات التداول والجهات التنظيمية.

تعهد Binance بالسداد واختبار إثبات الاحتياطيات (PoR)

في مواجهة خسائر قياسية، اختارت Binance تحمل الخسائر بالكامل. وأعلنت المنصة أنها خصصت أكثر من 6.34 مليارات دولار من أموال الشركة لتغطية الخسائر، منها 5 مليارات دولار من أصول تطابق تمامًا الرموز المسروقة، فيما تعمل على شراء ما تبقى، وقيمته نحو 1.34 مليار دولار، عبر الأسواق والقنوات المتاحة للتداول خارج البورصة (OTC). وأوضحت Binance أن هذه الخطوة تستغرق وقتًا أطول لأن سيولة بعض الرموز منخفضة، ولأن تسوية صفقات OTC تستغرق وقتًا. كما أفادت المنصة بأنها ستواصل استخدام موارد الشركة لتغطية العجز المؤكد، وستقدم تحديثات إضافية بعد التحقق منها مع تقدم جهود الاسترداد.

وفقًا لبيانات تصنيف الاحتياطيات، تحتل Binance المرتبة الأولى بين منصات تداول العملات المشفرة من حيث حجم الاحتياطيات، بإجمالي أصول يبلغ 134 مليار دولار. ومع ذلك، فإن تخصيص 6.34 مليارات دولار من أموال الشركة دفعة واحدة يمثل اختبارًا ضخمًا. وتُظهر بيانات DeFiLlama أن Binance عالجت صافي تدفقات خارجة بنحو 6 مليارات دولار خلال 24 ساعة من وقوع الحادث، ما يعكس ضغط السحب الذي واجهه المستخدمون في ظل هذا الحدث الاستثنائي. وتوقفت مؤقتًا بعض عمليات السحب على البلوك تشين، مثل عمليات السحب على Solana وXRP، في بداية الحادث، بينما ظلت عمليات سحب BTC متاحة، ثم استأنفت المنصة خدماتها تدريجيًا.

تعهدت Binance في بيانها قائلة: «في نهاية المطاف، سيُتحقق علنًا من جميع أموال المستخدمين من خلال إثبات الاحتياطيات الخاص بنا». وسيكون إثبات الاحتياطيات المعيار الأساسي للتحقق مما إذا كانت المنصة تغطي بالفعل العجز في أصول المستخدمين، لا سيما قبل اكتمال التحقق من ملكية الأصول المجمدة البالغة 3 مليارات دولار. وأي تصريح عن «أمان الأموال» يحتاج إلى أدلة على البلوك تشين تدعمه. أما الاختبار الحقيقي لهذا الحدث على مستوى القطاع، فليس ما إذا كانت Binance قادرة على السداد، بل ما إذا كان إثبات الاحتياطيات قادرًا على توفير شفافية قابلة للتحقق في الظروف الاستثنائية.

تداعيات على القطاع: بنية المحافظ الساخنة، والتتبع عبر السلاسل، والتعاون التنظيمي

تكشف هذه الحادثة مجددًا عن المخاطر المنهجية التي تواجهها منصات التداول المركزية في إدارة المحافظ الساخنة. فسواء أكان الأمر ثغرة في الصلاحيات ناجمة عن اختراق حاسوب محمول لمهندس DevOps، أم إخفاقًا منسقًا في نظام التوقيع متعدد السلاسل، فإن تعطل الحماية في حلقة واحدة قد يؤدي إلى سلسلة من التداعيات عبر سلاسل متعددة. وبالنسبة إلى منصات التداول، لم يعد الفصل بين المحافظ الساخنة والباردة، والموافقة متعددة التوقيعات، وحدود السحب، ومراقبة السلوك غير المعتاد أمورًا اختيارية، بل أصبحت شروطًا أساسية للبقاء. كما تُبرز قدرة المهاجمين على نقل الأموال عبر 10 سلاسل خلال 20 دقيقة مدى تعقيد إدارة المخاطر في عصر تعدد السلاسل؛ فقد لا يكفي إنذار على سلسلة واحدة لمنع عمليات السحب على السلاسل التسع الأخرى.

كان لفعالية التعاون مع جهات إنفاذ القانون دور بالغ الأهمية في هذه الحادثة. ففي فبراير 2022، أعلنت وزارة العدل الأمريكية أن جهات إنفاذ القانون، ومنها مكتب التحقيقات الفيدرالي، ساعدت في ضبط 94 ألف BTC، كانت قيمتها آنذاك 3.6 مليارات دولار، وترتبط بسرقة منصة Bitfinex في عام 2016. وتثبت قضية Bitfinex، التي وقعت قبل ثمانية أعوام، أن جهات إنفاذ القانون لا تزال قادرة على استرداد مبالغ كبيرة باستخدام التتبع على البلوك تشين والإجراءات القضائية، حتى بعد مرور سنوات على نقل الأموال. وسيتوقف نجاح تعاون Binance مع مكتب التحقيقات الفيدرالي في تكرار هذا المسار على مدى التقدم في التحقق من الأصول المجمدة وكفاءة التعاون القضائي الدولي.

وعلى مستوى السوق، أدى الحادث إلى موجة من التقلبات المتلاحقة. فإلى جانب الارتفاع القصير في سعر RUNE، شهد سوق البيتكوين تصفية مراكز بقيمة تقارب 1.6 مليار دولار بعد الحادث. وتذكر هذه التقلبات السوق بأن آثار الحوادث الأمنية التي تصيب منصات التداول لا تقتصر على المنصة المعنية، بل تنتشر عبر بروتوكولات السلاسل المتعددة، وسلاسل التصفية، وانتقال المشاعر إلى منظومة العملات المشفرة بأكملها.

تشمل النقاط التي تستحق المتابعة نتائج التحقق من ملكية الأصول المجمدة البالغة 3 مليارات دولار، وموعد نشر تقرير إثبات الاحتياطيات من Binance ونطاقه، والتأكيد الرسمي من سلطات إنفاذ القانون لهوية المهاجمين، وما إذا كانت منصة التداول ستنشر خطة أكثر تفصيلًا لمعالجة أوجه القصور في نظام توقيع المحافظ الساخنة. وبالنسبة إلى المستخدمين، فإن متابعة إثباتات الاحتياطيات لدى المنصة والتقدم في استرداد الأموال بعد حادث أمني استثنائي أجدى من ملاحقة تقلبات الأسعار قصيرة الأجل.