يقولت شركة استخبارات البلوك تشين BitOK إن قراصنة من كوريا الشمالية سرقوا ما يُقدّر بـ7.61 مليار دولار من العملات المشفرة في 38 حادثة بين يناير وأكتوبر 2026. وفي الهجمات الست الكبرى، اخترقوا الأشخاص والأنظمة التي توقّع على طلبات السحب، بدلًا من استغلال ثغرات في الشيفرة البرمجية.
أسفرت عمليات التجميد والمصادرة عن استرداد 2.86 مليار دولار، فيما ظل 4.75 مليار دولار بعيدًا عن متناول السلطات. وتستحوذ Binance وحدها على 6.41 مليار دولار من الإجمالي، بينما بلغ مجموع 32 عملية سرقة أصغر استهدفت أفرادًا وشركات 178.4 مليون دولار.
لماذا لم تمنع مراجعة الشيفرة البرمجية قراصنة كوريا الشمالية؟
وفقًا لتقرير BitOK، حملت كل عملية سحب في أكبر ست هجمات توقيعات صالحة أو اجتازت الفحوصات القياسية. وفي Binance، كانت نقطة الدخول حاسوبًا محمولًا لمهندس DevOps وحاويةً لخدمة التوقيع.
يتوافق ذلك مع النتائج السابقة بشأن كيفية وقوع الاختراق في أكتوبر. وفي حالات أخرى، اخترق المهاجمون موقّعي التوقيع المتعدد في Drift، وهي منصة تداول مبنية على Solana، ومدقّقًا واحدًا للجسر في KelpDAO، ونظام المحفظة في Bitget.
قبل كل عملية سرقة، اختبر المشغّلون المسار المحدد بمبالغ صغيرة. فعلى سبيل المثال، عمل عقد الهجوم على Binance علنًا قبل السرقة بأربع ساعات.
يبدو الجدول كأنه جدول دوام مكتبي. فمن عينة تضم 540 معاملة، وقعت 48% من الأنشطة بين الساعة 4 مساءً و9 مساءً بتوقيت بيونغ يانغ.
حتى إن المشغّلين أخذوا إجازة في العطلات الرسمية لكوريا الشمالية، إذ لم يُسجّل أي نشاط في تلك الأيام. ولم تمثل أيام السبت والأحد والاثنين مجتمعة سوى 10% من المعاملات.
لكن ما إن بدأ الهجوم حتى تغيّر الروتين. تولّت البرامج النصية المهمة، واستمرت تحركات الأموال على مدار الساعة.
دقائق للتحويل، وأيام للاختفاء
تحدّد السرعة ما يمكن تجميده. ففي غضون دقائق، حوّل قراصنة كوريا الشمالية العملات المستقرة إلى ETH أو اقترضوا ETH بضمان أصول مسروقة، إذ لا يستطيع أي مُصدِر تجميد ETH.
بعد استغلال جسر rsETH في أبريل، غادر أول 52,440 ETH بروتوكولات الإقراض في ما يزيد قليلًا على ثماني دقائق. ثم ظلت الأموال ساكنة من يومين ونصف إلى خمسة أيام، قبل أن تمررها البرامج النصية عبر THORChain، وهو بروتوكول للتحويل بين سلاسل الكتل.
تبيّن أن غسل الأموال لم يكلّف الكثير. فمن بين 2,257 عملية تحويل مرتبطة بـBinance بلغت قيمتها 55.8 مليون دولار، لم تتجاوز التكاليف الإجمالية 0.50%.
لذلك لم تنجح عمليات التجميد إلا عندما لم تكن العملات المستقرة قد نُقلت بعد. ففي Binance، جُمّد أو صودِر 43% من الأموال المسروقة، مقارنةً بـ6% في جميع الهجمات الكبرى الأخرى مجتمعة.
حتى في هذه الحالة، كان للتوقيت أثره. فقد تلقّت Tether أول طلب تجميد بعد 34 دقيقة من السحب من Binance. وبحلول ذلك الوقت، كان 345 مليون USDT قد غادر العنوان الأصلي بالفعل.
ظهر أوضح أثر بسبب خطأ أثناء التمويه. فبعد تمرير 5,047 ETH عبر Umbra، وهي أداة خصوصية تستخدم عناوين مخفية، وعبر جسر Stargate، جمع المشغّل بقايا الأموال في محفظة واحدة.
في 31 أغسطس، أُفرغت أرصدة 150 عنوانًا في تلك المحفظة الجامعة خلال 3 دقائق و36 ثانية. وربطت عملية الجمع بين سرقتَي AFX و28 أغسطس، ثم لحقت بهما عناوين Bitget في سبتمبر. وفي المجمل، لم تتلقَّ المحفظة سوى 0.27 ETH.
تربط عناوين التسوية المشتركة الآن خمس هجمات شنّها قراصنة من كوريا الشمالية، بدءًا من KelpDAO في أبريل وانتهاءً بـBinance في أكتوبر. وتقول BitOK إن هذا يشير إلى وجود جهة واحدة لغسل الأموال، رغم احتمال تنفيذ فرق مختلفة للاختراقات.
قالت BitOK: «أصبحت الأرصدة المتبقية الضئيلة أوضح أثر تركه المشغّل هذا العام»
مفاتيح التوقيع هي ساحة الهجوم الجديدة
كانت Chainalysis قد ربطت سرقة Bitget بكوريا الشمالية في أكتوبر. وتُظهر بيانات BitOK الآن كيف يكرر قراصنة كوريا الشمالية أسلوبًا واحدًا عبر منصات التداول وبروتوكولات التمويل اللامركزي.
انتقلت نقطة الضعف من العقود الذكية إلى الموظفين والأجهزة وخدمات التوقيع. ولا تفيد عمليات التجميد التي يجريها المُصدِرون إلا في الدقائق الأولى، وقد غطّت Binance منذ ذلك الحين معظم خسائر المستخدمين من احتياطياتها الخاصة.