كيف حوّلت مجموعة لازاروس وغيرها من الجهات الكورية الشمالية المرتبطة بالقرصنة المؤسسات المالية العالمية ومنصات العملات المشفّرة إلى أهداف، ولماذا تواجه أجهزة إنفاذ القانون الدولية صعوبة في تقديمهم إلى العدالة.
كنت أبحث في تاريخ الهجمات الإلكترونية الكورية الشمالية، ولا سيما تورطها في سرقة العملات المشفّرة، وظل سؤال واحد يشغل بالي.
كيف يمكن لمجموعة من القراصنة سرقة مليارات الدولارات من المؤسسات المالية ومنصات تداول العملات المشفّرة العاملة في عدة دول، ومع ذلك تظل الأجهزة الدولية لإنفاذ القانون عاجزة إلى حد كبير عن اعتقالهم فعليًا؟
لا نتحدث عن حادثة منفردة أو مجموعة صغيرة من مجرمي الإنترنت قليلي الخبرة. نحن أمام نمط من العمليات امتد لعقد، وشمل البنوك وشبكات الدفع ومنصات تداول العملات المشفرة وجسور البلوكتشين ومطوري البرمجيات والمستثمرين الأفراد.
الاسم الذي يتكرر ظهوره في هذه التحقيقات هو مجموعة Lazarus، وهي منظمة قرصنة مرتبطة بكوريا الشمالية.
تطورت الأساليب على مر السنين. فما بدأ بهجمات على البنية التحتية المصرفية التقليدية توسع تدريجيًا ليشمل منصات تداول العملات المشفرة ومنصات التمويل اللامركزي وأنظمة البلوكتشين.
لكن الجزء الأكثر إثارة للاهتمام في هذه القصة ليس مقدار الأموال المسروقة فحسب، بل مدى صعوبة إيقاف هذه العمليات وتحديد الأفراد الفعليين الذين يقفون وراءها ومثولهم أمام القضاء.
لنلقِ نظرة على الأدلة.
1. عقد من الهجمات الإلكترونية: من البنوك التقليدية إلى العملات المشفرة
عملية السطو على بنك بنغلاديش عام 2016
سُرق بنجاح نحو 81 مليون دولار من بنك بنغلاديش عبر تعليمات دفع احتيالية باستخدام نظام SWIFT. وربط المحققون العملية بقراصنة كوريين شماليين.
حاول المهاجمون تحويل نحو 951 مليون دولار، لكن أُوقف معظم التحويلات التي حاولوا إجراءها.
برنامج الفدية WannaCry عام 2017
أثر هجوم عالمي ببرامج الفدية على مئات الآلاف من أجهزة الكمبيوتر. مُنع الضحايا من الوصول إلى ملفاتهم وطُلب منهم دفع بيتكوين لاستعادة الوصول إليها.
كانت هيئة الخدمات الصحية الوطنية في المملكة المتحدة من بين المؤسسات المتضررة. وربطت وزارة العدل الأمريكية العملية لاحقًا بقراصنة كوريين شماليين.
BankIslami Pakistan عام 2018
هذه الحادثة ذات صلة خاصة بباكستان.
وفقًا لوزارة العدل الأمريكية، سُرق نحو 6.1 مليون دولار من BankIslami Pakistan في عملية منسقة لسحب الأموال نقدًا من أجهزة الصراف الآلي عُرفت باسم FASTCash.
تُظهر هذه الحادثة أن هذه العمليات لم تقتصر على المؤسسات المالية الغربية.
شبكة Ronin عام 2022
سُرقت عملات مشفرة تُقدّر قيمتها بنحو 625 مليون دولار من شبكة Ronin المرتبطة بلعبة Axie Infinity.
نسب مكتب التحقيقات الفيدرالي الهجوم إلى مجموعة Lazarus وAPT38.
جسر Harmony Horizon عام 2022
سُرق أيضًا نحو 100 مليون دولار من جسر Horizon التابع لـ Harmony. ونسب مكتب التحقيقات الفيدرالي الهجوم لاحقًا إلى مجموعة Lazarus.
Atomic Wallet وCoinsPaid وAlphapo عام 2023
بلغت قيمة هذه الحوادث نحو:
Atomic Wallet: 100 مليون دولار.
CoinsPaid: 37 مليون دولار.
Alphapo: 60 مليون دولار.
ربط مكتب التحقيقات الفيدرالي جهات مرتبطة بكوريا الشمالية بهذه الحوادث.
هجمات WazirX وDMM Bitcoin وغيرها عام 2024
تكبدت عدة منصات ومشاريع رئيسية للعملات المشفرة خسائر كبيرة:
DMM Bitcoin: نحو 308 ملايين دولار.
WazirX: حوالي 235 مليون دولار.
Upbit: حوالي 50 مليون دولار.
Radiant Capital: حوالي 50 مليون دولار.
Rain Management: حوالي 16.13 مليون دولار.
عزت حكومات الولايات المتحدة واليابان وكوريا الجنوبية بعض هذه الهجمات إلى جهات كورية شمالية.
اختراق منصة Bybit في 2025
كان هذا منعطفًا رئيسيًا آخر.
سُرقت أصول افتراضية تُقدَّر قيمتها بنحو 1.5 مليار دولار من Bybit في 21 فبراير 2025.
في 26 فبراير، نسب مكتب التحقيقات الفيدرالي (FBI) الهجوم رسميًا إلى كوريا الشمالية، وصنّف النشاط تحت اسم TraderTraitor.
رصد المحققون نقل الأصول المسروقة عبر آلاف عناوين المحافظ وعدة شبكات بلوكتشين.
حادثة Binance البالغة 6.3 مليار دولار في 2026
رفعت الحادثة الأخيرة المبلغ عنها مستوى المخاطر كثيرًا.
في 29 أكتوبر 2026، تعرضت Binance، وفقًا للتقارير، لسرقة عملات مشفرة تجاوزت قيمتها 6 مليارات دولار.
في 31 أكتوبر، نسب مكتب التحقيقات الفيدرالي السرقة رسميًا إلى كوريا الشمالية، وحدد اسم العملية بـ TraderTraitor.
بحسب مكتب التحقيقات الفيدرالي، كان المهاجمون يحولون الأصول المسروقة أساسًا إلى إيثيريوم، مع توقع غسل المزيد منها عبر منصات التمويل اللامركزي (DeFi) وخدمات مبادلة العملات المشفرة الفورية.
وقالت Binance أيضًا إنها رتبت نحو 6.34 مليار دولار لتغطية الخسائر المبلغ عنها، وإنها تعمل مع شركاء في القطاع لتجميد الأصول المتضررة.
هذه ليست مجرد حادثة أمنية أخرى لمنصة تداول. إنها تُظهر حجم التعرض المالي الذي قد ينجم عن اختراق مهاجمين متطورين للبنية التحتية الحيوية للأصول الرقمية.
👉 كيف يعمل هؤلاء القراصنة فعليًا؟
ما يثير قلقي على وجه الخصوص هو أن هذه العمليات لا تبدأ دائمًا بهجوم مباشر على البنية التحتية لمحافظ منصة التداول.
أحيانًا تكون نقطة الدخول موظفًا عاديًا.
تشمل الأساليب التي أُبلغ عنها:
الهندسة الاجتماعية: ينتحل المهاجمون صفة مسؤولي توظيف أو أصحاب عمل أو شركاء تجاريين أو جهات اتصال موثوقة، للوصول إلى الموظفين وأجهزتهم.
نشر البرمجيات الخبيثة: قد تؤدي البرمجيات الضارة ومهام البرمجة إلى اختراق أجهزة الكمبيوتر وكشف بيانات اعتماد حساسة.
استهداف الموظفين: يصبح الأفراد الذين لديهم إمكانية الوصول إلى الأنظمة الداخلية وإدارة المحافظ والموافقة على المعاملات أهدافًا ثمينة.
التوظيف التقني الوهمي: يُقال إن عناصر مرتبطة بكوريا الشمالية استخدمت هويات مزيفة للحصول على وظائف عن بُعد في شركات دولية.
غسل العملات المشفرة: تُنقل الأصول المسروقة عبر محافظ متعددة وخدمات مبادلة وشبكات بلوكتشين، لجعل التحقيقات أكثر تعقيدًا.
وصف تحذير مشترك للأمن السيبراني صدر في سبتمبر 2026 حملة WaterPlum، التي استهدفت متخصصي تقنية المعلومات عبر فرص عمل مزيفة.
أفاد التحذير بأنه جرى اختراق ما لا يقل عن 30,000 جهاز في أكثر من 100 دولة، وأكثر من 7,000 محفظة عملات مشفرة، وسرقة عملات مشفرة تُقدّر بنحو 10.71 مليون دولار، وذلك بين ديسمبر 2025 ويوليو 2026.
فكر في الأمر للحظة.
قد يصبح مطور يبحث عن وظيفة عن بُعد، دون علمه، بوابةً إلى البنية التكنولوجية الأوسع لمؤسسة ما.
👉 السؤال الأهم: لماذا لا تستطيع الوكالات الدولية اعتقال هؤلاء القراصنة؟
هنا تصبح القصة أكثر تعقيدًا بكثير.
لدينا وكالات مثل مكتب التحقيقات الفيدرالي والإنتربول وقوات الشرطة الوطنية وأجهزة الاستخبارات وشركات متخصصة في التحقيقات على البلوكتشين.
يمكنها التحقيق في الهجمات وتحديد تحركات المحافظ المشبوهة ونشر التحذيرات وفرض العقوبات، بل وحتى توجيه اتهامات جنائية.
لكن أيًا من هذه الإجراءات لا يضع مشتبهًا به تلقائيًا خلف القضبان.
هناك عدة أسباب.
@ قد يكون القراصنة موجودين فعليًا خارج نطاق سلطة الدولة التي تجري التحقيق
وفقًا للائحة الاتهام الصادرة عن وزارة العدل الأمريكية عام 2021، ارتبط ثلاثة قراصنة كوريين شماليين على صلة بالجيش بعمليات شملت مجموعة Lazarus وAPT38.
وزعمت لائحة الاتهام أن بعض هؤلاء العناصر كانوا متمركزين في دول منها الصين وروسيا.
وهذا يخلق مشكلة كبيرة تتعلق بالاختصاص القضائي.
قد يمتلك محقق أمريكي أدلة ضد مشتبه به، لكن إذا كان ذلك الشخص موجودًا فعليًا في دولة أخرى، فلا يمكن لمكتب التحقيقات الفيدرالي دخول تلك الدولة ببساطة واعتقاله.
تحتاج الوكالة المحققة إلى تعاون الدولة التي يوجد فيها المشتبه به.
ومن دون هذا التعاون، قد يبقى أمر الاعتقال دون تنفيذ لسنوات.
@ كوريا الشمالية منطقة اختصاص قضائي بالغة الصعوبة أمام أجهزة إنفاذ القانون الدولية
لننظر إلى الوضع العملي.
إذا حدد المحققون مشتبهًا به يُعتقد أنه يعمل من كوريا الشمالية، فكيف يمكنهم الوصول إليه فعليًا؟
لا يمكنهم ببساطة إرسال فريق اعتقال إلى الأراضي الكورية الشمالية.
إنهم بحاجة إلى تعاون قانوني دولي، وإمكانية الوصول إلى المشتبه به، وإجراءات قانونية قابلة للتنفيذ.
قد تجعل العلاقات السياسية والعقوبات والقيود الدبلوماسية وغياب التعاون العملي هذه القضايا بالغة الصعوبة.
وهذا أحد أسباب أن تحديد قرصان مرتبط بكوريا الشمالية لا يعني بالضرورة إمكانية اعتقاله.
@ نسبة الهجوم إلى جهة ما لا تعادل إثبات المسؤولية الجنائية لفرد بعينه
هناك تمييز مهم آخر.
قد تخلص وكالة ما إلى أن هجومًا إلكترونيًا مرتبط بمجموعة Lazarus استنادًا إلى أوجه التشابه بين البرمجيات الخبيثة والبنية التحتية والأنماط التشغيلية وتحركات المحافظ والمعلومات الاستخباراتية.
لكن إثبات أن فردًا معينًا ارتكب جريمة بعينها بنفسه يتطلب مستوى مختلفًا من الأدلة.
على المحققين إثبات ما يلي:
من الذي تحكم فعليًا في الأنظمة المخترقة؟
من الذي بدأ المعاملات أو أجازها؟
من الذي تحكم في المحافظ التي استقبلت الأموال المسروقة؟
ما الأدلة التي تربط المشتبه به بالعملية؟
هل يمكن تقديم هذه الأدلة في المحكمة، وهل تصمد أمام التدقيق القانوني؟
لا يكشف عنوان البلوكتشين تلقائيًا عن الهوية الحقيقية لمالكه في العالم الواقعي.
قد تكون نسبة الهجوم إلى جهة ما مقنعة من الناحية التقنية، لكنها تظل بحاجة إلى أدلة إضافية للملاحقة الجنائية.
@ تتحرك العملات المشفرة أسرع من الإجراءات القانونية الدولية
ربما يكون هذا أحد أخطر التحديات.
عندما تنتقل العملات المشفرة المسروقة عبر محافظ ومنصات تداول وجسور وتطبيقات لامركزية متعددة، يتعين على المحققين تتبع حركة الأصول عبر ولايات قضائية عدة.
وقد يحتاجون إلى التواصل مع منصات تداول مختلفة ووحدات الاستخبارات المالية والجهات التنظيمية وأجهزة إنفاذ القانون.
لكل دولة قوانينها وإجراءاتها ومتطلباتها الخاصة لتجميد الأصول أو مصادرتها.
وبحلول الوقت الذي يصل فيه طلب رسمي إلى ولاية قضائية أخرى، قد تكون الأموال قد انتقلت مرات عديدة.
يوفر البلوكتشين سجلًا دائمًا للمعاملات، لكنه لا يضمن أن يتمكن المحققون من تحديد الأشخاص الذين يتحكمون في المحافظ على الفور.
@ استخدام الوسطاء يجعل التحقيقات أكثر صعوبة
شملت العمليات المرتبطة بكوريا الشمالية أيضًا وسطاء وغاسلي أموال في دول ثالثة.
وقد يساعد هؤلاء الوسطاء في:
تحويل العملات المشفرة إلى عملات تقليدية.
فتح حسابات في منصات التداول باستخدام هويات مزيفة.
نقل الأموال عبر شبكات مالية مختلفة.
توفير إمكانية الوصول إلى الخدمات المالية الدولية.
إخفاء الصلة بين السرقة الأصلية والمستلم النهائي.
وهذا يضيف طبقة أخرى تفصل القراصنة الأصليين عن الأموال.
قد ينجح المحققون في تحديد وسيط أو تجميد محفظة، دون الوصول فورًا إلى الأفراد الذين خططوا للهجوم الأصلي ونفذوه.
@ التعاون الدولي ليس سريعًا أو متسقًا دائمًا
تخيل سرقة تشمل منصة تداول في دولة، وقرصانًا يعمل من دولة أخرى، وخوادم موجودة في دولة ثالثة، وعملة مشفرة مسروقة تنتقل عبر منصات مسجلة في عدة ولايات قضائية أخرى.
أي دولة تتولى قيادة التحقيق؟
من لديه صلاحية تجميد الأصول؟
أي وكالة تجمع الأدلة؟
من يحاكم المشتبه بهم؟
ليست هذه أسئلة بسيطة.
سلط تحليل أجراه مركز الدراسات الاستراتيجية والدولية عام 2026 الضوء على الصعوبات الناجمة عن تشتت اللوائح الدولية وبطء التعاون عبر الحدود وغياب نظام منسق بالكامل للتحقيق في العائدات الإجرامية المرتبطة بالعملات المشفرة وتجميدها ومصادرتها.
المشكلة ليست أن الوكالات الدولية لا تفعل شيئًا، بل إن سلطتها وقدرتها العملية على التحرك موزعتان عبر الحدود الوطنية.
👉 هل تمكنت الوكالات الدولية فعلًا من تحديد هوية أي من هؤلاء القراصنة وتوجيه اتهامات إليهم؟
نعم. وهذا تمييز مهم.
في سبتمبر 2018، وجهت وزارة العدل الأمريكية اتهامًا إلى المبرمج الكوري الشمالي بارك جين هيوك على خلفية مؤامرة مزعومة شملت سرقة بنك بنغلاديش وهجوم WannaCry والهجوم على Sony Pictures.
في فبراير 2021، أعلنت وزارة العدل الأمريكية توجيه اتهامات إضافية إلى ثلاثة مبرمجين كوريين شماليين على صلة بالجيش:
بارك جين هيوك
جون تشانغ هيوك
كيم إيل
كما نشر مكتب التحقيقات الفيدرالي إشعارًا بالبحث عن بارك جين هيوك.
لكن هناك فرقًا كبيرًا بين توجيه اتهام إلى شخص واعتقاله فعليًا.
ويحدد إشعار البحث الصادر عن مكتب التحقيقات الفيدرالي أن آخر مكان معروف لبارك هو كوريا الشمالية.
وهذا يوضح الصعوبة الأساسية: يستطيع المحققون تحديد المشتبه بهم وبناء القضايا والحصول على أوامر الاعتقال وفرض العقوبات، لكن إلقاء القبض عليهم فعليًا يظل تحديًا منفصلًا.
وفي الوقت نفسه، حققت السلطات الدولية نجاحًا أكبر في ملاحقة الوسطاء وشبكات التوظيف التقني الاحتيالية ووسطاء غسل الأموال الموجودين خارج كوريا الشمالية.
بعبارة أخرى، لا تقتصر الاستجابة الدولية على محاولة اعتقال القراصنة أنفسهم، بل تستهدف أيضًا الشبكات المالية والتشغيلية التي تتيح لهم العمل.
👉 لماذا يكون تجميد العملات المشفرة المسروقة أسهل من اعتقال الأشخاص الذين يقفون وراء السرقة؟
هذا تمييز ينبغي لكل مستثمر في العملات المشفرة أن يفهمه.
عندما يحدد المحققون أموالًا مسروقة محفوظة لدى منصة تداول مركزية، قد يتمكنون من مطالبة المنصة بتجميد الأصول المعنية.
لكن عندما تُنقل هذه الأصول إلى محافظ ذاتية الحفظ أو بروتوكولات لامركزية أو خدمات تعمل في ولايات قضائية محدودة التعاون، يصبح الوضع أصعب بكثير.
تأمل ثلاثة سيناريوهات مختلفة:
__ يحدد المحققون محفظةً، وتنتقل الأموال إلى منصة تداول مركزية متعاونة. وقد تتاح فرصة لتجميد الأصول.
__ تنتقل الأموال عبر عدة تطبيقات لامركزية وخدمات تعمل عبر سلاسل مختلفة. وتصبح عملية التتبع أكثر تعقيدًا.
__ يحدد المحققون تحركات المحفظة، لكنهم لا يستطيعون تحديد هوية المتحكمين بعناوين الوجهة. وقد يعرفون إلى أين ذهبت الأموال دون أن يعرفوا من يتحكم بها فعليًا.
ولهذا تحتاج شركات تحليل البلوكتشين ومنصات التداول وأجهزة إنفاذ القانون إلى العمل معًا على نحو متزايد.
يُظهر كل من تحذير مكتب التحقيقات الفيدرالي بشأن Bybit في فبراير 2025 وتحذيره بشأن Binance في أكتوبر 2026 أهمية التعاون مع منصات التداول ومشغلي البنية التحتية للبلوكتشين وخدمات التمويل اللامركزي.
👉 ما الذي ينبغي لمنصات تداول العملات المشفرة أن تتعلمه من هذا العقد؟
أعتقد أن على القطاع أن ينظر إلى ما هو أبعد من أمن المحافظ الأساسي.
قد تكمن أكبر نقاط الضعف في الأنظمة المحيطة بهذه المحافظ.
إليك خمسة مجالات تستحق اهتمامًا جادًا:
✅ موافقات مستقلة على المعاملات
ينبغي أن تتطلب عمليات السحب الكبيرة موافقات مستقلة متعددة، بدلًا من الاعتماد على نظام واحد أو موظف واحد قد يتعرض للاختراق.
✅ أمن الموظفين والمطورين
يُعد التحقق من الخلفيات وأمن الأجهزة وتقييد الصلاحيات والتدقيق الدقيق في الشيفرات الخارجية أمورًا أساسية.
✅ مراقبة المعاملات في الوقت الفعلي
ينبغي أن تؤدي أنماط السحب غير المعتادة ونشاط المحافظ المشبوه والتغييرات غير المتوقعة في سلوك المعاملات إلى تنبيهات فورية.
✅ آليات الاستجابة للطوارئ
ينبغي لمنصات التداول وضع إجراءات واضحة لتعليق عمليات السحب والتنسيق مع مشغلي البلوكتشين وطلب تجميد الأصول.
✅ عمليات تدقيق أمنية مستقلة
ينبغي أن تشمل مراجعات الأمن البنية التحتية لتوقيع المعاملات بأكملها، والصلاحيات الداخلية، وسلاسل توريد البرمجيات، وعمليات التكامل مع الجهات الخارجية.
✅ ملاحظتي الأخيرة: التحدي الحقيقي هو المساءلة
بعد دراسة هذه الحوادث، لا أعتقد أن أكبر سؤال أمني في قطاع العملات المشفرة يقتصر على ما إذا كانت منصة تداول أخرى ستتعرض للاختراق.
سيظل هذا الخطر قائمًا دائمًا.
السؤال الأهم هو ما إذا كان القطاع وأجهزة إنفاذ القانون الدولية قادرين على العمل معًا بسرعة كافية لتحديد هوية المهاجمين وتعطيل شبكاتهم المالية واستعادة الأصول المسروقة، وفي نهاية المطاف تقديم المسؤولين إلى المحكمة.
يُظهر المسار الممتد من بنك بنغلاديش عام 2016 إلى Bybit عام 2025 وحادثة Binance المبلغ عنها في أكتوبر 2026 مدى التغير الكبير الذي طرأ على مشهد التهديدات.
لكن ثمة فرقًا بين تتبع معاملة وتحديد هوية مجموعة قرصنة وإثبات المسؤولية الجنائية لفرد واعتقال ذلك الشخص فعليًا.
هذه أربعة تحديات منفصلة.
ولعل هذه هي الحقيقة الأكثر إزعاجًا في الجريمة الإلكترونية الحديثة: يستطيع العالم رؤية مليارات الدولارات وهي تتحرك عبر بلوكتشين شفاف، ومع ذلك قد يعجز عن إيداع المسؤولين خلف القضبان.
ينبغي أن يكون هذا تذكيرًا لمستثمري العملات المشفرة بأن الشفافية واللامركزية والتكنولوجيا المتقدمة لا تضمن الأمن تلقائيًا.
يحتاج القطاع إلى ضوابط داخلية أقوى وتعاون دولي أفضل ومساءلة حقيقية. فاستعادة الأموال المسروقة مهمة، لكن منع الهجوم التالي أهم.
#BinanceToResumePhaseOneOfWithdrawals #BinanceHadAlreadyCovered$6BofHackLoss #FBIConfirmsNorthKoreaIsResponsibleForBinanceCryptoHack #BinanceSAFUFundTransferCompleted7499BTC #BinanceRecovery90% of stolen assets
