في 30 أكتوبر 2026 (بتوقيت UTC+8)، تعرضت منصة Binance لحادث أمني خطير ومعقد للغاية. ما كان ينبغي أن يحدث هذا. نعتذر بشدة عن القلق والاضطراب وحالة عدم اليقين التي تسبب فيها هذا الحادث للمستخدمين والشركاء والقطاع بأكمله.
حماية المستخدمين هي مسؤوليتنا الأولى. ستتحمل Binance كامل خسائر الأموال المسروقة جراء هذا الحادث، ولن يتحملها المستخدمون. وقد احتفظنا بأموال تزيد قيمتها على 100% لتغطية الخسائر الناجمة عن الحادث. وحتى 31 أكتوبر 2026 (بتوقيت UTC+8)، استُكمل تعويض 98% من أصول الرموز المتأثرة، ويمكن للمستخدمين التحقق من ذلك عبر صفحة إثبات الاحتياطيات. ونعمل حاليًا على شراء الأصول المتبقية الأقل سيولة.
تبلغ قيمة الأصول الرقمية المتأثرة بهذا الحادث نحو 6.34 مليار دولار. وحتى تاريخ هذا التحديث، جُمّدت أو اعتُرضت أصول رقمية تبلغ قيمتها نحو 2.85 مليار دولار، ولا يزال المبلغ الدقيق بحاجة إلى مزيد من التحقق، وقد يتأثر بتقلبات أسعار السوق.
تحركنا فورًا لاحتواء أثر الحادث وتعزيز أمن الأنظمة المعنية. وقد أُغلقت جميع نقاط الاختراق التي استُغلت في هذا الهجوم، كما أُعيد إنشاء الأنظمة التي شملها مسار الهجوم أو استُبدلت. وإضافة إلى ذلك، عززنا ضوابط الأجهزة وأنظمة إدارة المخاطر لخدمات المحافظ، ووسعنا قدرات الكشف عن السلوكيات غير الطبيعية المدعومة بالذكاء الاصطناعي.
هذا تقريرنا الأولي عن التحقيق، ويغطي ما توصلنا إليه حتى الآن والتحسينات التي أنجزناها. ولا يزال التحقيق جاريًا، وستُخضع نتائجه لمراجعة مستقلة إضافية. وستظل بعض التفاصيل التقنية سرية لمنع المهاجمين من استغلال المعلومات للتخطيط لمزيد من الهجمات. ونحن ندعو شركات أمنية مستقلة لإجراء مراجعة إضافية.
وفقًا لـأحدث المعلومات الصادرة عن مكتب التحقيقات الفيدرالي الأمريكي (FBI)، فإن جمهورية كوريا الشعبية الديمقراطية (DPRK) مسؤولة عن هذا الحادث.
نصدر هذا التقرير لأن تحسين الأمن باستمرار يتطلب من القطاع بأكمله أن يتعلم ويتبادل الخبرات.
استعراض أحداث 30 أكتوبر
توسع هذا الهجوم بسرعة عبر عدة شبكات بلوك تشين.
استغل المهاجمون صلاحية الوصول التي حصلوا عليها دون إذن إلى خدمة توقيع المحافظ الداخلية، ونفذوا معاملات متجاوزين إجراءات السحب المعتادة.
بين الساعة 04:05 و04:09 (بتوقيت UTC+8)، حوّلت خمسة من المحافظ الساخنة لدى Binance ما مجموعه 233.46 مليون XRP إلى عناوين يتحكم بها المهاجمون.
حوّلت المحافظ الساخنة لدى Binance على شبكتي Solana وOptimism نحو 970,500 SOL و44.2 مليون OP على التوالي إلى عناوين يتحكم بها المهاجمون.
بعد ذلك، تلقّت Binance تنبيهًا داخليًا بشأن تحويل كبير، وبدأت التحقيق فورًا.
حوّلت المحفظة الساخنة لدى Binance 18,270 BTC إلى عنوان يتحكم به المهاجمون.
بعد ذلك، أساء المهاجمون استخدام آلية التفويض EIP-7702 في Ethereum عبر خدمة التوقيع. تتيح EIP-7702 للحساب تفويض بعض صلاحيات التنفيذ إلى عقد ذكي دون كشف المفتاح الخاص. وفي هذا الحادث، استغل المهاجمون الآلية لمنح عقد ذكي يتحكمون به بعض صلاحيات التنفيذ على المحافظ الساخنة المتأثرة لدى Binance.
باشرت Binance على الفور تنفيذ مجموعة من تدابير الاستجابة الطارئة، شملت تعليق عمليات السحب لمنع المزيد من تدفق الأموال إلى الخارج، والتنسيق مع الشركاء لتجميد الرموز المتأثرة، واتخاذ خطوات لإلغاء الصلاحيات غير المصرح بها. وقد أدت هذه الإجراءات إلى تجميد أصول تبلغ قيمتها نحو 2.85 مليار دولار.
لكن تعليق عمليات السحب وحده لم يكن كافيًا لمنع جميع عمليات نقل الأصول غير المصرح بها. فقد كانت تفويضات EIP-7702 الخبيثة موجودة بالفعل على السلسلة، وتعمل بشكل مستقل عن البنية التحتية المعتادة لعمليات السحب لدى Binance. وأرسل المهاجمون 50 معاملة موقّعة للتلاعب برقم nonce الخاص بالحساب وإنشاء تفويضات خبيثة. وبمجرد إنشاء هذه التفويضات، تمكن المهاجمون من تجاوز البنية التحتية المعتادة لعمليات السحب لدى Binance ومواصلة نقل الأصول. وكان على Binance تنفيذ معاملات إضافية على السلسلة لإلغاء هذه التفويضات.
كما واجهت عملية احتواء الحادث تعقيدات تقنية أخرى. فنظرًا إلى أن المحافظ الساخنة المتأثرة تستخدم تقنية الحوسبة متعددة الأطراف (MPC)، لم يكن هناك مفتاح خاص واحد يمكن استخدامه مباشرةً لإلغاء تفويضات EIP-7702 الخبيثة فورًا. لذلك احتاج الفريق إلى وقت إضافي لوضع إجراء إلغاء خاص وتنفيذه بصورة منفصلة. إضافة إلى ذلك، لم يؤدِ تعليق عمليات السحب وإيقاف خدمات المحافظ الساخنة تلقائيًا إلى إبطال التفويضات الموجودة مسبقًا على السلسلة.
أدت هذه التحديات إلى إطالة الوقت اللازم للسيطرة الكاملة على عمليات نقل الأصول غير المصرح بها. ونحن نراجع إجراءات الاستجابة الطارئة للحادث، ونطاق تغطية استراتيجيات التوقيع، وآليات التحكم في المحافظ الساخنة، ونعمل على تحديد الجوانب التي يمكن تعزيزها لتحسين قدرتنا على الاستجابة السريعة للتهديدات الأمنية مستقبلًا.
تأكدت نهائيًا على السلسلة آخر عملية تحويل غير مصرح بها، وقدرها 2,961.9 ETH، عند الساعة 07:56 (بتوقيت UTC+8). وكانت المعاملة قد بُثت إلى الشبكة في وقت سابق وظلت قيد الانتظار إلى أن تأكدت نهائيًا. ولم تُرصد أي تحويلات أخرى غير مصرح بها بعد ذلك.
في 30 أكتوبر 2026، الساعة 08:10 (بتوقيت UTC+8)، نفذت Binance عملية تفويض جديدة عبر المحفظة الساخنة Binance14 إلى عنوان فارغ، ما أدى إلى مسح شفرة التفويض EIP-7702.
التحضير للهجوم
تشير نتائج التحقيق الحالية إلى أن هذا الحادث كان عملية هجوم معقدة متعددة المراحل، وليس اختراقًا منفردًا أو هجوم تصيّد بسيطًا. استخدم المهاجمون مجموعة متنوعة من الأساليب التقنية، شملت هجمات الهندسة الاجتماعية عبر مقابلات توظيف وهمية، وتنزيل برمجيات خبيثة، واختراق أدوات الذكاء الاصطناعي الداخلية، واختراق الأجهزة الطرفية، وأساليب متقدمة لتفويض المعاملات.
يونيو 2026 — هجوم على سلسلة التوريد. بحث المهندس A من فريق تطوير وتشغيل المحافظ عن أداة برمجة شائعة تعمل بالذكاء الاصطناعي عبر محرك بحث، ونزّلها بهدف تثبيتها، لكنه حصل على مثبّت Homebrew تم العبث به. رصد فريق الأمن لدينا هذا النشاط غير المعتاد بشكل استباقي، واستبدل الجهاز، وغيّر جميع بيانات الاعتماد ذات الصلة. ومع ذلك، كانت معلومات وظيفة المهندس A، ومعلومات زملائه المعنيين في فريق البنية التحتية للمحافظ، قد كُشفت للمهاجمين.
منذ بداية عام 2026، رصد فريق الأمن في Binance 57 حادثة تهديد إلكتروني مشتبهًا في ارتباطها بكوريا الشمالية ومنعها. وتعكس هذه الهجمات استمرار التهديد الذي يشكّله المهاجمون المدعومون من دول لقطاع العملات المشفرة. وشملت أساليب الهجوم مقابلات توظيف وهمية، وبرمجيات خبيثة متنكرة في هيئة أدوات تطوير شائعة، وحزمًا برمجية وإضافات متصفح تم العبث بها، وتطبيقات وهمية لعقد مؤتمرات الفيديو، وهجمات هندسة اجتماعية تهدف إلى سرقة بيانات اعتماد الحسابات أو نشر برمجيات خبيثة للوصول عن بُعد.
سبتمبر — هجوم هندسة اجتماعية. تواصل شخص انتحل صفة مدير مشروع مع المهندس B عبر منصة توظيف موثوقة. وكان المهندس B قد ذكر خبرته في العمل لدى Binance في ملفه الشخصي على المنصة. رتّب الطرف الآخر، بصفته مدير المشروع، مقابلة أولى شارك فيها ممثل للموارد البشرية؛ ثم رتّب مقابلة ثانية، وادّعى الشخص الذي أجراها أنه الرئيس التنفيذي للشركة الوهمية.
خلال المقابلة الأولى، أجرى الشخص الذي انتحل صفة ممثل الموارد البشرية مقابلة فيديو مباشرة مع المهندس B. ولتعزيز الثقة، شارك المُقابِل حساباته على وسائل التواصل الاجتماعي مع المهندس B، وكانت حساباته على المنصة تحتوي على صور ومقاطع فيديو من حياته الشخصية. كان هذا الأسلوب أكثر تعقيدًا وخداعًا من أساليب الهندسة الاجتماعية السابقة.
أُجريت المقابلة الثانية عبر تطبيق شائع للمحادثات الاجتماعية. وقرب نهاية المقابلة، طُلب من المهندس B تنزيل «مهمة» تتضمن مستودعًا برمجيًا على جهاز العمل. احتوى المستودع على تعليمات برمجية خبيثة نُفذت أثناء التثبيت، ما أدى إلى سلسلة من العمليات غير المصرح بها.
استخدمت البرمجية الخبيثة تقنيات متقدمة لتمويه التعليمات البرمجية وتفادي الكشف، شملت استبدال أحد مكونات أداة تطوير موثوقة بنسخة خبيثة لتنفيذ الأوامر والتواصل مع خوادم خارجية يتحكم بها المهاجمون. في ذلك الوقت، لم تتمكن أدوات حماية الأجهزة الطرفية من اكتشاف هذه البرمجية الخبيثة المستغلة لثغرة يوم صفري. كما اتخذ المهاجمون تدابير لإخفاء الأنشطة الخبيثة ومحو آثار الاختراق، ما زاد من صعوبة الكشف والتحقيق اللاحق.
تجاوز هذا البرنامج النصي آليات الكشف الأمني باستخدام تقنيات تمويه التعليمات البرمجية، ونفّذ العمليات التالية:
CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
MODIFY pyenv_ → 3,414 B
DELETE .../libexec/pyenv (3,344 B) ← إزالة pyenv السليم
RENAME pyenv_ → pyenv (3,414 B) ← استبداله بنسخة خبيثة
DELETE /opt/homebrew/bin/pyenv (3,414 B)
ln (إنشاء رابط رمزي جديد) + تشغيل zsh
20 أكتوبر — استخدام أداة ذكاء اصطناعي داخلية نقطةَ انطلاق للهجوم. استغل المهاجمون حاسوب المهندس B الذي تم اختراقه للتحكم، عبر أداة ذكاء اصطناعي داخلية، في أجهزة المهندس A من فريق تطوير وتشغيل المحافظ ومهندس آخر لبرمجيات المحافظ، هو المهندس C. وسرعان ما اكتشف المهاجمون وجود رمز على حاسوب المهندس A يتيح صلاحية نشر الحاويات.
30 أكتوبر — اختراق عمليات توقيع المحافظ. بين الساعة 01:15 و03:56 يوم 30 أكتوبر (بتوقيت UTC+8)، سجّل المهاجمون الدخول إلى حاسوب المهندس C، ونشروا حاوية باستخدام بيانات اعتماد مسروقة من المهندس A، ثم نفذوا نصًا برمجيًا خبيثًا أطلق هذا الهجوم.
الإجراءات التي اتخذناها
حتى 3 نوفمبر 2026، اتخذنا الإجراءات التالية:
إعادة إنشاء أنظمة المحافظ المتأثرة في بيئة جديدة.
إعادة إنشاء أداة الذكاء الاصطناعي الداخلية المتأثرة وتعزيز ضوابط الوصول ذات الصلة.
استبدال الأجهزة المتأثرة.
إبطال بيانات الاعتماد والرموز المرتبطة بالمهندسين المتأثرين.
إكمال فحوصات أمنية معززة لجميع أجهزة الموظفين.
تعزيز قدرات الكشف عن السلوكيات غير الطبيعية المدعومة بالذكاء الاصطناعي.
تعزيز تدابير إدارة المخاطر لخدمات المحافظ.
التعاون مع جهات إنفاذ القانون ومؤسسات استخبارات البلوك تشين وشركاء القطاع لتتبع الأصول المتأثرة وتجميدها.
مع استمرار التحقيق، سنواصل تعزيز تدابيرنا الأمنية. وستظل بعض التدابير الأمنية التي أكملناها أو نعمل على تنفيذها سرية، لمنع المهاجمين من استغلال هذه المعلومات لاختراق دفاعاتنا الأمنية.
الخطوات التالية
سنبدأ فورًا العمل على ما يلي:
1. إجراء مراجعة مستقلة للأمن السيبراني
ندعو خبراء مستقلين من جهات خارجية في الأمن السيبراني إلى إجراء مراجعة شاملة لهذا الحادث، والتحقق من نتائج تحقيقنا، وتقديم توصيات إضافية لتحسين الأمن. وسيُسترشد بنطاق هذه المراجعة ونتائجها في مواصلة جهودنا لمعالجة أوجه القصور.
2. زيادة الاستثمار في أمن الذكاء الاصطناعي والوقاية
سنزيد استثماراتنا في مجالات مثل كشف التهديدات المدعوم بالذكاء الاصطناعي، وحماية الأجهزة الطرفية، وأمن بيئات التطوير، ومراقبة السلوكيات غير الطبيعية.
3. إنشاء صندوق لأبحاث الأمن وتعزيز التعاون في القطاع
نعمل مع شركات رائدة في مجال الذكاء الاصطناعي وجهات فاعلة في القطاع ومؤسسات أمنية للإعداد لإنشاء صندوق لأبحاث الأمن، وإطلاق مبادرات متخصصة تركز على أمن الذكاء الاصطناعي في بيئات البلوك تشين.
سنواصل مشاركة أحدث المعلومات التي نتوصل إليها بشكل استباقي.