في 29 أكتوبر 2026، تعرضت Binance لحادث أمني خطير ومتطور للغاية. ما كان ينبغي أن يحدث ذلك، ونعتذر عن القلق والاضطرابات وحالة عدم اليقين التي تسبب بها لمستخدمينا وشركائنا والقطاع ككل.
مسؤوليتنا الأساسية هي حماية المستخدمين. ستتحمل Binance الأثر المالي للأموال المسروقة، وليس مستخدمونا. وقد خصصنا بالفعل أكثر من 100% من الأموال اللازمة لتغطية الخسائر. وحتى 31 أكتوبر 2026، أُعيدت 98 % من الأصول المتأثرة على شكل رموز، ويمكن التحقق منها عبر صفحة إثبات الاحتياطيات لدينا. ونحن نعمل حاليًا على شراء الأصول المتبقية، التي تقل سيولتها.
تأثرت أصول رقمية بقيمة تقارب 6,340 مليون دولار أمريكي جراء الحادثة. وحتى تاريخ هذا التحديث، جُمّدت أو اعتُرضت أصول رقمية بقيمة تقارب 2,850 مليون دولار أمريكي، وهي أرقام تخضع للتسوية ولتقلبات أسعار السوق.
اتخذنا إجراءات فورية لاحتواء الحادثة وتعزيز الأنظمة المعنية. وأُغلقت نقاط الدخول التي حُدد استخدامها في الهجوم. كما أُعيد بناء الأنظمة الواقعة ضمن مسار الهجوم أو استُبدلت. كذلك فرضنا ضوابط أكثر صرامة على الأجهزة، وعززنا ضوابط المخاطر الخاصة بخدمات المحافظ، ووسعنا نطاق الكشف عن الأنماط السلوكية غير المعتادة باستخدام الذكاء الاصطناعي (AI).
هذا هو تقريرنا الأولي. نعرض فيه ما نعرفه حتى الآن والتحسينات التي نفذناها بالفعل. لا يزال التحقيق جاريًا، وستكون نتائجنا خاضعة لمراجعة مستقلة إضافية. وستظل بعض التفاصيل التقنية سرية لمنع الجهات الخبيثة من استخدامها للتخطيط لهجمات. ونتعاون مع شركات مستقلة متخصصة في الأمن لإجراء مراجعة إضافية.
تشير أحدث المعلومات المنشورة من قبل مكتب التحقيقات الفيدرالي الأمريكي (FBI) إلى أن جمهورية كوريا الشعبية الديمقراطية مسؤولة عن هذه الحادثة.
نشارك هذا التقرير الأولي لأن الأمن يتحسن عندما يتعلم القطاع ويتبادل المعرفة معًا.
ما حدث في 29 أكتوبر
تطور الهجوم بسرعة عبر عدة شبكات.
استغل المهاجم وصولًا غير مصرح به إلى خدمة داخلية لتوقيع معاملات المحافظ، وبدأ عمليات خارج إجراءات السحب المعتادة.
بين الساعة 20:05 والساعة 20:09 بالتوقيت العالمي المنسق، أرسلت خمس محافظ ساخنة تابعة لـ Binance ما مجموعه 233.46 مليون XRP إلى عنوان يتحكم به المهاجم.
أرسلت المحافظ الساخنة التابعة لـ Binance على شبكتي Solana وOptimism نحو 970,500 SOL و44.2 مليون OP إلى عناوين يتحكم بها المهاجم.
لاحقًا، تلقّت Binance تنبيهًا داخليًا بشأن تحويلات ذات أحجام كبيرة، وبدأت التحقيق فورًا.
أرسلت محفظة ساخنة تابعة لـ Binance ما مجموعه 18,270 BTC إلى عنوان يتحكم به المهاجم.
بعد ذلك، استخدم المهاجم خدمة التوقيع لاستغلال آلية التفويض EIP-7702 في Ethereum. تتيح EIP-7702 للحساب تفويض بعض حقوق التنفيذ إلى عقد ذكي دون كشف مفتاحه الخاص. وفي هذه الحالة، استخدم المهاجم هذه الآلية لمنح عقد ذكي يتحكم به حقوق تنفيذ جزئية على محفظة ساخنة تابعة لـ Binance.
بدأت Binance فورًا عدة إجراءات للاحتواء، منها تعليق عمليات السحب للحد من التدفقات الخارجة الإضافية، والتنسيق مع الشركاء لتجميد الرموز المتأثرة، واتخاذ تدابير لإلغاء الأذونات غير المصرح بها. وأتاحت هذه الجهود تجميد أصول بقيمة إجمالية بلغت 2,850 مليون دولار أمريكي.
لكن تعليق عمليات السحب وحده لم يكن كافيًا لإيقاف جميع تحركات الأصول غير المصرح بها. فقد كانت تفويضات EIP-7702 الخبيثة موجودة بالفعل على سلسلة الكتل (on-chain)، وكانت تعمل بمعزل عن البنية التحتية المعتادة لعمليات السحب في Binance.
أرسل المهاجمون 50 معاملة موقعة للتلاعب بالرقم nonce للحساب وإنشاء تفويضات إحالة خبيثة. وبعد إنشائها، مكّنت هذه التفويضات المهاجمين من مواصلة نقل الأصول بمعزل عن البنية التحتية المعتادة لعمليات السحب في Binance. ولهذا السبب، اضطرت Binance إلى تنفيذ معاملات إضافية لإلغاء تلك التفويضات على سلسلة الكتل.
انطوت عملية الاحتواء على تعقيدات تقنية إضافية. ونظرًا إلى أن المحفظة الساخنة استخدمت الحوسبة متعددة الأطراف (MPC)، لم يكن هناك مفتاح خاص واحد يمكن استخدامه لإلغاء تفويضات EIP-7702 الخبيثة فورًا. لذلك، طوّر الفريق إجراءً متخصصًا لإلغاء هذه التفويضات ونفّذه، ما استلزم وقتًا إضافيًا. كذلك، لم يكن تعليق عمليات السحب وإيقاف خدمات المحافظ الساخنة يبطلان تلقائيًا التفويضات القائمة على سلسلة الكتل.
أدت هذه التحديات إلى إطالة الوقت اللازم لاحتواء تحركات الأصول غير المصرح بها بالكامل. ونحن نراجع عملية الاستجابة للحادثة، ونطاق سياسات التوقيع، وضوابط المحافظ الساخنة، كما نحدد فرصًا لتعزيز قدرتنا على الاستجابة السريعة للتهديدات المستقبلية.
تأكدت آخر عملية تحويل غير مصرح بها، والبالغة 2,961.9 ETH، على سلسلة الكتل في الساعة 23:56 بالتوقيت العالمي المنسق. وكانت المعاملة قد أُرسلت مسبقًا وظلت معلقة قبل تأكيدها. ولم تُرصد أي تحويلات أخرى غير مصرح بها بعد هذه العملية.
في الساعة 00:10 بالتوقيت العالمي المنسق يوم 30 أكتوبر 2026، نفّذت Binance تفويضًا جديدًا من المحفظة الساخنة Binance14 إلى عنوان الصفر، ما أزال رمز التفويض EIP-7702.
التحضير للهجوم
يشير تحقيقنا الحالي إلى أن الأمر كان حملة متطورة ومتعددة المراحل. ولم يكن اختراقًا منفردًا أو مجرد حادثة تصيّد بسيطة. جمع المهاجمون بين تقنيات متنوعة، منها الهندسة الاجتماعية عبر مقابلات عمل زائفة، وتنزيل برمجيات خبيثة، واختراق أدوات الذكاء الاصطناعي الداخلية، واختراق الأجهزة، واستخدام أسلوب متقدم لتفويض المعاملات.
يونيو 2026: هجوم على سلسلة توريد البرمجيات
نزّل المهندس A، من فريق DevOps للمحافظ، نسخة معدّلة من Homebrew لتثبيت أداة برمجة شائعة قائمة على الذكاء الاصطناعي، وذلك بعد البحث عنها باستخدام محرك بحث.
رصد فريق الأمن لدينا هذا النشاط غير المعتاد، واستبدل الجهاز وجدّد جميع بيانات الاعتماد ذات الصلة كإجراء أمني احترازي. ومع ذلك، انكشف للمهاجم جهاز المهندس A وأجهزة زملائه المرتبطين بفريق البنية التحتية للمحافظ.
خلال عام 2026، رصد فريق أمن Binance 57 تهديدًا إلكترونيًا محتملاً مرتبطًا بكوريا الشمالية ومنعها. وتعكس هذه المحاولات التهديد المستمر الذي تشكّله الجهات المدعومة من الدول على قطاع العملات المشفرة.
شملت الأساليب المستخدمة مقابلات عمل احتيالية، وبرمجيات خبيثة متخفية في هيئة أدوات شائعة للمطورين، وحزم برمجية وامتدادات متصفح مخترقة، وتطبيقات مزيفة لعقد مؤتمرات الفيديو، وحملات هندسة اجتماعية مصممة لسرقة بيانات الاعتماد أو تثبيت برامج ضارة للوصول عن بُعد.
سبتمبر 2026: الهندسة الاجتماعية
تواصل شخص انتحل صفة مدير مشاريع مع المهندس B، وهو مهندس برمجيات، عبر منصة شرعية للبحث عن وظائف. وكان لدى المهندس B ملف شخصي على المنصة يذكر فيه خبرته في Binance.
رتّب مدير المشاريع المزعوم مقابلة أولى مع ممثل عن الموارد البشرية، تلتها مقابلة ثانية مع شخص ادعى أنه الرئيس التنفيذي لشركة وهمية.
خلال المقابلة الأولى، أجرى ممثل الموارد البشرية المزعوم مكالمة فيديو مباشرة مع المهندس B. ولتعزيز الثقة، شارك المحاور معه حسابًا على وسائل التواصل الاجتماعي يتضمن صورًا ومقاطع فيديو شخصية نُشرت على المنصة. وكان هذا الأسلوب أكثر تطورًا ومراوغة من أساليب الهندسة الاجتماعية التي رُصدت سابقًا.
أُجريت المقابلة الثانية عبر تطبيق شائع للمراسلة الاجتماعية. وقرب نهاية المقابلة، طُلب من المهندس B تنزيل «اختبار تقني» على حاسوب العمل، وكان يحتوي على مستودع برمجي خبيث. تضمّن المستودع شيفرة ضارة نُفّذت أثناء عملية الإعداد وأطلقت سلسلة من الأنشطة غير المصرح بها.
استخدمت البرمجية الخبيثة تقنيات متطورة للتمويه والتفادي، من بينها استبدال مكوّن شرعي من أداة تطوير بنسخة خبيثة لتنفيذ أوامر والتواصل مع خادم خارجي يتحكم به المهاجم.
لم تكشف أدوات الحماية الأمنية على الأجهزة عن البرمجية الخبيثة من نوع «يوم الصفر» (zero-day) في ذلك الوقت. كما اتخذ المهاجم تدابير لإخفاء النشاط الخبيث ومحو آثار الاختراق، ما صعّب اكتشافه والتحقيق فيه لاحقًا.
نفّذ البرنامج النصي الخطوات التالية باستخدام تقنيات التمويه لتفادي آليات الكشف الأمني:
نص
إنشاء /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
تعديل pyenv_ → 3,414 B
حذف .../libexec/pyenv (3,344 B)
← حذف ملف pyenv الشرعي
إعادة تسمية pyenv_ → pyenv (3,414 B)
← استبداله بنسخة خبيثة
حذف /opt/homebrew/bin/pyenv (3,414 B)
ln (إنشاء رابط رمزي جديد) + تشغيل zsh
20 أكتوبر 2026: استخدام أداة ذكاء اصطناعي داخلية كنقطة دخول
استغل المهاجم حاسوب المهندس B المخترق، واستخدم أداة ذكاء اصطناعي داخلية للسيطرة على المهندس A من فريق DevOps للمحافظ، وعلى مهندس برمجيات آخر من فريق المحافظ يُشار إليه بالمهندس C.
بعد ذلك بوقت قصير، اكتشف المهاجم أن حاسوب المهندس A يحتوي على رمز مميز بصلاحيات نشر الحاويات.
29 أكتوبر 2026: الوصول إلى عمليات توقيع المحافظ
في 29 أكتوبر، بين الساعة 17:15 والساعة 19:56 بالتوقيت العالمي المنسق، سجّل المهاجم الدخول إلى حاسوب المهندس C، واستخدم بيانات الاعتماد التي سُرقت من المهندس A، من فريق DevOps للمحافظ، ونشر حاوية ونفّذ برنامجًا نصيًا خبيثًا لإطلاق الهجوم.
الإجراءات التي نفذناها
حتى 3 نوفمبر 2026، اتخذنا الإجراءات التالية:
أعدنا بناء نظام المحافظ المتأثر في بيئة جديدة.
أعدنا بناء أداة الذكاء الاصطناعي الداخلية المتأثرة وعززنا ضوابط الوصول إليها.
استبدلنا الأجهزة المتأثرة.
عطّلنا بيانات الاعتماد والرموز المميزة المرتبطة بالمهندسين المتأثرين.
أكملنا فحوصات أمنية معززة لأجهزة جميع الموظفين.
حسّنا الكشف عن الأنماط السلوكية غير المعتادة باستخدام الذكاء الاصطناعي.
عززنا ضوابط المخاطر الخاصة بخدمات المحافظ.
نتعاون مع السلطات وشركات استخبارات سلاسل الكتل وشركاء القطاع لتعقب الأصول المتأثرة وتجميدها.
سنواصل تعزيز تدابيرنا مع تقدم التحقيق. وقد نفذنا ونعمل على تنفيذ تدابير أمنية متنوعة ستظل سرية، لمنع الجهات الخبيثة من اختراق أنظمتنا.
الخطوات التالية
نتخذ فورًا الخطوات التالية:
1. مراجعة مستقلة للأمن السيبراني
نتعاقد مع خبراء مستقلين في الأمن السيبراني لإجراء مراجعة شاملة للحادثة، والتحقق من صحة النتائج التي توصلنا إليها، والتوصية بتدابير إضافية.
سيُسترشد بنطاق هذه المراجعة ونتائجها في أنشطة المعالجة والتحسين المستمرة.
2. زيادة الاستثمار في الأمن والوقاية باستخدام الذكاء الاصطناعي
نعمل على زيادة استثماراتنا في الكشف القائم على الذكاء الاصطناعي، وحماية الأجهزة، وأمن بيئات التطوير، ومراقبة الأنماط السلوكية غير المعتادة.
3. صندوق أبحاث أمنية ومبادرات للقطاع
نعمل على إنشاء صندوق للأبحاث الأمنية وتطوير مبادرات مخصصة بالتعاون مع شركات رائدة في مجال الذكاء الاصطناعي، وجهات فاعلة في القطاع، وشركات متخصصة في الأمن، مع التركيز بشكل خاص على أمن الذكاء الاصطناعي في بيئات سلاسل الكتل.
سنواصل مشاركة المعلومات بشكل استباقي كلما توفرت.