النتائج الأولية وتحديث الاستجابة
في 29 أكتوبر 2026، تعرضت Binance لحادث أمني خطير ومتطور للغاية. ما كان ينبغي أن يحدث ذلك، ونعتذر عن الإزعاج والاضطراب وحالة عدم اليقين التي تسبب بها لمستخدمينا وشركائنا والقطاع عموماً.
مسؤوليتنا الأولى هي حماية المستخدمين. تتحمل Binance الأثر المالي للأموال المسروقة، وليس مستخدمونا. وقد خصصنا بالفعل أكثر من 100% من الأموال اللازمة لتغطية الخسارة. وحتى اليوم، 3 نوفمبر 2026، تمت إعادة 98% من الأصول المتأثرة القائمة على الرموز، ويمكن التحقق منها على صفحة إثبات الاحتياطيات الخاصة بنا. ونحن بصدد شراء الأصول المتبقية، وهي أقل سيولة.
تأثرت أصول افتراضية بقيمة تقارب 6,34 مليار دولار أمريكي بالحادث. وحتى هذا التحديث، جُمّدت أو اعتُرضت أصول افتراضية بقيمة تقارب 2,85 مليار دولار أمريكي، مع مراعاة التسوية وتقلبات أسعار السوق.
اتخذنا إجراءات فورية لاحتواء الحادث وتعزيز الأنظمة المعنية. وأغلقنا نقاط الدخول التي حُدد أنها استُخدمت في الهجوم. كما أعدنا بناء الأنظمة التي وصل إليها مسار الهجوم أو استبدلناها. وطبّقنا أيضًا ضوابط أكثر صرامة على الأجهزة، وعزّزنا ضوابط المخاطر لخدمات المحافظ، ووسّعنا نطاق رصد الشذوذ السلوكي القائم على الذكاء الاصطناعي.
هذا تقريرنا الأولي. وهو يغطي ما نعرفه اليوم والتحسينات التي أجريناها بالفعل. ولا يزال التحقيق جاريًا، وستكون نتائجنا خاضعة لمراجعة مستقلة إضافية. وستظل بعض التفاصيل التقنية سرية لمنع الجهات الخبيثة من استخدامها للتخطيط لهجمات. ونحن نستعين بشركات أمن مستقلة لإجراء مراجعة إضافية.
تشير أحدث المعلومات الصادرة عن مكتب التحقيقات الفيدرالي (FBI) (https:// www. fbi.gov/investigate/cyber/alerts/2026/north-korea-responsible-for-6-billion-binance-attack) إلى أن جمهورية كوريا الشعبية الديمقراطية مسؤولة عن هذا الحادث.
نشارك هذا التقرير الأولي لأن أمن القطاع يتحسن عندما يتعلم أفراده معًا.
ما الذي حدث في 29 أكتوبر
تطور الهجوم بسرعة عبر شبكات متعددة.
استغل المهاجم وصولًا غير مصرح به إلى خدمة داخلية لتوقيع المحافظ، وبدأ معاملات خارج مسار السحب المعتاد.
بين الساعة 17:05 و17:09 (بتوقيت برازيليا)، أرسلت خمس محافظ ساخنة تابعة لـ Binance مبلغ 233,46 مليون XRP إلى عنوان يتحكم فيه المهاجم.
أرسلت المحافظ الساخنة التابعة لـ Binance على شبكتي Solana وOptimism نحو 970.500 SOL و44,2 مليون OP إلى عناوين يتحكم فيها المهاجم.
ثم تلقت Binance تنبيهًا داخليًا بشأن تحويلات كبيرة، وبدأت التحقيق فورًا.
أرسلت إحدى المحافظ الساخنة التابعة لـ Binance مبلغ 18.270 BTC إلى عنوان يتحكم فيه المهاجم.
استخدم المهاجم بعد ذلك خدمة التوقيع لاستغلال آلية التفويض EIP-7702 في Ethereum. يتيح EIP-7702 للحساب تفويض بعض حقوق التنفيذ إلى عقد ذكي دون كشف المفتاح الخاص. وفي هذه الحالة، استخدم المهاجم هذه الآلية لمنح عقد ذكي يتحكم فيه حقوق تنفيذ جزئية على إحدى المحافظ الساخنة التابعة لـ Binance.
بدأت Binance فورًا عدة تدابير للاحتواء، منها تعليق عمليات السحب للحد من خروج مزيد من الأموال، والتنسيق مع الشركاء لتجميد الرموز المتأثرة، واتخاذ إجراءات لإلغاء الأذونات غير المصرح بها. وأسفرت هذه الجهود عن تجميد أصول بقيمة إجمالية بلغت 2,85 مليار دولار أمريكي.
لكن تعليق عمليات السحب وحده لم يكن كافيًا لوقف جميع التحركات غير المصرح بها للأصول. فقد كانت تفويضات EIP-7702 الخبيثة موجودة على السلسلة وتعمل بشكل مستقل عن البنية التحتية المعتادة لعمليات السحب في Binance. وأرسل المهاجمون 50 معاملة توقيع للتلاعب بـ NONCE الحساب وإنشاء تفويضات خبيثة. وبعد إنشائها، مكّنت هذه التفويضات المهاجمين من مواصلة نقل الأصول بشكل مستقل عن البنية التحتية المعتادة لعمليات السحب في Binance. وكان على Binance إجراء معاملات إضافية لإلغاء هذه التفويضات على السلسلة.
انطوت عملية الاحتواء على تعقيدات تقنية إضافية. فبما أن المحفظة الساخنة كانت تستخدم الحوسبة متعددة الأطراف (MPC)، لم يكن هناك مفتاح خاص واحد يمكن استخدامه لإلغاء تفويضات EIP-7702 الخبيثة فورًا. لذلك، طوّر الفريق إجراءً متخصصًا لإلغاء هذه التفويضات ونفّذه، ما استلزم وقتًا إضافيًا. كذلك، لم يؤدِ تعليق عمليات السحب وإيقاف خدمات المحافظ الساخنة تلقائيًا إلى إبطال التفويضات القائمة على السلسلة.
أطالت هذه التحديات الوقت اللازم لاحتواء التحركات غير المصرح بها للأصول بالكامل. ونحن نراجع عملية الاستجابة للحوادث، ونطاق سياسات التوقيع، وضوابط المحافظ الساخنة، ونعمل على تحديد فرص لتعزيز قدرتنا على الاستجابة السريعة لتهديدات مماثلة مستقبلًا.
اكتمل آخر تحويل غير مصرح به، بقيمة 2.961,9 ETH، على السلسلة عند الساعة 20:56 (بتوقيت برازيليا). وكان قد بُثّ مسبقًا وظل معلقًا قبل اكتماله لاحقًا. ولم تُرصد أي تحويلات أخرى غير مصرح بها بعد ذلك.
في الساعة 21:10 (بتوقيت برازيليا) من يوم 29 أكتوبر 2026، نفّذت Binance تفويضًا جديدًا من المحفظة الساخنة Binance 14 إلى عنوان الصفر، فأزالت بذلك شفرة تفويض EIP-7702.
التحضير للهجوم
يشير تحقيقنا الحالي إلى أن هذه كانت حملة هجوم متطورة متعددة المراحل. لم يكن الأمر اختراقًا منفردًا أو حادثة تصيد بسيطة. جمع المهاجمون بين مجموعة متنوعة من التقنيات، بما في ذلك الهندسة الاجتماعية عبر مقابلات توظيف وهمية، وتنزيل برامج ضارة، واختراق أدوات الذكاء الاصطناعي الداخلية، واختراق نقاط النهاية، واستخدام أسلوب متقدم للتصريح بالمعاملات.
يونيو 2026 — هجوم على سلسلة التوريد. نزّل المهندس A من فريق DevOps للمحافظ نسخة معدّلة من Homebrew ( isc.sans.edu/diary/32942) لتثبيت أداة برمجة شائعة تعمل بالذكاء الاصطناعي، بعد البحث عنها في محرك بحث. رصد فريق الأمن لدينا هذا النشاط غير المعتاد، واستبدل الجهاز، وغيّر جميع بيانات الاعتماد المرتبطة به كإجراء أمني استباقي. لكن دور المهندس A وهويات زملائه المرتبطين به في فريق البنية التحتية للمحافظ لدينا كُشفت للمخترق.
خلال عام 2026، رصد فريق الأمن في Binance ومنع 57 حالة تهديد إلكتروني يُشتبه في ارتباطها بكوريا الشمالية. وتعكس هذه المحاولات التهديد المستمر الذي تمثله الجهات المدعومة من دول، والتي تستهدف قطاع العملات المشفرة. وتشمل الأساليب مقابلات عمل احتيالية، وبرامج ضارة متنكرة في هيئة أدوات شائعة للمطورين، مثل Claude وCodex، وحزم برامج وإضافات متصفح مخترقة، وتطبيقات مزيفة لعقد مؤتمرات الفيديو، وحملات هندسة اجتماعية تهدف إلى سرقة بيانات الاعتماد أو تثبيت برمجيات خبيثة للوصول عن بُعد.
سبتمبر — الهندسة الاجتماعية. تواصل شخص ينتحل صفة مدير مشاريع مع مهندس البرمجيات B عبر منصة شرعية للبحث عن وظائف. وكان للمهندس B ملف على المنصة يذكر خبرته في Binance. رتّب مدير المشاريع المزعوم جولة مقابلة أولى مع ممثل للموارد البشرية، تلتها جولة ثانية مع شخص ادّعى أنه الرئيس التنفيذي لشركة وهمية.
في الجولة الأولى، أجرى ممثل الموارد البشرية المزعوم مقابلة مباشرة عبر الفيديو مع مهندس البرمجيات B. وشارك المحاور معه حسابًا على إحدى منصات التواصل الاجتماعي، يتضمن صورًا ومقاطع فيديو شخصية منشورة على المنصة، بهدف بناء الثقة. كان هذا الأسلوب أكثر تطورًا وخداعًا من أساليب الهندسة الاجتماعية التي رُصدت سابقًا.
أُجريت المقابلة الثانية عبر تطبيق شائع للمراسلة الاجتماعية. وقرب نهاية المقابلة، طُلب من المهندس B تنزيل «مهمة» تتضمن مستودعًا لشفرة برمجية خبيثة على حاسوب العمل الخاص به. واحتوى المستودع على شفرة خبيثة نُفذت أثناء عملية الإعداد، مطلقةً سلسلة من الأنشطة غير المصرح بها.
استخدمت البرمجية الخبيثة تقنيات متطورة للتمويه والتملص، بما في ذلك استبدال مكوّن شرعي في أداة تطوير بنسخة خبيثة لتنفيذ الأوامر وإنشاء اتصال بخادم خارجي يتحكم فيه المهاجم. ولم ترصد أدوات حماية نقاط النهاية الأمنية البرمجية الخبيثة التي استغلت ثغرة يوم الصفر في ذلك الوقت. كما اتخذ المهاجم خطوات لإخفاء النشاط الخبيث وإزالة آثار الاختراق، ما صعّب عملية الرصد والتحقيق اللاحق.
نفّذ البرنامج النصي الخطوات أدناه، مستخدمًا تقنيات التمويه لتفادي الرصد الأمني.
إنشاء /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
تعديل pyenv_ → 3,414 B
حذف .../libexec/pyenv (3,344 B) ← إزالة pyenv السليم
إعادة تسمية pyenv_ → pyenv (3,414 B) ← استبداله بنسخة خبيثة
حذف /opt/homebrew/bin/pyenv (3,414 B)
ln (إنشاء رابط رمزي جديد) + تشغيل zsh
20 أكتوبر — استخدام أداة داخلية للذكاء الاصطناعي كنقطة انطلاق. استغل المهاجم حاسوب المهندس B المخترق، واستخدم أداة داخلية للذكاء الاصطناعي للسيطرة على المهندس A من فريق DevOps للمحافظ، وعلى مهندس برمجيات آخر للمحافظ، هو C. وسرعان ما اكتشف المهاجم أن حاسوب المهندس A من فريق DevOps للمحافظ يحتوي على رمز صلاحية لنشر الحاويات.
29 أكتوبر — الوصول إلى عمليات توقيع المحافظ. في 29 أكتوبر، بين الساعة 17:15 و19:56، وصل المهاجم إلى حاسوب مهندس البرمجيات C، واستخدم بيانات الاعتماد المسروقة الخاصة بالمهندس A من فريق DevOps للمحافظ، ونشر حاوية، وشغّل برنامجًا نصيًا خبيثًا لبدء الهجوم.
ما الذي فعلناه
أعدنا بناء نظام المحافظ المتأثر في بيئة جديدة.
أعدنا بناء أداة الذكاء الاصطناعي الداخلية المتأثرة وضوابط الوصول إليها.
استبدلنا الأجهزة المتأثرة.
ألغينا بيانات الاعتماد والرموز المرتبطة بالمهندسين المتأثرين.
أكملنا عمليات فحص أمني معززة على جميع أجهزة الموظفين.
عزّزنا رصد الشذوذ السلوكي القائم على الذكاء الاصطناعي.
عزّزنا ضوابط المخاطر لخدمات المحافظ.
عملنا مع جهات إنفاذ القانون وشركات استخبارات البلوك تشين وشركاء القطاع لتعقّب الأصول المتأثرة وتجميدها.
سنواصل تعزيز تدابيرنا مع تقدم التحقيق. وقد طبّقنا ونعمل على تطبيق تدابير أمنية متعددة ستظل سرية لمنع الجهات الخبيثة من اختراق أمننا.
إجراءات إضافية
نتخذ الإجراءات التالية على الفور.
مراجعة مستقلة للأمن السيبراني
نستعين بخبراء وشركات مستقلين في مجال الأمن السيبراني لإجراء مراجعة شاملة للحادث، والتحقق من نتائجنا، والتوصية بتدابير إضافية. وسيوجّه نطاق هذه المراجعة ونتائجها أعمال المعالجة المستمرة التي نقوم بها.زيادة الاستثمار في أمن الذكاء الاصطناعي والوقاية
نزيد استثماراتنا في الرصد القائم على الذكاء الاصطناعي، وحماية نقاط النهاية، وأمن بيئات التطوير، ومراقبة الشذوذ السلوكي.صندوق أبحاث الأمن ومبادرات القطاع
نعمل على إنشاء صندوق لأبحاث الأمن ومبادرات مستهدفة بالتعاون مع شركات رائدة في مجال الذكاء الاصطناعي، وجهات عاملة في القطاع، وشركات أمنية، مع التركيز على أمن الذكاء الاصطناعي في بيئات البلوك تشين.
سنواصل مشاركة المعلومات بشكل استباقي كلما توفرت لدينا.