في 29 أكتوبر 2026، تعرضت Binance لحادث أمني خطير ومتطور للغاية. ما كان ينبغي أن يحدث ذلك، ونعتذر عن القلق والاضطرابات وحالة عدم اليقين التي تسبب بها لمستخدمينا وشركائنا والقطاع عموماً.
مسؤوليتنا الأساسية هي حماية المستخدمين. ستتحمل Binance الأثر المالي للأموال المسروقة، وليس مستخدمونا. وقد خصصنا بالفعل أكثر من 100% من الأموال اللازمة لتغطية الخسائر. وحتى 31 أكتوبر 2026، أُعيدت 98% من الأصول المتأثرة من الرموز، ويمكن التحقق من ذلك في صفحة إثبات الاحتياطيات (Proof of Reserves). ونعمل حالياً على شراء الأصول المتبقية، التي تقل سيولتها.
أثرت الحادثة في أصول رقمية بقيمة تقارب 6.340 مليار دولار أمريكي. وحتى تاريخ هذا التحديث، جُمّدت أو اعتُرضت أصول رقمية بقيمة تقارب 2.850 مليار دولار أمريكي، وهي تخضع للتسوية ولتقلبات أسعار السوق.
اتخذنا إجراءات فورية لاحتواء الحادثة وتعزيز الأنظمة المعنية. وأغلقنا نقاط الوصول التي حددنا استخدامها في الهجوم. وأعدنا بناء الأنظمة التي شملها مسار الهجوم أو استبدلناها. كما فرضنا ضوابط أكثر صرامة على الأجهزة، وعززنا ضوابط المخاطر لخدمات المحافظ، ووسّعنا نطاق رصد السلوكيات غير المعتادة بالذكاء الاصطناعي (AI).
هذا تقريرنا الأولي. نعرض فيه ما نعرفه حتى الآن والتحسينات التي نفذناها بالفعل. ولا يزال التحقيق مستمرًا، وستكون نتائجنا خاضعة لمراجعة مستقلة إضافية. وستظل بعض التفاصيل التقنية سرية لمنع الجهات الضارة من استخدامها للتخطيط لهجمات. ونعمل مع شركات مستقلة متخصصة في الأمن لإجراء مراجعة إضافية.
تشير أحدث المعلومات المنشورة من مكتب التحقيقات الفيدرالي الأمريكي (FBI) إلى مسؤولية جمهورية كوريا الشعبية الديمقراطية عن هذه الحادثة.
نشارك هذا التقرير الأولي لأن الأمن يتحسن عندما يتعلم القطاع ويتبادل المعارف بشكل جماعي.
ما حدث في 29 أكتوبر
تطور الهجوم بسرعة عبر عدة شبكات.
استغل المهاجم وصولًا غير مصرح به إلى خدمة داخلية لتوقيع معاملات المحافظ، من أجل بدء عمليات خارج إجراءات السحب المعتادة.
بين الساعة 20:05 والساعة 20:09 بالتوقيت العالمي المنسق (UTC)، أرسلت خمس محافظ ساخنة تابعة لـ Binance مبلغ 233,46 مليون XRP إلى عنوان يتحكم فيه المهاجم.
أرسلت المحافظ الساخنة التابعة لـ Binance على Solana وOptimism ما يقارب 970.500 SOL و44,2 مليون OP إلى عناوين يتحكم فيها المهاجم.
لاحقًا، تلقّت Binance تنبيهًا داخليًا يتعلق بتحويلات كبيرة الحجم وبدأت التحقيق على الفور.
أرسلت إحدى المحافظ الساخنة التابعة لـ Binance مبلغ 18.270 BTC إلى عنوان يتحكم فيه المهاجم.
بعد ذلك، استخدم المهاجم خدمة التوقيع لاستغلال آلية التفويض EIP-7702 في Ethereum. تتيح EIP-7702 للحساب تفويض حقوق تنفيذ محددة إلى عقد ذكي من دون كشف مفتاحه الخاص. وفي هذه الحالة، استخدم المهاجم هذه الآلية لمنح عقد ذكي يتحكم فيه حقوق تنفيذ جزئية على محفظة ساخنة تابعة لـ Binance.
بدأت Binance فورًا عدة إجراءات للاحتواء، منها تعليق عمليات السحب للحد من خروج مزيد من الأموال، والتنسيق مع الشركاء لتجميد الرموز المتأثرة، واتخاذ تدابير لإلغاء الأذونات غير المصرح بها. وأتاحت هذه الجهود تجميد أصول بقيمة إجمالية قدرها 2.850 مليار دولار أمريكي.
ومع ذلك، لم يكن تعليق عمليات السحب وحده كافيًا لوقف جميع التحركات غير المصرح بها للأصول. فقد كانت تفويضات EIP-7702 الضارة موجودة بالفعل على البلوك تشين (on-chain)، وتعمل باستقلال عن البنية التحتية المعتادة لعمليات السحب في Binance.
أرسل المهاجمون 50 معاملة توقيع للتلاعب برقم nonce الخاص بالحساب وإنشاء تفويضات ضارة. وبعد إنشائها، أتاحت لهم هذه التفويضات مواصلة تحويل الأصول باستقلال عن البنية التحتية المعتادة لعمليات السحب في Binance. لذلك، اضطرت Binance إلى تنفيذ معاملات إضافية لإلغاء هذه التفويضات على البلوك تشين.
انطوت عملية الاحتواء على تعقيدات تقنية إضافية. فبما أن المحفظة الساخنة كانت تستخدم الحوسبة متعددة الأطراف (MPC)، لم يكن هناك مفتاح خاص واحد يمكن استخدامه لإلغاء تفويضات EIP-7702 الضارة فورًا. لذلك، طوّر الفريق إجراءً متخصصًا لإلغاء هذه التفويضات ونفّذه، وهو ما استغرق وقتًا أطول. كذلك، لم يؤدِ تعليق عمليات السحب وإيقاف خدمات المحافظ الساخنة تلقائيًا إلى إبطال التفويضات القائمة على البلوك تشين.
أطالت هذه التحديات الوقت اللازم لاحتواء التحركات غير المصرح بها للأصول بالكامل. ونحن نراجع عملية الاستجابة للحوادث، ونطاق سياسات التوقيع، وضوابط المحافظ الساخنة، فضلًا عن تحديد فرص لتعزيز قدرتنا على الاستجابة السريعة للتهديدات المستقبلية.
تأكدت آخر عملية تحويل غير مصرح بها، والبالغ مجموعها 2.961,9 ETH، على البلوك تشين عند الساعة 23:56 بالتوقيت العالمي المنسق (UTC). وكان قد سبق بث المعاملة، وظلت معلقة قبل تأكيدها. ولم تُرصد أي تحويلات غير مصرح بها جديدة بعد هذه العملية.
في الساعة 00:10 بالتوقيت العالمي المنسق (UTC) من يوم 30 أكتوبر 2026، نفذت Binance تفويضًا جديدًا من المحفظة الساخنة Binance14 إلى عنوان الصفر، ما أدى إلى إزالة رمز تفويض EIP-7702.
التحضير للهجوم
يشير تحقيقنا الحالي إلى أن ما حدث كان حملة متطورة ومتعددة المراحل. ولم يكن اختراقًا منفردًا أو مجرد حادثة انتحال هوية (phishing). جمع المهاجمون بين تقنيات متنوعة، شملت الهندسة الاجتماعية عبر مقابلات عمل وهمية، وتنزيل برامج ضارة، واختراق أدوات داخلية للذكاء الاصطناعي، واختراق الأجهزة، واستخدام أسلوب متقدم لتفويض المعاملات.
يونيو 2026: هجوم على سلسلة توريد البرمجيات
نزّل المهندس A، من فريق DevOps للمحافظ، نسخة معدّلة من برنامج تثبيت Homebrew لتثبيت أداة برمجة شهيرة تعتمد على الذكاء الاصطناعي، بعد البحث عنها باستخدام محرك بحث.
رصد فريق الأمن لدينا هذا النشاط غير المعتاد، واستبدل الجهاز وجدّد جميع بيانات الاعتماد ذات الصلة كإجراء احترازي. ومع ذلك، تعرّضت محطة عمل المهندس A ومحطات عمل زملائه المرتبطين بفريق البنية التحتية للمحافظ لهجوم المهاجم.
خلال عام 2026، رصد فريق الأمن في Binance 57 تهديدًا إلكترونيًا محتملًا مرتبطًا بكوريا الشمالية ومنعها. وتعكس هذه المحاولات التهديد المستمر الذي تمثله الجهات المدعومة من الدول لصناعة العملات المشفرة.
تشمل الأساليب المستخدمة مقابلات عمل احتيالية، وبرامج ضارة متنكرة في هيئة أدوات شائعة للمطورين، وحزمًا برمجية وإضافات متصفح مخترقة، وتطبيقات مزيفة لمؤتمرات الفيديو، وحملات هندسة اجتماعية مصممة لسرقة بيانات الاعتماد أو تثبيت برامج ضارة للوصول عن بُعد.
سبتمبر 2026: الهندسة الاجتماعية
تواصل شخص انتحل صفة مدير مشاريع مع مهندس البرمجيات B عبر منصة شرعية للبحث عن وظائف. وكان للمهندس B ملف شخصي على المنصة يشير فيه إلى خبرته في Binance.
رتّب مدير المشاريع المزعوم مقابلة أولى مع ممثل عن الموارد البشرية، تلتها مقابلة ثانية مع شخص ادّعى أنه الرئيس التنفيذي لشركة وهمية.
خلال المقابلة الأولى، أجرى ممثل الموارد البشرية المزعوم مكالمة فيديو مباشرة مع مهندس البرمجيات B. ولتعزيز الثقة، شارك المحاور معه حسابًا على وسائل التواصل الاجتماعي يتضمن صورًا ومقاطع فيديو شخصية منشورة على المنصة. وكانت هذه الطريقة أكثر تطورًا وخداعًا من أساليب الهندسة الاجتماعية التي رُصدت سابقًا.
أُجريت المقابلة الثانية عبر تطبيق شهير للمراسلة الاجتماعية. وقرب نهاية المقابلة، طُلب من المهندس B تنزيل «اختبار تقني» على كمبيوتر العمل، وكان يحتوي على مستودع للشفرة البرمجية الضارة. وتضمن المستودع شفرة ضارة نُفّذت أثناء عملية الإعداد وأطلقت سلسلة من الأنشطة غير المصرح بها.
استخدمت البرمجية الضارة أساليب متطورة للتمويه والمراوغة، منها استبدال مكوّن شرعي في أداة تطوير بنسخة ضارة لتنفيذ الأوامر وإنشاء اتصال بخادم خارجي يتحكم فيه المهاجم.
لم ترصد أدوات حماية الأجهزة في ذلك الوقت البرمجية الضارة ذات الثغرة صفرية اليوم (zero-day). كما اتخذ المهاجم خطوات لإخفاء النشاط الضار ومحو آثار الاختراق، ما صعّب اكتشافه والتحقيق فيه لاحقًا.
نفّذ البرنامج النصي الخطوات التالية باستخدام أساليب التمويه للتهرب من آليات الكشف الأمني:
نص
CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
MODIFY pyenv_ → 3.414 B
DELETE .../libexec/pyenv (3.344 B)
← حذف ملف pyenv الشرعي
RENAME pyenv_ → pyenv (3.414 B)
← استبداله بنسخة ضارة
DELETE /opt/homebrew/bin/pyenv (3.414 B)
ln (إنشاء رابط رمزي جديد) + spawn zsh
20 أكتوبر 2026: استخدام أداة داخلية للذكاء الاصطناعي كنقطة دخول
استغل المهاجم كمبيوتر المهندس B المخترق واستخدم أداة داخلية للذكاء الاصطناعي للسيطرة على المهندس A، من فريق DevOps للمحافظ، وعلى مهندس برمجيات آخر في فريق المحافظ يُشار إليه بالمهندس C.
بعد ذلك بوقت قصير، اكتشف المهاجم أن كمبيوتر المهندس A يحتوي على رمز مميز بصلاحيات نشر الحاويات.
29 أكتوبر 2026: الوصول إلى عمليات توقيع المحافظ
في 29 أكتوبر، بين الساعة 17:15 والساعة 19:56 بالتوقيت العالمي المنسق (UTC)، سجّل المهاجم الدخول إلى كمبيوتر مهندس البرمجيات C، واستخدم بيانات الاعتماد المسروقة من المهندس A، من فريق DevOps للمحافظ، ونشر حاوية ونفّذ برنامجًا نصيًا ضارًا لبدء الهجوم.
الإجراءات التي اتخذناها
حتى 3 نوفمبر 2026، اتخذنا الإجراءات التالية:
أعدنا بناء نظام المحافظ المتأثر في بيئة جديدة.
أعدنا بناء أداة الذكاء الاصطناعي الداخلية المتأثرة وعززنا ضوابط الوصول إليها.
استبدلنا الأجهزة المتأثرة.
عطّلنا بيانات الاعتماد والرموز المميزة المرتبطة بالمهندسين المتأثرين.
أكملنا تحليلات أمنية معززة لأجهزة جميع الموظفين.
حسّنا رصد السلوكيات غير المعتادة باستخدام الذكاء الاصطناعي.
عززنا ضوابط المخاطر لخدمات المحافظ.
نعمل مع السلطات وشركات استخبارات البلوك تشين وشركاء القطاع لتتبع الأصول المتأثرة وتجميدها.
سنواصل تعزيز إجراءاتنا مع تقدم التحقيق. وقد نفذنا ونعمل على تنفيذ تدابير أمنية مختلفة ستظل سرية لمنع الجهات الضارة من اختراق أنظمتنا.
الخطوات التالية
نتخذ فورًا الإجراءات التالية:
1. مراجعة مستقلة للأمن السيبراني
نتعاقد مع خبراء مستقلين في الأمن السيبراني لإجراء مراجعة شاملة للحادثة والتحقق من نتائجنا والتوصية بتدابير إضافية.
سيُسترشد بنطاق هذه المراجعة ونتائجها في أنشطتنا المستمرة للتصحيح والتحسين.
2. زيادة الاستثمار في الأمن والوقاية باستخدام الذكاء الاصطناعي
نعزز استثماراتنا في الكشف المدعوم بالذكاء الاصطناعي، وحماية الأجهزة، وتأمين بيئات التطوير، ورصد السلوكيات غير المعتادة.
3. صندوق لأبحاث الأمن ومبادرات للقطاع
نعمل على إنشاء صندوق لأبحاث الأمن وتطوير مبادرات مخصصة بالتعاون مع شركات رائدة في مجال الذكاء الاصطناعي، وجهات عاملة في القطاع، وشركات متخصصة في الأمن، مع التركيز بشكل خاص على أمن الذكاء الاصطناعي في بيئات البلوك تشين.
سنواصل مشاركة المعلومات بشكل استباقي كلما توفرت.