أثار اختراق باينانس البالغة قيمته 6.3 مليار دولار مخاوف من أن تكون الموجة التالية من سرقات العملات المشفرة أكثر تنسيقًا وإحداثًا للاضطراب مما شهده القطاع حتى الآن. وفي أعقاب الهجوم، قالت شركة استخبارات البلوك تشين TRM Labs إنها تحركت بسرعة لتحديد الجناة، مشيرةً إلى أدلة تربط الحادثة بمجموعة القرصنة المرتبطة بالدولة في كوريا الشمالية «TraitorTrader».

في غضون ذلك، وصفت باينانس مسار الاختراق في تقرير لاحق نُشر في 3 نوفمبر، وقالت إن المهاجمين انتحلوا صفة مسؤولي توظيف لإيصال برمجيات خبيثة إلى حاسوب العمل الخاص بأحد المهندسين، ثم استغلوا أداة ذكاء اصطناعي داخلية مخترقة للوصول إلى وظائف توقيع المحافظ. وقال آري ريدبورد، رئيس السياسات في TRM Labs، لموقع Cointelegraph إنه رغم سرعة الاستجابة المنسقة للقطاع على نحو غير معتاد، ينبغي للمؤسسات أن تتوقع مزيدًا من المحاولات من هذا النوع.

أبرز النقاط

• تعزو TRM Labs اختراق باينانس إلى المجموعة الكورية الشمالية TraitorTrader، مستندةً إلى أدلة على السلسلة وخارجها.

• قالت باينانس إن المهاجمين استخدموا «مقابلات عمل زائفة» لزرع برمجيات خبيثة، ثم انتقلوا عبر أداة ذكاء اصطناعي داخلية مخترقة للوصول إلى خدمة توقيع المحافظ.

• جمّدت تيثر ومُصدرو عملات مستقرة آخرون رموزاً بقيمة نحو 2.67 مليار دولار بعد عملية السحب الرئيسية، فيما جمّدت تيثر 971.1 مليون USDT خلال 37 دقيقة.

• أفادت التقارير بأن شبكة Beacon التابعة لـTRM مكّنت من تجميد الأموال بسرعة أكبر بكثير من المعتاد مقارنةً بحوادث سابقة.

• تحذر TRM من أن التنسيق القوي، حتى وإن تحقق، قد لا يمنع الاختراقات المستقبلية، وترى أن على المدافعين التحول إلى التحرك الهجومي والعمل المدعوم من الحكومات.

لماذا يكتسب الجدل حول تحديد الجهة المسؤولة أهمية

تحديد الجهة المسؤولة ليس مجرد عنوان رئيسي في اختراقات العملات المشفرة البارزة؛ بل قد يؤثر في كيفية فرز منصات التداول ومُصدري العملات المستقرة وأجهزة إنفاذ القانون لمواطن التعرض للمخاطر، وفي كيفية ضغطهم على مسار غسل الأموال. قالت TRM Labs إنها كانت من أوائل الجهات التي نسبت هجوم باينانس إلى TraitorTrader، وقد ربطت المجموعة نفسها سابقاً بسرقة كبيرة استهدفت Bybit في فبراير 2025.

في تقريرها عن حادثة باينانس، أوضحت TRM أن استنتاجها يستند إلى أدلة «لا تقبل الجدل» على السلسلة وخارجها. ويكتسب ذلك أهمية للمشاركين في السوق لأنه يساعد على توجيه تقييمات المخاطر وأولويات الاستجابة للحوادث، لا سيما حين تظل الأموال المسروقة قيد التحويل، وحين يتعين على الأطراف المقابلة أن تقرر مدى تشددها في التجميد أو المراقبة أو التعاون.

رواية باينانس عن كيفية اختراق المهاجمين للأنظمة

قالت باينانس إن الاختراق بدأ عبر الهندسة الاجتماعية. ووفقاً لتقريرها الاستعادي المؤرخ في 3 نوفمبر، انتحل المهاجمون صفة مسؤولي توظيف لاختراق حاسوب العمل الخاص بأحد المهندسين باستخدام برمجيات خبيثة. ومن هناك، يُزعم أن المهاجمين استخدموا أداة ذكاء اصطناعي داخلية مخترقة للوصول إلى خدمة توقيع المحافظ لدى المنصة.

تسلط هذه السلسلة من الأحداث الضوء على نمط أصبح مصدر قلق رئيسياً للبنية التحتية الكبيرة للعملات المشفرة: إذ يمزج المهاجمون على نحو متزايد بين أساليب تستهدف الأشخاص والوصول إلى الأدوات الداخلية، بدلاً من الاعتماد حصراً على استغلال الثغرات المباشرة في الأنظمة المتاحة للجمهور.

التنسيق السريع ونطاق تجميد العملات المستقرة

قال آري ريدبورد من TRM إن من أبرز جوانب استجابة باينانس سرعة الجهود الرامية إلى منع الأموال المسروقة من الانتقال إلى خارج السلسلة وحجمها. وأفادت التقارير بأن تيثر جمّدت 971.1 مليون USDT بعد 37 دقيقة فقط من عملية السحب الرئيسية. كما قدرت TRM أن مُصدري العملات المستقرة جمّدوا مجتمعين رموزاً تبلغ قيمتها نحو 2.67 مليار دولار.

وصف ريدبورد التحرك المنسق للعملات المستقرة بأنه غير مسبوق، مضيفاً أن عمليات التجميد المبكرة مكّنت القطاع من استرداد نحو 40% «منذ البداية». عملياً، يمكن للتجميد السريع أن يمنح المدافعين وقتاً، سواء للتحقيقات أو للخطوات التشغيلية اللازمة لاحتواء الأموال قبل تحويلها أو نقلها عبر الجسور أو توزيعها.

كما أشارت TRM إلى شبكة Beacon، وهي منظومة لتبادل المعلومات الاستخباراتية أُطلقت في عام 2025، بوصفها عنصراً أساسياً في تمكين التنسيق السريع. وقال ريدبورد إنه رغم أن تنبيهات Beacon تكون عادةً قليلة نسبياً، فإن الأيام المحيطة باختراق باينانس شهدت، بحسب التقارير، مئات التنبيهات، وربما ما يصل إلى ألف تنبيه، ما يعكس تصاعداً كبيراً في النشاط المنسق بين المؤسسات المشاركة.

من الاستجابة المنسقة إلى التهديد المستمر

رأى ريدبورد من TRM أن الاستجابة المنسقة كانت قوية على نحو استثنائي، لكنها قد لا تردع المهاجمين المرتبطين بالدول على المدى الطويل. وحذر من أن قدرة كوريا الشمالية على السرقة لا تزال فعالة وذات أهمية اقتصادية.

ووصف سرقة 29 أكتوبر بأنها تعادل نحو ثلث الناتج المحلي الإجمالي للبلاد، وقال إنها شكّلت نصف مبلغ 12.5 مليار دولار الذي سرقه قراصنة مدعومون من دول منذ عام 2017. وجادل بأن احتمال تحقيق عائد كبير يظل قائماً بما يكفي لمواصلة المحاولات المتكررة، حتى لو لم يُسترد سوى مليار دولار واحد.

يكتسب هذا السياق أهمية للقراء الذين يتابعون مدى «نجاح» الاستجابات للأزمات. يستطيع القطاع تحسين عمليات الكشف والتجميد، لكن إذا ظل نموذج المهاجمين قادراً على الصمود، وإذا استمر اكتشاف الثغرات الهجومية بوتيرة أسرع من قدرة المدافعين على ترقيعها، فقد يتحول كل اختراق كبير إلى مبرر تجاري متكرر للمهاجمين.

ما الذي تغير: أدوات التنسيق وحدود الدفاع

يشير تقرير TRM إلى أن استجابة القطاع تتطور من التعامل مع الحوادث كلٌّ على حدة نحو تبادل المعلومات الاستخباراتية بسرعة أكبر. ويبدو أن شبكة Beacon صُممت لتقليص التأخير بين الكشف والتحرك، كما يوحي وصف ريدبورد بأن اختراق باينانس أدى إلى وتيرة تشغيلية مرتفعة على نحو استثنائي.

وفي الوقت نفسه، تشير تقارير خارجية استشهد بها المقال إلى أن تعاوناً سابقاً لـTRM عُرف باسم وحدة T3 للجرائم المالية، وأُنشئ مع ترون وتيثر في سبتمبر 2024، قد حُلّ في أواخر أغسطس، وفقاً لتقرير بلومبرغ الذي أشار إليه Cointelegraph. وذكر المصدر نفسه أن مصادر نسبت إنهاء الوحدة إلى بطء الاستجابة وضعف التنسيق. وأفادت التقارير بأن تيثر قالت إنها ستواصل العمل مع TRM عبر Beacon.

وتؤكد القصة مجتمعةً وجود توتر في النهج التشغيلي للقطاع: فقد يصعب الحفاظ على مبادرات التنسيق الواسعة، لكن أنظمة تبادل المعلومات الاستخباراتية الأضيق نطاقاً والأسرع قد تكون أكثر فعالية أثناء الأزمات المتسارعة.

التحول نحو التدابير الهجومية

ذهب مسؤول السياسات في TRM Labs إلى أبعد من الاستجابة للحوادث. إذ جادل بأن وقف الاختراقات المرتبطة بكوريا الشمالية يتطلب تحركاً هجومياً من الحكومات، لا الاكتفاء بالضوابط الدفاعية التي تفرضها الشركات الخاصة. ومن منظور TRM، تستخدم كوريا الشمالية القراصنة بوصفهم ذراعاً للدولة، الأمر الذي يغير طبيعة التدابير المضادة الملائمة.

يعرض تقرير TRM عن فجوة القدرات، المشار إليه في المقال، التحدي باعتباره اتساعاً للفجوة بين المهاجمين والمدافعين. وقالت الشركة إن تبني المهاجمين المبكر للتقنيات المتقدمة، ومنها الذكاء الاصطناعي، هو ما يدفع اتساع الفجوة، ورأت أن فرق إنفاذ القانون والامتثال تحتاج إلى قدرات في الذكاء الاصطناعي لكشف الثغرات وترقيعها بسرعة كافية لمواكبة هذا التطور.

وكانت خلاصة ريدبورد حاسمة: دعا المدافعين إلى «الرد بالاختراق»، والجمع بين العمليات السيبرانية الهجومية والتحرك ضد شبكات غسل الأموال والقنوات المصرفية التي يستخدمها المهاجمون لتسييل أموالهم. ووفقاً لتوصيفه، فالأمر ليس مجرد أمن سيبراني، بل «حرب سيبرانية».

بينما يستوعب القطاع تقرير باينانس الاستعادي ونسبة الهجوم إلى جهة معينة في تقرير TRM، يُرجح أن تركز الأسئلة التالية للمستثمرين والمطورين على التنفيذ: هل تستطيع شبكات تبادل المعلومات الاستخباراتية مثل Beacon مواصلة تجميد الأموال بسرعة وعلى نطاق واسع؟ وهل سيتبنى صناع السياسات دعوة TRM إلى اتخاذ تدابير هجومية، بدلاً من الاعتماد أساساً على الدفاع التفاعلي؟

نُشر هذا المقال في الأصل بعنوان «مسؤول تنفيذي في TRM Labs يصف اختراق باينانس بأنه حدث “حرب سيبرانية”» على Crypto Breaking News، مصدرك الموثوق لأخبار العملات المشفرة والبيتكوين وتحديثات البلوك تشين.