في 30 أكتوبر 2026 (بتوقيت المنطقة الزمنية UTC+8)، شهدت Binance حادثة أمنية خطيرة ومعقدة للغاية. ما كان ينبغي أن يحدث ذلك. نعتذر بشدة عن القلق والاضطراب وحالة عدم اليقين التي سببتها هذه الحادثة لمستخدمينا وشركائنا والقطاع بأكمله.
حماية المستخدمين هي مسؤوليتنا الأولى. ستتحمل Binance كامل خسائر الأموال المسروقة في هذه الحادثة، ولن يتحملها المستخدمون. وقد احتفظنا بأصول تزيد قيمتها على 100% من قيمة الأموال لتغطية الخسائر الناجمة عن هذه الحادثة. وحتى 31 أكتوبر 2026 (بتوقيت المنطقة الزمنية UTC+8)، استُكمل تعويض 98% من أصول الرموز المتأثرة، ويمكن للمستخدمين التحقق من ذلك عبر صفحة إثبات الاحتياطيات. ونحن نعمل على شراء ما تبقى من الأصول الأقل سيولة.
تُقدَّر قيمة الأصول الرقمية المتورطة في هذه الحادثة بنحو 6.34 مليار دولار أمريكي. وحتى تاريخ هذا التحديث، جرى تجميد أو اعتراض أصول رقمية بقيمة تقارب 2.85 مليار دولار أمريكي، ولا تزال الأرقام الدقيقة بحاجة إلى تدقيق إضافي، وقد تتأثر بتقلبات أسعار السوق.
لقد اتخذنا فوراً إجراءات للسيطرة على أثر الحادث وتعزيز الحماية الأمنية للأنظمة ذات الصلة. وقد تم إغلاق جميع نقاط الاختراق التي استُغلت في هذا الهجوم، كما أُعيد بناء الأنظمة المتورطة في مسار الهجوم أو استبدالها. وإضافة إلى ذلك، عززنا ضوابط الأجهزة، وأنظمة التحكم في المخاطر الخاصة بخدمات المحافظ، ووسّعنا قدرات الكشف عن السلوك غير الطبيعي المعتمد على الذكاء الاصطناعي.
هذا تقريرنا الأولي للتحقيق، ويغطي ما نعرفه حتى الآن، بالإضافة إلى التحسينات التي أُنجزت بالفعل. لا يزال التحقيق جارياً، وستخضع نتائجه لمراجعة مستقلة إضافية. ولمنع المهاجمين الخبيثين من استغلال المعلومات ذات الصلة والتخطيط لمزيد من الهجمات، ستظل بعض التفاصيل التقنية سرية. ونحن ندعو شركة أمن مستقلة لإجراء مراجعة إضافية.
وفقاً لأحدث المعلومات الصادرة عن مكتب التحقيقات الفيدرالي الأمريكي (FBI)، فإن جمهورية كوريا الشعبية الديمقراطية (DPRK) مسؤولة عن هذه الحادثة.
نحن ننشر هذا التقرير لأن الارتقاء بمستوى الأمن لا يتحقق إلا عندما يتعلم القطاع بأكمله ويتبادل الخبرات معاً.
مراجعة أحداث 30 أكتوبر
انتشر هذا الهجوم بسرعة عبر عدة شبكات بلوكشين.
استغل المهاجم وصولاً غير مصرح به إلى خدمة توقيع المحافظ الداخلية لبدء معاملات تجاوزت عملية السحب المعتادة.
بين الساعة 04:05 و04:09 (بتوقيت UTC+8)، حوّلت خمسة من محافظ باينانس الساخنة 233.46 مليون XRP إلى عناوين يسيطر عليها المهاجم.
حوّلت محافظ باينانس الساخنة على شبكتي Solana وOptimism نحو 970,500 SOL و44.2 مليون OP على التوالي إلى عناوين يسيطر عليها المهاجم.
بعد ذلك، تلقّت باينانس تنبيهاً داخلياً بشأن عمليات التحويل الكبيرة، وبدأت التحقيق فوراً.
حوّلت محافظ باينانس الساخنة 18,270 BTC إلى عنوان يسيطر عليه المهاجم.
بعد ذلك، استغل المهاجم خدمة التوقيع عبر آلية التفويض EIP-7702 الخاصة بإيثريوم. تتيح EIP-7702 للحسابات تفويض جزء من صلاحيات التنفيذ إلى عقد ذكي دون الكشف عن المفتاح الخاص. وفي هذه الحادثة، استخدم المهاجم هذه الآلية لتمكين العقد الذكي الذي يسيطر عليه من الحصول على جزء من صلاحيات التنفيذ الخاصة بمحافظ باينانس الساخنة المتأثرة.
وعلى الفور، فعّلت باينانس عدة إجراءات احتواء طارئة، بما في ذلك إيقاف السحب لمنع المزيد من تسرب الأموال، والتنسيق مع الشركاء لتجميد الرموز المتأثرة، واتخاذ خطوات لإلغاء الصلاحيات غير المصرح بها. وقد أدت هذه الإجراءات إلى تجميد أصول بقيمة تقارب 2.85 مليار دولار أمريكي.
ومع ذلك، فإن إيقاف السحب وحده لم يكن كافياً لمنع جميع عمليات نقل الأصول غير المصرح بها. فقد كان تفويض EIP-7702 الخبيث موجوداً بالفعل على السلسلة، ويعمل بشكل مستقل عن بنية السحب المعتادة في باينانس. وقد قدّم المهاجم 50 معاملة موقعة للتلاعب بالرقم التسلسلي للحساب (account nonce) وإنشاء تفويضات خبيثة. وبمجرد إنشاء هذه التفويضات، أصبح بإمكان المهاجم تجاوز البنية المعتادة للسحب في باينانس والاستمرار في نقل الأصول. وكان على باينانس تنفيذ معاملات إضافية على السلسلة لإلغاء هذه التفويضات.
كما أن احتواء تأثير الحادثة شمل تعقيدات تقنية أخرى. وبسبب اعتماد المحافظ الساخنة المتأثرة على تقنية الحوسبة متعددة الأطراف (MPC)، لم يكن هناك مفتاح خاص واحد يمكن استخدامه مباشرة لإلغاء تفويضات EIP-7702 الخبيثة على الفور. ولذلك احتاج الفريق إلى وقت إضافي لتصميم وتنفيذ عملية إلغاء خاصة بشكل منفصل. بالإضافة إلى ذلك، فإن إيقاف السحب وإغلاق خدمة المحفظة الساخنة لا يؤديان تلقائياً إلى إبطال التفويضات الموجودة مسبقاً على السلسلة.
أدت هذه التحديات إلى إطالة الوقت اللازم للسيطرة الكاملة على عمليات نقل الأصول غير المصرح بها. ونحن نراجع عملية الاستجابة للطوارئ، ونطاق تغطية استراتيجية التوقيع، وآليات التحكم في المحافظ الساخنة، مع تحديد المجالات التي يمكن تعزيزها لرفع قدرتنا على الاستجابة السريعة للتهديدات الأمنية في المستقبل.
تم تأكيد آخر عملية نقل غير مصرح بها بقيمة 2,961.9 ETH نهائياً على السلسلة عند الساعة 07:56 (بتوقيت UTC+8). وقد كانت هذه المعاملة قد بُثّت سابقاً إلى الشبكة وظلت قيد الانتظار حتى تم تأكيدها نهائياً. ولم يُرصد بعد ذلك أي عمليات نقل غير مصرح بها أخرى.
في 30 أكتوبر 2026 الساعة 08:10 (بتوقيت UTC+8)، نفذت باينانس عبر المحفظة الساخنة Binance14 عملية تفويض جديدة إلى عنوان فارغ، ما أدى إلى إزالة رمز التفويض EIP-7702.
عملية الإعداد للهجوم
تشير نتائج التحقيق الحالية إلى أن هذه الحادثة كانت هجوماً معقداً متعدد المراحل، وليست اختراقاً منفرداً ومعزولاً ولا مجرد هجوم تصيد بسيط. وقد جمع المهاجم بين عدة أساليب تقنية، بما في ذلك تنفيذ هجمات هندسة اجتماعية عبر مقابلات توظيف وهمية، وتنزيل برمجيات خبيثة، واختراق أدوات الذكاء الاصطناعي الداخلية، والسيطرة على الأجهزة الطرفية، وأساليب متقدمة لتفويض المعاملات.
يونيو 2026 — هجوم على سلسلة التوريد. قام المهندس A من فريق تطوير وتشغيل محافظ钱包 بتنزيل برنامج تثبيت Homebrew مُعدّل بعد البحث عنه عبر محرك بحث بهدف تثبيت أداة شائعة للبرمجة بالذكاء الاصطناعي. اكتشف فريقنا الأمني هذا السلوك غير المعتاد بشكل استباقي، واستبدل الجهاز، كما قام بتدوير جميع بيانات الاعتماد ذات الصلة. ومع ذلك، ظلت معلومات الوظيفة الخاصة بالمهندس A، بالإضافة إلى معلومات زملائه المعنيين في فريق بنية المحافظ التحتية، مكشوفة للمهاجم.
منذ عام 2026، رصد فريق أمن باينانس ومنع 57 حادثة تهديد سيبراني يُشتبه في ارتباطها بكوريا الشمالية. وتعكس هذه الهجمات التهديد المستمر الذي يشكله المهاجمون المدعومون من دول على قطاع العملات المشفرة. وتشمل أساليب الهجوم ذات الصلة مقابلات توظيف وهمية، وبرمجيات خبيثة متنكرة في شكل أدوات تطوير شائعة، وحزم برمجية وإضافات متصفح معدلة، وتطبيقات اجتماعات فيديو مزيفة، وهجمات هندسة اجتماعية تهدف إلى سرقة بيانات اعتماد الحسابات أو نشر برمجيات خبيثة للوصول عن بُعد.
سبتمبر — هجوم هندسة اجتماعية. تلقى المهندس البرمجي B عبر منصة توظيف رسمية رسالة من شخص انتحل صفة مدير مشروع. وقد أشار المهندس B في ملفه الشخصي على المنصة إلى خبرته العملية في باينانس. بصفته مدير المشروع، رتّب الطرف الآخر الجولة الأولى من المقابلات بمشاركة ممثل عن الموارد البشرية؛ ثم رتب جولة ثانية، حيث ادّعى المُقابل أنه الرئيس التنفيذي لتلك الشركة الوهمية.
في الجولة الأولى من المقابلة، أجرى الشخص الذي انتحل صفة ممثل الموارد البشرية مقابلة فيديو مباشرة مع المهندس B. ولتعزيز الثقة، شارك المُقابل أيضاً حسابه على وسائل التواصل الاجتماعي مع المهندس B، وكان حسابه يتضمن صوراً ومقاطع فيديو من حياته الشخصية. كانت هذه الطريقة أكثر تعقيداً وخداعاً من أساليب الهندسة الاجتماعية السابقة.
أُجريت الجولة الثانية من المقابلة عبر تطبيق دردشة اجتماعية شائع. ومع اقتراب المقابلة من نهايتها، طُلب من المهندس B تنزيل "واجب" يتضمن مستودع شيفرة على حاسوب العمل. احتوى هذا المستودع على شيفرة خبيثة كانت تُنفَّذ أثناء التثبيت، ما أدى إلى سلسلة من العمليات غير المصرح بها.
اعتمدت البرمجية الخبيثة على تقنيات معقدة لإخفاء الشيفرة وتجنب الاكتشاف، بما في ذلك استبدال مكوّن في أداة تطوير شرعية بنسخة خبيثة لتنفيذ الأوامر وإنشاء اتصال مع خادم خارجي يسيطر عليه المهاجم. في ذلك الوقت، فشلت أدوات الحماية الأمنية الطرفية في اكتشاف هذه البرمجية الخبيثة من نوع يوم الصفر. كما اتخذ المهاجم إجراءات لإخفاء السلوك الخبيث ومحو آثار الاختراق، ما زاد من صعوبة الاكتشاف والتحقيق اللاحق.
استخدم هذا البرنامج النصي تقنيات إخفاء الشيفرة لتجاوز عمليات الكشف الأمنية، ونفّذ العمليات التالية:
CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
MODIFY pyenv_ → 3,414 B
DELETE .../libexec/pyenv (3,344 B) ← remove the valid pyenv
RENAME pyenv_ → pyenv (3,414 B) ← replace it with a malicious version
DELETE /opt/homebrew/bin/pyenv (3,414 B)
ln (create a new symlink) + spawn zsh
20 أكتوبر — استخدام أداة ذكاء اصطناعي داخلية كنقطة انطلاق للهجوم. استغل المهاجم جهاز المهندس B المخترق للسيطرة على جهاز المهندس A، من فريق تطوير وتشغيل المحافظ، وكذلك جهاز المهندس C، وهو مهندس برمجيات آخر في فريق المحافظ، وذلك عبر أداة الذكاء الاصطناعي الداخلية. وسرعان ما اكتشف المهاجم أن جهاز المهندس A يحتوي على رمز مميز (Token) يمنح صلاحيات نشر الحاويات.
30 أكتوبر — التسلل إلى عملية توقيع المحافظ. خلال الفترة من 30 أكتوبر الساعة 01:15 إلى 03:56 (بتوقيت UTC+8)، سجّل المهاجم الدخول إلى جهاز المهندس C، واستخدم بيانات الاعتماد المسروقة من المهندس A لنشر حاوية وتنفيذ برنامج نصي خبيث، ما أدى إلى إطلاق هذا الهجوم.
الإجراءات التي اتخذناها
حتى 03 نوفمبر 2026، اتخذنا الإجراءات التالية:
إعادة بناء أنظمة المحافظ المتأثرة في بيئة جديدة بالكامل.
إعادة بناء أدوات الذكاء الاصطناعي الداخلية المتأثرة، وتعزيز ضوابط الوصول ذات الصلة.
استبدال الأجهزة المتأثرة.
إلغاء تفعيل بيانات الاعتماد والرموز المميزة الخاصة بالمهندسين المتأثرين.
الاستكمال الكامل لفحوصات أمنية معززة على جميع أجهزة الموظفين.
تعزيز قدرات الكشف عن السلوك غير الطبيعي المعتمد على الذكاء الاصطناعي.
تعزيز تدابير التحكم في مخاطر خدمات المحافظ.
التعاون مع جهات إنفاذ القانون، ومؤسسات استخبارات البلوكشين، وشركاء القطاع لتتبع الأصول المتأثرة وتجميدها.
ومع استمرار التحقيق، سنواصل تعزيز الإجراءات الأمنية المختلفة. وستظل بعض الإجراءات الأمنية التي أكملناها أو التي يجري تنفيذها سرية، لمنع المهاجمين الخبيثين من استغلال المعلومات ذات الصلة لاختراق دفاعاتنا الأمنية.
الإجراءات اللاحقة
سنمضي فوراً في الأعمال التالية:
إجراء مراجعة مستقلة للأمن السيبراني
نحن ندعو خبراء مستقلين من طرف ثالث في الأمن السيبراني لإجراء مراجعة شاملة لهذه الحادثة، والتحقق من نتائج تحقيقنا، وتقديم توصيات إضافية لتحسين الأمن. وسيكون نطاق هذه المراجعة ونتائجها أساساً لدعم جهودنا المستمرة في الإصلاح والمعالجة.
زيادة الاستثمار في أمن الذكاء الاصطناعي والوقاية
سنزيد استثماراتنا في مجالات مثل الكشف عن التهديدات المدعوم بالذكاء الاصطناعي، والحماية الطرفية، وأمن بيئات التطوير، ومراقبة السلوك غير الطبيعي.
إنشاء صندوق للبحث الأمني وتعزيز التعاون الصناعي
نعمل مع شركات رائدة في مجال الذكاء الاصطناعي، ومع جهات فاعلة في القطاع، ومع مؤسسات أمنية، للتحضير لإنشاء صندوق للبحث الأمني، وإطلاق مبادرة تركز على أمن الذكاء الاصطناعي في بيئات البلوكشين.
سنواصل مشاركة أحدث المعلومات المتوفرة لدينا بشكل استباقي.