تقول منظمة التحالف الأمني (SEAL)، وهي منظمة غير ربحية متخصصة في الأمن السيبراني، إن جهة التهديد TraderTraitor المرتبطة بكوريا الشمالية يُرجّح أنها حصلت على إمكانية الوصول إلى أنظمة Binance في سبتمبر، أي قبل نحو ثمانية أسابيع من كشف Binance عن تعرضها لاستغلال ثغرة بقيمة 6.3 مليارات دولار في 29 أكتوبر. وفي تحليل نُشر يوم الخميس، ترى SEAL أن الاختراق بدأ قبل أشهر من الفترة الزمنية التي يوحي بها الحادث المعلن، ما أتاح للمهاجمين وقتًا للعمل بهدوء ورسم خريطة للضوابط الداخلية.

وتربط SEAL أيضًا TraderTraitor بشبكة من الشركات الوهمية استُخدمت خلال عمليات احتيال في عام 2026 اتخذت شكل حملات توظيف، وحددت أربعة نطاقات على الأقل مرتبطة بهذه الحملة. كما تؤكد نتائج المنظمة وجود نمط متكرر في اختراقات العملات المشفرة الكبرى: وصول متعدد المراحل قد يستمر لأسابيع قبل أن تُسحب الأموال في نهاية المطاف.

أهم النقاط

• تقدّر SEAL أن TraderTraitor تمكنت من الوصول إلى أنظمة Binance في سبتمبر، قبل نحو ثمانية أسابيع من الاختراق الذي وقع في 29 أكتوبر وتسبب بخسائر بلغت 6.3 مليارات دولار.

• يشير التقرير إلى أن المهاجمين حافظوا على «درجة عالية من التخفي» بعد التسلل الأولي، ما أتاح لهم التنقل داخل الأنظمة لفترة طويلة.

• حددت SEAL ما لا يقل عن أربع «شركات واجهة» مرتبطة بحملات استقطاب TraderTraitor في عام 2026: citalab.net وcitalab.com وbitfit.io وoddium.io.

• تشير SEAL إلى جداول زمنية مماثلة في عمليات اختراق أخرى للعملات المشفرة، ما يوحي بأن المهاجمين غالبًا ما يحتفظون بإمكانية الوصول لأسابيع قبل تنفيذ الاختراق.

• عزت Binance الاختراق إلى مقابلة عمل وهمية اخترقت جهاز أحد الموظفين وأدت إلى سرقة بيانات الاعتماد؛ وقالت Binance إن الحملة تعود إلى يونيو.

قد يمتد الوصول المبكر إلى ما هو أبعد بكثير من الاختراق الذي تصدر العناوين

تتمثل الفكرة المحورية لدى SEAL في أن الاختراق التشغيلي لـ Binance لم يبدأ وقت الاختراق العلني. وذكرت المجموعة في تقريرها الصادر يوم الخميس أن تسلل TraderTraitor إلى أنظمة Binance بدأ على الأرجح في سبتمبر، وأن الجهات المهددة ربما بقيت داخل الأنظمة متخفية بدرجة كبيرة لفترات طويلة.

وهذا مهم للمدافعين عن الأنظمة والمشاركين في السوق، لأن «تاريخ الحادثة» غالبًا ما يصبح المعلم الوحيد المرئي للعامة. فإذا تمكن المهاجمون من التسلل إلى الأنظمة لأسابيع قبل تنفيذ اختراق بالغ التأثير، فقد تشمل فترة التعرض الفعلية أوجه قصور في المراقبة الداخلية، وممارسات حماية بيانات الاعتماد، وضوابط الوصول، وهي أمور قد لا تتضح إلا بعد وقوع الضرر.

الارتباط بعمليات الاحتيال في التوظيف والبنية التحتية

وقالت SEAL أيضًا إنها حددت ما لا يقل عن أربع «شركات واجهة» مرتبطة بحملات الاستقطاب الوهمية التي نفذتها TraderTraitor في عام 2026. ويُشار في التحليل إلى النطاقات citalab.net وcitalab.com وbitfit.io وoddium.io بوصفها جزءًا من مسعى أوسع لكسب المصداقية واستدراج الضحايا وإنشاء مسارات للتسلل إلى المؤسسات المستهدفة.

يتوافق هذا التحليل مع ما أعلنته Binance. وتشير تقارير سابقة استشهدت بها SEAL إلى أن Binance عزت الاختراق البالغة خسائره 6.3 مليارات دولار إلى مقابلة عمل وهمية، أتاحت للمهاجمين اختراق جهاز موظف وسرقة بيانات اعتماد استُخدمت لاختراق البنية التحتية لمحافظ المنصة.

كيف تقول SEAL إن ذلك يتوافق مع اختراقات كبرى أخرى للعملات المشفرة

وبعيدًا عن Binance، استندت SEAL إلى حوادث أخرى بارزة لتقول إن التسلل متعدد المراحل سمة متكررة في الهجمات واسعة النطاق على العملات المشفرة. وقدّرت المنظمة فترات الوصول التقريبية السابقة للاختراق في عدة حالات، منها:

• نحو ستة أسابيع من الوصول قبل اختراق Bitget الذي بلغت خسائره 388 مليون دولار.

• نحو ستة أسابيع من الوصول إلى LayerZero قبل استغلال الثغرة الذي أدى إلى اختراق Kelp DAO وخسائر بلغت 293 مليون دولار.

• نحو ثلاثة أسابيع قبل تنفيذ اختراق AFX الذي بلغت خسائره 24 مليون دولار.

رغم اختلاف الجداول الزمنية من حادثة إلى أخرى، فإن القاسم المشترك هو أن الاختراق قد يسبق الاستغلال بأسابيع. وعمليًا، ينقل ذلك النقاش الأمني من مجرد الاستعداد للاستجابة للحوادث إلى التركيز على الكشف المبكر، مثل رصد استمرار وجود المهاجمين، وأنماط الوصول غير الاعتيادية، وانكشاف بيانات الاعتماد، وذلك قبل نقل الأصول بوقت طويل.

رواية Binance والجدل الأوسع حول تحديد الجهة المسؤولة

أثارت تقديرات SEAL تساؤلات بشأن توقيت بدء التسلل وكيفيته، وسعت Cointelegraph إلى التحقق من التحليل عبر التواصل مع Binance للتعليق. وأفادت Cointelegraph بأن Binance لم ترد بحلول موعد النشر.

سبق أن عرضت Binance تسلسلًا مختلفًا للأحداث. فوفقًا لـ Binance، تعود حملة الهجوم إلى يونيو، حين اختُرق جهاز موظف آخر. وقالت Binance إنها رصدت ذلك التسلل المبكر واستبدلت الجهاز، لكنها أضافت أن المهاجمين ربما كانوا قد جمعوا بالفعل معلومات عن الموظفين والبنية التحتية لمحافظ Binance. كما أشارت Binance إلى أن آلية مقابلة العمل الوهمية كانت الوسيلة التي أتاحت في نهاية المطاف تنفيذ الاختراق، الذي كُشف عن تفاصيله علنًا بعد حادثة 29 أكتوبر.

كما كان تحديد الجهة المسؤولة موضع خلاف على المستوى الجيوسياسي. فقد نسب مكتب التحقيقات الفيدرالي الأمريكي الهجوم إلى مجموعة TraderTraitor التابعة لكوريا الشمالية في تقرير صدر يوم السبت، بينما رفضت كيم يو جونغ، شقيقة الزعيم الكوري الشمالي كيم جونغ أون، تلك الاتهامات، وفقًا لتغطية سابقة استشهدت بها Cointelegraph.

تُبرز هذه الخلافات مجتمعةً تفاوتًا مألوفًا في الحوادث السيبرانية: فقد يركز المحققون والمؤسسات المتضررة على مراحل مختلفة من سلسلة الهجوم نفسها، مثل موطئ القدم الأولي، أو سرقة بيانات الاعتماد، أو الاختراق النهائي للمحافظ. ويتمثل إسهام SEAL في التركيز على التوقيت المحتمل للوصول إلى الأنظمة والمدة التي ربما قضاها المهاجمون داخلها قبل تاريخ الاختراق المعلن.

ينبغي للقراء الذين يتابعون هذه القصة أن يركزوا لاحقًا على ما إذا كانت ستظهر تفاصيل تقنية إضافية توفق بين الجدول الزمني للاختراق في يونيو، كما وصفته Binance، وتقدير SEAL للوصول إلى الأنظمة في سبتمبر، وكذلك على ما إذا كانت أنماط «الوصول لأسابيع» المماثلة ستتضح أكثر في تقارير مستقبلية عن حوادث أخرى تطال منصات التداول والبروتوكولات.

نُشر هذا المقال في الأصل بعنوان «قراصنة Binance تمكنوا من الوصول لمدة 8 أسابيع قبل اختراق بقيمة 6.3 مليارات دولار، وفقًا للتحالف» على Crypto Breaking News، مصدرك الموثوق لأخبار العملات المشفرة والبيتكوين وتحديثات البلوك تشين.