في 29 أكتوبر 2026، تعرضت Binance لحادث أمني خطير ومتطور للغاية. ما كان ينبغي أن يحدث ذلك، ونعتذر عن الإزعاج والاضطراب وحالة عدم اليقين التي تسبب بها لمستخدمينا وشركائنا والقطاع عموماً.
مسؤوليتنا الأولى هي حماية المستخدمين. تتحمل Binance الأثر المالي للأموال المسروقة، وليس مستخدمونا. وقد خصصنا بالفعل أكثر من 100% من الأموال اللازمة لتغطية الخسارة. وحتى اليوم، 3 نوفمبر 2026، تمت إعادة 98% من الأصول المتأثرة من الرموز، ويمكن التحقق من ذلك عبر صفحة إثبات الاحتياطيات. ونحن بصدد شراء الأصول المتبقية، وهي أقل سيولة.
تأثرت أصول افتراضية بقيمة تقارب 6.34 مليار دولار أمريكي بالحادث. وحتى هذا التحديث، تم تجميد أو اعتراض أصول افتراضية بقيمة تقارب 2.85 مليار دولار أمريكي، مع خضوعها للتسوية وتقلبات أسعار السوق.
اتخذنا إجراءات فورية لاحتواء الحادث وتعزيز الأنظمة المعنية. تم إغلاق نقاط الدخول التي تم تحديد استخدامها في الهجوم. وأُعيد بناء الأنظمة التي تم الوصول إليها عبر مسار الهجوم أو استبدالها. كما قمنا بتنفيذ ضوابط أكثر صرامة للأجهزة، وضوابط محسنة للمخاطر لخدمات المحافظ، وتوسيع الكشف عن الشذوذ السلوكي المدعوم بالذكاء الاصطناعي.
هذا هو تقريرنا الأولي. وهو يغطي ما نعرفه اليوم وما قمنا بتحسينه بالفعل. لا يزال التحقيق جاريًا، وستظل نتائجنا خاضعة لمراجعة مستقلة إضافية. ستظل بعض التفاصيل التقنية سرية لمنع الجهات الخبيثة من استخدامها للتخطيط لهجمات. نحن بصدد التعاقد مع شركات أمنية مستقلة لإجراء تحليل إضافي.
تشير أحدث المعلومات الصادرة عن مكتب التحقيقات الفيدرالي (FBI) إلى أن جمهورية كوريا الشعبية الديمقراطية مسؤولة عن هذا الحادث.
نشارك هذا التقرير الأولي لأن الأمن يتحسن عندما يتعلم القطاع معًا.
ما حدث في 29 أكتوبر
تطور الهجوم بسرعة عبر عدة شبكات.
استغل المهاجم الوصول غير المصرح به إلى خدمة توقيع محافظ داخلية لبدء معاملات خارج عملية السحب المعتادة.
بين 17:05 و17:09 (بتوقيت برازيليا)، أرسلت خمس محافظ ساخنة تابعة لـ Binance ما قيمته 233.46 مليون XRP إلى عنوان يسيطر عليه المهاجم.
أرسلت المحافظ الساخنة التابعة لـ Binance على Solana وOptimism ما يقرب من 970,500 SOL و44.2 مليون OP إلى عناوين يسيطر عليها المهاجم.
تلقت Binance بعد ذلك تنبيهًا داخليًا بشأن التحويلات الكبيرة وبدأت التحقيق على الفور.
أرسلت محفظة ساخنة تابعة لـ Binance 18,270 BTC إلى عنوان يسيطر عليه المهاجم.
استخدم المهاجم بعد ذلك خدمة التوقيع لاستغلال آلية التفويض EIP-7702 الخاصة بـ Ethereum. يتيح EIP-7702 للحساب تفويض بعض حقوق التنفيذ إلى عقد ذكي دون كشف المفتاح الخاص. في هذه الحالة، استخدم المهاجم هذه الآلية لمنح عقد ذكي تحت سيطرته حقوق تنفيذ جزئية على محفظة ساخنة تابعة لـ Binance.
بدأت Binance على الفور عدة إجراءات احتواء، بما في ذلك تعليق السحوبات للحد من أي خروج إضافي للأموال، والتنسيق مع الشركاء لتجميد الرموز المتأثرة، واتخاذ إجراءات لإلغاء الأذونات غير المصرح بها. وقد أدت هذه الجهود إلى تجميد ما مجموعه 2.85 مليار دولار أمريكي من الأصول.
ومع ذلك، لم يكن تعليق السحوبات وحده قادرًا على إيقاف جميع تحركات الأصول غير المصرح بها. كانت تفويضات EIP-7702 الخبيثة موجودة على السلسلة وتعمل بشكل مستقل عن البنية التحتية المعتادة لسحوبات Binance. قدّم المهاجمون 50 معاملة توقيع للتلاعب بـ NONCE الخاص بالحساب وإنشاء تفويضات خبيثة بالتفويض. وبمجرد إنشائها، سمحت هذه التفويضات للمهاجمين بمواصلة تحريك الأصول بشكل مستقل عن البنية التحتية المعتادة لسحوبات Binance. احتاجت Binance إلى معاملات إضافية لإلغاء هذه التفويضات على السلسلة.
تضمنت عملية الاحتواء تعقيدات تقنية إضافية. نظرًا لأن المحفظة الساخنة كانت تستخدم الحوسبة متعددة الأطراف (MPC)، لم يكن هناك مفتاح خاص واحد يمكن استخدامه لإلغاء تفويضات EIP-7702 الخبيثة على الفور. لذلك، طوّر الفريق ونفذ إجراءً متخصصًا لإلغاء هذه التفويضات، وهو ما استغرق وقتًا إضافيًا. بالإضافة إلى ذلك، فإن تعليق السحوبات وإيقاف خدمات المحافظ الساخنة لم يكن يلغي تلقائيًا التفويضات الموجودة على السلسلة.
أدت هذه التحديات إلى إطالة الوقت اللازم لاحتواء تحركات الأصول غير المصرح بها بالكامل. نحن نراجع عملية الاستجابة للحوادث، وتغطية سياسات التوقيع، وضوابط المحافظ الساخنة، ونحدد فرصًا لتعزيز قدرتنا على الاستجابة بسرعة أكبر لتهديدات مماثلة في المستقبل.
تم الانتهاء من آخر تحويل غير مصرح به، بقيمة 2,961.9 ETH، على السلسلة عند 20:56 (برازيليا). كانت المعاملة قد بُثّت سابقًا وظلت معلقة قبل أن تُستكمل لاحقًا. ولم تُلاحظ أي تحويلات غير مصرح بها أخرى بعد ذلك.
في 21:10 (برازيليا) يوم 29 أكتوبر 2026، نفذت Binance تفويضًا جديدًا لمحفظة Binance الساخنة 14 إلى العنوان الصفري، مما أدى إلى إزالة رمز تفويض EIP-7702.
التحضير للهجوم
تشير تحقيقاتنا الحالية إلى أن هذه كانت حملة هجوم متطورة ومتعددة المراحل. لم تكن اختراقًا منفردًا معزولًا ولا حادث تصيّد بسيطًا. جمع المهاجمون مجموعة متنوعة من التقنيات، بما في ذلك الهندسة الاجتماعية عبر مقابلات توظيف مزيفة، وتنزيلات برمجيات خبيثة، واختراق أدوات الذكاء الاصطناعي الداخلية، واختراق نقاط النهاية، وطريقة متقدمة لتفويض المعاملات.
● يونيو 2026 — هجوم على سلسلة التوريد. قام المهندس A، من فريق DevOps للمحافظ، بتنزيل تثبيت تم العبث به من Homebrew لتثبيت أداة برمجة شائعة مدعومة بالذكاء الاصطناعي بعد البحث عنها في محرك بحث. اكتشف فريق الأمن لدينا الشذوذ، واستبدل الجهاز، وقام بتدوير جميع بيانات الاعتماد ذات الصلة كإجراء أمني استباقي. ومع ذلك، تم كشف دور المهندس A وهوية زملائه ذوي الصلة في فريق البنية التحتية للمحافظ لدينا للهاكر.
● على مدار عام 2026، اكتشف فريق أمن Binance ومنع 57 حالة من التهديدات السيبرانية المشتبه بارتباطها بكوريا الشمالية. تعكس هذه المحاولات التهديد المستمر الذي يشكله الفاعلون المدعومون من الدول الذين يستهدفون قطاع العملات المشفرة. وتشمل التقنيات مقابلات عمل احتيالية، وبرامج خبيثة متنكرة في صورة أدوات شائعة للمطورين مثل Claude وCodex، وحزم برمجية وامتدادات متصفح مخترقة، وتطبيقات اجتماعات فيديو مزيفة، وحملات هندسة اجتماعية مصممة لسرقة بيانات الاعتماد أو نشر برمجيات خبيثة للوصول عن بُعد.
● سبتمبر — الهندسة الاجتماعية. تم التواصل مع مهندس البرمجيات B عبر منصة توظيف شرعية من قبل شخص انتحل صفة مدير مشاريع. كان لدى مهندس البرمجيات B ملف شخصي على المنصة يذكر خبرته في Binance. ونظم مدير المشاريع المزعوم جولة أولى من المقابلة مع ممثل للموارد البشرية، تلتها جولة ثانية مع شخص ادعى أنه الرئيس التنفيذي لشركة وهمية.
○ في الجولة الأولى، أجرى ممثل الموارد البشرية المزعوم مقابلة فيديو مباشرة مع مهندس البرمجيات B. شارك معه المُقابِل حسابًا على شبكة اجتماعية، بما في ذلك صور ومقاطع فيديو شخصية منشورة على المنصة، بهدف بناء الثقة. وكان هذا أكثر تقدمًا وخداعًا من أساليب الهندسة الاجتماعية التي لوحظت سابقًا.
○ أُجريت المقابلة الثانية في تطبيق شائع للمراسلة الاجتماعية. قرب نهاية المقابلة، طُلب من المهندس B تنزيل “مهمة” تحتوي على مستودع رمز خبيث على جهاز العمل الخاص به. كان المستودع يحتوي على رمز خبيث تم تنفيذه أثناء عملية الإعداد، مما أدى إلى بدء سلسلة من الأنشطة غير المصرح بها.
○ استخدمت البرمجية الخبيثة تقنيات متطورة للإخفاء والتفادي، بما في ذلك استبدال مكوّن شرعي لأداة تطوير بإصدار خبيث لتنفيذ الأوامر وإنشاء اتصال مع خادم خارجي يسيطر عليه المهاجم. لم يتم اكتشاف البرمجية الخبيثة من اليوم صفر بواسطة أدوات الحماية الأمنية لنقاط النهاية في ذلك الوقت. كما اتخذ المهاجم خطوات لإخفاء النشاط الخبيث وإزالة آثار الاختراق، مما جعل الاكتشاف والتحقيق اللاحق أكثر صعوبة.
○ نفذ البرنامج النصي الخطوات أدناه، مطبقًا تقنيات الإخفاء لتجنب الاكتشاف الأمني.
CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
MODIFY pyenv_ → 3,414 B
DELETE .../libexec/pyenv (3,344 B) ← إزالة pyenv الشرعي
RENAME pyenv_ → pyenv (3,414 B) ← استبدالها بنسخة خبيثة
DELETE /opt/homebrew/bin/pyenv (3,414 B)ln (ينشئ رابطًا رمزيًا جديدًا) + spawn zsh
● 20 أكتوبر — استخدام أداة ذكاء اصطناعي داخلية كنقطة ارتكاز. استغل المهاجم جهاز المهندس B المخترق واستخدم أداة ذكاء اصطناعي داخلية للحصول على السيطرة على مهندس DevOps للمحافظ A ومهندس برمجيات آخر للمحافظ، C. وسرعان ما اكتشف المهاجم أن مهندس DevOps للمحافظ A كان لديه رمز إذن لنشر الحاويات على جهازه.
● 29 أكتوبر — الوصول إلى عمليات توقيع المحافظ. في 29 أكتوبر، بين 17:15 و19:56، وصل المهاجم إلى جهاز مهندس البرمجيات C، واستخدم بيانات الاعتماد المسروقة من مهندس DevOps للمحافظ A، ونشر حاوية، وشغّل برنامجًا نصيًا خبيثًا لبدء الهجوم.
ما فعلناه
حتى 2 نوفمبر 2026، اتخذنا الإجراءات التالية:
● أعدنا بناء نظام المحافظ المتأثر في بيئة جديدة.● أعدنا بناء أداة الذكاء الاصطناعي الداخلية المتأثرة وضوابط الوصول.● استبدلنا الأجهزة المتأثرة.● أوقفنا بيانات الاعتماد والرموز المتعلقة بالمهندسين المتأثرين.● أكملنا عمليات فحص أمنية محسنة على جميع أجهزة الموظفين.● عززنا الكشف عن الشذوذ السلوكي المدعوم بالذكاء الاصطناعي.● عززنا ضوابط المخاطر لخدمات المحافظ.● عملنا مع جهات إنفاذ القانون وشركات استخبارات البلوكشين وشركاء الصناعة لتتبع الأصول المتأثرة وتجميدها.
سنواصل تعزيز تدابيرنا مع تقدم التحقيق. هناك العديد من التدابير الأمنية التي نفذناها وننفذها والتي ستظل خاصة لمنع الجهات الخبيثة من المساس بأمننا.
إجراءات إضافية
نتخذ الإجراءات التالية فورًا.
تحليل مستقل للأمن السيبراني نقوم بتعيين خبراء مستقلين وشركات في الأمن السيبراني لإجراء تحليل شامل للحادث، والتحقق من نتائجنا، والتوصية بتدابير إضافية. سيُوجّه نطاق هذا التحليل ونتائجه عملنا المستمر في المعالجة.
زيادة الاستثمار في أمن الذكاء الاصطناعي ومنع الهجمات نحن نزيد الاستثمار في الكشف المدعوم بالذكاء الاصطناعي، وحماية نقاط النهاية، وأمن بيئة التطوير، ومراقبة الشذوذ السلوكي.
صندوق أبحاث الأمن ومبادرات القطاع نحن نعمل على إنشاء صندوق لأبحاث الأمن ومبادرات موجهة مع شركات رائدة في الذكاء الاصطناعي، ومشاركين في القطاع، وشركات أمن، مع التركيز على أمن الذكاء الاصطناعي في بيئات البلوكشين.
سنواصل مشاركة المعلومات استباقيًا كلما توفرت لدينا.