تشير متابعة معاملات البلوك تشين إلى أن الفريق المسؤول عن اختراق باينانس الضخم في عام 2026 واصل نقل وتحويل جزء كبير من العائدات المسروقة المرتبطة بسولانا، مع توجيه تدفقات غسل الأموال على نحو متزايد عبر بروتوكول المبادلة بين السلاسل THORChain.
وفقًا لبيانات Arkham التي استشهدت بها تقارير إعلامية، تحتفظ المحافظ المرتبطة بمجموعة «مخترقي باينانس» الآن بـ182,443 SOL (نحو 16.9 مليون دولار)، وقد نقلت مجموعة المهاجمين الأوسع بالفعل ما يقارب 81% من إجمالي 970,522 SOL التي يُقال إنها سُرقت خلال الاختراق — وهو مبلغ يرتبط بجزء على الأقل من مسار غسل الأموال الذي وصفه المحققون.
أهم النقاط
تضم مجموعات المحافظ المرتبطة باختراق Binance، وفقًا لبيانات Arkham، عددًا قدره 182,443 SOL، بقيمة تقارب 16.9 مليون دولار.
تشير عمليات التتبع التي أوردها Lookonchain إلى أن المهاجمين نفذوا خطوات تحويل متقدمة تشمل SOL → USDC → التحويل عبر جسر إلى Ethereum → ETH → BTC عبر THORChain.
استأنفت THORChain المبادلات على شبكات متعددة بعد توقف فرضته إعادة تنظيم كتل Ethereum، والتي كشفت عن خلل في آلية استرداد الأموال.
قالت Chainalysis إن التوقف أبطأ من غير قصد نشاط غسل الأموال، بينما قدّر محللون آخرون على السلسلة أن جزءًا كبيرًا من المعاملات المرتبطة كان آليًا.
نسبت السلطات الاختراق إلى جهات مرتبطة بكوريا الشمالية، وهو ما نفاه مسؤولون كوريون شماليون، فيما يواصل المحققون مراقبة دور THORChain في غسل الأموال الناتجة عن اختراقات كبرى أخرى.
حيازات المهاجمين و«سُلّم التحويل»
تأتي أحدث أنماط التحرك في وقت يرسم فيه الباحثون خريطة لكيفية توزيع الأصول المسروقة على المحافظ وتحويلها ونقلها عبر السلاسل. وتربط مراقبة الكيانات لدى Arkham، كما ورد في التقرير، مجموعة من المحافظ باختراق Binance، وتقدّر حيازاتها من SOL بـ182,443 SOL—أي نحو 18.8% من أصل 970,522 SOL المنسوبة إلى الاختراق.
في تحديثها الصادر يوم الأربعاء، وصفت Lookonchain مسارًا متعدد الخطوات استخدمه المهاجمون: وُزعت SOL على عدة محافظ، ثم بيعت مقابل USDC، وبعدها نُقلت عائدات العملة المستقرة عبر جسر إلى Ethereum لشراء الإيثر (ETH). أما الخطوة الأخيرة الموصوفة فتتضمن مبادلة ETH بعملة البيتكوين (BTC) عبر THORChain، وهي منصة تداول عابرة للسلاسل مصممة لتمكين تحويل الأصول من دون الاعتماد على دفاتر أوامر مركزية تقليدية.
تهم هذه التفاصيل المستثمرين والمتداولين لأنها توضح كيف يمكن للقراصنة تحويل غنيمة كبيرة ومتقلبة من العملات المشفرة إلى عدة أشكال سائلة عبر منظومات مختلفة، وغالبًا قبل أن يتمكن المدافعون من الاستجابة أو تجميد الأموال. كما تساعد على تفسير سبب تركيز المراقبة غالبًا على مسارات السيولة العابرة للسلاسل، مثل THORChain، أثناء الحوادث الكبرى.
تفاصيل اختراق Binance والبحث عن الجهة المسؤولة
أفصحت Binance عن اختراق أنظمتها بعدما تمكن المهاجمون من الوصول إلى أجهزة الموظفين باستخدام طُعوم مزيفة لمقابلات عمل وتنزيلات لبرامج ضارة. ووصفَت المنصة الحادث بأنه اختراق قياسي، وقالت لاحقًا إنها عوّضت 98% من الرموز المتأثرة وستتحمل الخسائر المتبقية.
على صعيد التحقيقات، نسب مكتب التحقيقات الفيدرالي الأمريكي (FBI) الهجوم يوم السبت إلى قراصنة TraderTraitor التابعين لكوريا الشمالية، وحثّ مزوّدي خدمات العملات المشفرة—ومنهم مشغّلو THORNode على وجه التحديد—على حظر المعاملات المرتبطة بالأصول المسروقة.
جاء رد كوريا الشمالية سريعًا. ووفقًا لتغطية استندت إلى تقارير المصدر، وصفت كيم يو جونغ، شقيقة الزعيم الكوري الشمالي كيم جونغ أون، اتهامات مكتب التحقيقات الفيدرالي بأنها «خطاب سخيف».
رغم أن الخلافات حول تحديد الجهة المسؤولة ليست أمرًا غير مألوف في قضايا الأمن السيبراني، فإن اللافت هنا هو التحديد التشغيلي: فقد دعا المنظمون والمحققون إلى حظر معاملات مستهدفة في أجزاء من البنية التحتية العابرة للسلاسل، ما يشير إلى اعتقاد السلطات بأن مسار غسل الأموال ليس مجرد مصادفة.
تعليق THORChain للمبادلات وأسباب إبطائه غسل الأموال (ثم استئنافه)
أصبحت قدرة THORChain على تنفيذ المبادلات جزءًا من القصة بعد تعليق الخدمات ثم استعادتها لاحقًا. وتشير تغطية سابقة ورد ذكرها في التقرير إلى أن THORChain أوقفت التداول على Bitcoin وEthereum وسلاسل أخرى عقب مشكلة مرتبطة بـEthereum، إذ كشف إعادة تنظيم للكتل عن خلل في آلية استرداد الأموال.
عندما استأنفت THORChain التداول يوم الأربعاء، أتاح ذلك مواصلة المبادلات العابرة للسلاسل عبر شبكات متعددة. وقالت Chainalysis، بحسب ما ورد في التقرير، إن التعليق أبطأ من غير قصد نشاط غسل الأموال المرتبط بمهاجمي Binance، وهي نقطة عملية مهمة. فحتى عندما يضع القراصنة خططًا متعددة الخطوات، يمكن للتوقف التشغيلي في المسارات التي يعتمدون عليها أن يمنح وقتًا للمراقبة والتنسيق وتطبيق ضوابط محتملة للمخاطر.
وفي الوقت نفسه، حاول المحللون قياس أسلوب تنفيذ المهاجمين. وقدّرت SomaXBT أن نحو 54% من أكثر من 47,600 معاملة أجراها المهاجمون على Tron وSolana كانت آلية، ما يعزز احتمال استخدام مبادلات وتوزيعات مبرمجة بدلًا من التحركات اليدوية البحتة.
اتساع مسارات غسل الأموال وما ينبغي مراقبته لاحقًا
يشير نمط غسل الأموال المذكور أيضًا إلى مرونة جغرافية وعلى مستوى السلاسل. فقد أفادت التقارير بأن قراصنة Binance وسّعوا نشاطهم ليشمل Solana يوم الأحد، بعد إفراغ معظم محافظهم المؤقتة على Tron. وقدّرت Chainalysis أن قيمة تقارب 500 مليون دولار انتقلت إجمالًا عبر Tron، بما في ذلك تحويلات متكررة بين المحافظ، وهو سلوك يتوافق مع محاولات طمس مصدر الأموال عبر تحركات سريعة ومتكررة.
ويضع التقرير THORChain أيضًا ضمن سياق أوسع ومستمر لغسل الأموال. ويُشتبه في أن مجموعات قرصنة مرتبطة بكوريا الشمالية استخدمت THORChain لغسل عائدات اختراقات كبرى أخرى، منها اختراق Bybit البالغة قيمته 1.4 مليار دولار، المذكور في المصدر.
بالنسبة إلى القراء، يتمثل السؤال الأهم مستقبلًا في ما إذا كانت السلطات قادرة على تعطيل مسار غسل الأموال بفاعلية من دون إعاقة الاستخدام المشروع للمعاملات العابرة للسلاسل. وينبغي حاليًا مراقبة أمرين: (1) ما إذا كان تحويل الأصول المسروقة سيتجه نحو منصات سيولة أخرى، و(2) مدى سرعة قدرة الضوابط التشغيلية وأدوات المراقبة على رصد تكرار استخدام مسارات مشابهة عبر السلاسل وردعه.
نُشر هذا المقال في الأصل بعنوان «قراصنة Binance ينقلون 81% من SOL المسروقة ويستخدمون THORChain لتحويل الأموال» على Crypto Breaking News، مصدرك الموثوق لأخبار العملات المشفرة وBitcoin وتحديثات البلوك تشين.