في 29 أكتوبر 2026، تعرضت Binance لحادث أمني خطير ومتطور للغاية. ما كان ينبغي أن يحدث ذلك، ونعتذر عمّا سببه لمستخدمينا وشركائنا والقطاع الأوسع من قلق واضطراب وعدم يقين.

مسؤوليتنا الأولى هي حماية المستخدمين. ستتحمل Binance الأثر المالي للأموال المسروقة، وليس مستخدمونا. وقد خصصنا بالفعل أكثر من 100% من الأموال اللازمة لتغطية الخسارة. وحتى 31 أكتوبر 2026، أُعيد توفير 98% من أصول الرموز المتأثرة، ويمكن التحقق منها على صفحة إثبات الاحتياطيات. ونحن بصدد شراء الأصول المتبقية الأقل سيولة.

تأثرت أصول رقمية بقيمة تقارب 6.34 مليار دولار أمريكي جراء الحادثة. وحتى تاريخ هذا التحديث، جُمّدت أو اعتُرضت أصول رقمية بقيمة تقارب 2.85 مليار دولار أمريكي، مع مراعاة التسوية وتقلبات أسعار السوق.

اتخذنا إجراءات فورية لاحتواء الحادثة وتعزيز الأنظمة المتأثرة. وأُغلقت نقاط الدخول التي تبيّن استخدامها في الهجوم. وأُعيد بناء الأنظمة التي تأثرت بمسار الهجوم أو استُبدلت. كما طبّقنا ضوابط أكثر صرامة على الأجهزة، وعزّزنا ضوابط المخاطر الخاصة بخدمات المحفظة، ووسّعنا نطاق الكشف عن الشذوذ السلوكي باستخدام الذكاء الاصطناعي.

هذا تقريرنا الأولي. وهو يغطي ما نعرفه اليوم والتحسينات التي أجريناها بالفعل. ولا يزال التحقيق جاريًا، وستكون النتائج خاضعة لمراجعة مستقلة إضافية. وستظل بعض التفاصيل التقنية سرية لمنع الجهات الخبيثة من استخدامها للتخطيط لهجمات. ونحن نستعين بشركات أمن مستقلة لإجراء مراجعة إضافية.

تشير أحدث المعلومات الصادرة عن مكتب التحقيقات الفيدرالي إلى أن جمهورية كوريا الشعبية الديمقراطية مسؤولة عن هذه الحادثة.

نشارك هذا التقرير الأولي لأن الأمن يتحسن عندما يتعلم القطاع معًا.

ما حدث في 29 أكتوبر

تطور الهجوم بسرعة عبر عدة شبكات.

استغل المهاجم وصولًا غير مصرح به إلى خدمة داخلية لتوقيع معاملات المحفظة، من أجل بدء معاملات خارج آلية السحب المعتادة.

بين الساعة 20:05 والساعة 20:09 بالتوقيت العالمي المنسق، أرسلت خمس محافظ ساخنة تابعة لـ Binance مبلغ 233.46 مليون XRP إلى عنوان يتحكم فيه المهاجم.

أرسلت المحافظ الساخنة التابعة لـ Binance على شبكتي Solana وOptimism نحو 970,500 SOL و44.2 مليون OP إلى عناوين يتحكم فيها المهاجم.

تلقت Binance بعد ذلك تنبيهًا داخليًا بشأن تحويلات كبيرة الحجم، وبدأت التحقيق فورًا.

أرسلت محفظة Binance الساخنة 18,270 BTC إلى عنوان يتحكم فيه المهاجم.

استخدم المهاجم بعد ذلك خدمة التوقيع لاستغلال آلية التفويض EIP-7702 في Ethereum. تتيح EIP-7702 للحساب تفويض بعض حقوق التنفيذ إلى عقد ذكي دون كشف المفتاح الخاص. وفي هذه الحالة، استخدم المهاجم هذه الآلية لمنح عقد ذكي يتحكم فيه صلاحيات تنفيذ جزئية على محفظة ساخنة تابعة لـ Binance.

بدأت Binance فورًا تنفيذ تدابير متعددة للاحتواء، شملت تعليق عمليات السحب للحد من أي تدفقات خارجة إضافية، والتنسيق مع الشركاء لتجميد الرموز المتأثرة، واتخاذ خطوات لإلغاء الأذونات غير المصرح بها. وأسفرت هذه الجهود عن تجميد أصول بقيمة إجمالية قدرها 2.85 مليار دولار.

لكن تعليق عمليات السحب وحده لم يكن كافيًا لوقف جميع التحركات غير المصرح بها للأصول. فقد كانت تفويضات EIP-7702 الخبيثة موجودة على السلسلة وتعمل بشكل مستقل عن البنية التحتية المعتادة لعمليات السحب لدى Binance. وقد أرسل المهاجمون 50 معاملة توقيع للتلاعب برقم nonce الخاص بالحساب وإنشاء تفويضات خبيثة. وبعد إنشائها، مكّنت هذه التفويضات المهاجمين من مواصلة نقل الأصول بشكل مستقل عن البنية التحتية المعتادة لعمليات السحب لدى Binance. وكان على Binance إرسال معاملات إضافية لإلغاء هذه التفويضات على السلسلة.

انطوت عملية الاحتواء على تعقيدات تقنية إضافية. ونظرًا إلى أن المحفظة الساخنة استخدمت تقنية الحوسبة متعددة الأطراف (MPC)، لم يكن هناك مفتاح خاص واحد يمكن استخدامه لإلغاء تفويضات EIP-7702 الخبيثة فورًا. لذلك، طوّر الفريق إجراءً متخصصًا لإلغاء هذه التفويضات ونفّذه، وهو ما استلزم وقتًا إضافيًا. علاوة على ذلك، لم يؤدِّ تعليق عمليات السحب وإيقاف خدمات المحفظة الساخنة تلقائيًا إلى إبطال التفويضات القائمة على السلسلة.

أطالت هذه التحديات الوقت اللازم لاحتواء التحركات غير المصرح بها للأصول بالكامل. ونحن نراجع إجراءات الاستجابة للحوادث، ونطاق تغطية سياسات التوقيع، وضوابط المحافظ الساخنة، ونعمل على تحديد فرص لتعزيز قدرتنا على الاستجابة للتهديدات بسرعة أكبر مستقبلًا.

اكتمل تأكيد آخر تحويل غير مصرح به، وقدره 2,961.9 ETH، على السلسلة عند الساعة 23:56 بالتوقيت العالمي المنسق. وكان قد سبق بث المعاملة وظلت معلقة قبل أن تُعتمد لاحقًا. ولم تُرصد أي تحويلات أخرى غير مصرح بها بعد ذلك.

في الساعة 00:10 بالتوقيت العالمي المنسق يوم 30 أكتوبر 2026، نفّذت Binance تفويضًا جديدًا من المحفظة الساخنة Binance14 إلى العنوان الصفري، ما أدى إلى مسح شيفرة التفويض EIP-7702.

التحضير للهجوم

يشير تحقيقنا الحالي إلى أن هذه كانت حملة متطورة ومتعددة المراحل. لم يكن الأمر اختراقًا منفردًا ومعزولًا أو حادثة تصيّد بسيطة. جمع المهاجمون بين مجموعة من الأساليب، منها الهندسة الاجتماعية عبر مقابلات توظيف مزيفة، وتنزيل برمجيات خبيثة، واختراق أدوات الذكاء الاصطناعي الداخلية، واختراق الأجهزة الطرفية، واستخدام أسلوب متقدم للتفويض بالمعاملات.

  • يونيو 2026 — هجوم على سلسلة التوريد. نزّل المهندس A من فريق Wallet DevOps نسخة معدّلة من Homebrew لتثبيت أداة شائعة للبرمجة بالذكاء الاصطناعي، بعد البحث عنها باستخدام محرك بحث. رصد فريق الأمن لدينا هذا النشاط غير المعتاد، واستبدل الجهاز، وغيّر جميع بيانات الاعتماد ذات الصلة كإجراء أمني استباقي. ومع ذلك، انكشف للمخترق دور المهندس A وزملاؤه المرتبطون به في فريق البنية التحتية للمحفظة.

  • خلال عام 2026، رصد فريق الأمن في Binance ومنع 57 حالة تهديد إلكتروني مشتبهًا بارتباطها بكوريا الشمالية. وتعكس هذه المحاولات التهديد المستمر الذي يشكّله المهاجمون المدعومون من دول، والذين يستهدفون قطاع العملات المشفرة. وتشمل الأساليب مقابلات توظيف احتيالية، وبرمجيات خبيثة متنكرة في هيئة أدوات تطوير شائعة، وحزمًا برمجية وإضافات متصفح مخترقة، وتطبيقات مزيفة لمؤتمرات الفيديو، وحملات هندسة اجتماعية تهدف إلى سرقة بيانات الاعتماد أو نشر برمجيات خبيثة للوصول عن بُعد.

  • سبتمبر — هندسة اجتماعية. تواصل شخص ينتحل صفة مدير مشروع مع مهندس البرمجيات B عبر منصة موثوقة للبحث عن وظائف. وكان للمهندس B ملف شخصي على المنصة يشير إلى خبرته في Binance. رتّب مدير المشروع المزعوم مقابلة أولية مع ممثل عن الموارد البشرية، تلتها مقابلة ثانية مع شخص ادّعى أنه الرئيس التنفيذي لشركة وهمية.

  • في الجولة الأولى، أجرى ممثل الموارد البشرية المزعوم مقابلة مباشرة عبر الفيديو مع مهندس البرمجيات B. وشارك المحاور حسابًا على وسائل التواصل الاجتماعي معه، يتضمن صورًا ومقاطع فيديو شخصية منشورة على المنصة، بهدف بناء الثقة. كان هذا الأسلوب أكثر تطورًا ومراوغة من أساليب الهندسة الاجتماعية التي شوهدت سابقًا.

  • أُجريت المقابلة الثانية عبر تطبيق شائع للمحادثات الاجتماعية. وقرب نهاية المقابلة، طُلب من المهندس B تنزيل «مهمة» تتضمن مستودعًا برمجيًا خبيثًا على حاسوب العمل. احتوى المستودع على تعليمات برمجية خبيثة نُفذت أثناء عملية الإعداد، وبدأت سلسلة من الأنشطة غير المصرح بها.

  • استخدمت البرمجية الخبيثة تقنيات متطورة للتمويه والتملص، شملت استبدال أحد مكونات أداة تطوير شرعية بنسخة خبيثة لتنفيذ الأوامر وإنشاء اتصال بخادم خارجي يتحكم فيه المهاجم. ولم ترصد أدوات الحماية الأمنية للأجهزة الطرفية البرمجية الخبيثة من نوع يوم الصفر في ذلك الوقت. كما اتخذ المهاجم خطوات لإخفاء النشاط الخبيث وإزالة آثار الاختراق، ما زاد صعوبة اكتشافه والتحقيق فيه لاحقًا.

  • نفّذ النص البرمجي الخطوات التالية باستخدام تقنيات التمويه لتفادي الاكتشاف الأمني.

CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_

MODIFY pyenv_ → 3,414 B

DELETE .../libexec/pyenv (3,344 B) ← إزالة pyenv الصالح

RENAME pyenv_ → pyenv (3,414 B) ← استبداله بنسخة خبيثة

DELETE /opt/homebrew/bin/pyenv (3,414 B)

ln (إنشاء رابط رمزي جديد) + تشغيل zsh

  • 20 أكتوبر — استخدام أداة ذكاء اصطناعي داخلية كنقطة انطلاق. استغل المهاجم حاسوب المهندس B المخترق، واستخدم أداة ذكاء اصطناعي داخلية للسيطرة على المهندس A من فريق Wallet DevOps ومهندس برمجيات آخر في فريق المحفظة، هو المهندس C. وسرعان ما اكتشف المهاجم أن حاسوب المهندس A، مهندس Wallet DevOps، يحتوي على رمز مميز يمنحه صلاحية نشر الحاويات.

  • 29 أكتوبر — التوغل في عمليات توقيع المحفظة. في 29 أكتوبر، بين الساعة 17:15 والساعة 19:56، سجّل المهاجم الدخول إلى حاسوب مهندس البرمجيات C، واستخدم بيانات الاعتماد المسروقة من المهندس A في فريق Wallet DevOps، ونشر حاوية، ثم شغّل نصًا برمجيًا خبيثًا لبدء الهجوم.

ما الذي قمنا به

حتى 3 نوفمبر 2026، اتخذنا الإجراءات التالية:

  • أعدنا بناء نظام المحفظة المتأثر في بيئة جديدة.

  • أعدنا بناء أداة الذكاء الاصطناعي الداخلية المتأثرة وضوابط الوصول إليها.

  • استبدلنا الأجهزة المتأثرة.

  • ألغينا بيانات الاعتماد والرموز المميزة المرتبطة بالمهندسين المتأثرين.

  • أكملنا فحوصات أمنية معززة على جميع أجهزة الموظفين.

  • عزّزنا الكشف عن الشذوذ السلوكي باستخدام الذكاء الاصطناعي.

  • عزّزنا ضوابط المخاطر الخاصة بخدمات المحفظة.

  • تعاونّا مع جهات إنفاذ القانون وشركات استخبارات البلوك تشين وشركاء القطاع لتعقّب الأصول المتأثرة وتجميدها.

سنواصل تعزيز تدابيرنا مع تقدم التحقيق. وقد نفّذنا، ونعمل على تنفيذ، عدد من التدابير الأمنية التي ستظل سرية لمنع الجهات الخبيثة من اختراق أنظمتنا الأمنية.

إجراءات إضافية

نتخذ الخطوات التالية على الفور.

مراجعة مستقلة للأمن السيبراني

نستعين بخبراء مستقلين من جهات خارجية في الأمن السيبراني لإجراء مراجعة شاملة للحادثة، والتحقق من نتائجنا، والتوصية بتدابير إضافية. وستُسهم نطاق المراجعة ونتائجها في توجيه أعمال المعالجة المستمرة لدينا. زيادة الاستثمار في أمن الذكاء الاصطناعي والوقاية

نزيد استثماراتنا في الكشف المدعوم بالذكاء الاصطناعي، وحماية الأجهزة الطرفية، وأمن بيئات التطوير، ومراقبة الشذوذ السلوكي. صندوق أبحاث الأمن ومبادرات القطاع

نعمل على إنشاء صندوق لأبحاث الأمن ومبادرات مستهدفة بالتعاون مع شركات رائدة في مجال الذكاء الاصطناعي، وجهات عاملة في القطاع، وشركات أمن، مع التركيز على أمن الذكاء الاصطناعي في بيئات البلوك تشين.

سنواصل مشاركة المعلومات بشكل استباقي كلما توفرت لدينا.

المصدر: الحساب الرسمي لـ Binance على X (@binance)

#safu #BinanceIncidentReport #BinanceReopensWithdrawalsForMoreAssets