أعلن Iron Fish في 31 أكتوبر إنهاء كل ما تبقى من دعم للشبكة، بعد اكتشاف ثغرة تضخمية كانت كامنة في تنفيذ شجرة Merkle منذ أوائل عام 2019.
تكمن المشكلة في تفاصيل حساب مُبطِل الإنفاق (nullifier) الخاص بملاحظات الخصوصية: إذ تمكّن المهاجمون من إنفاق ملاحظة يُفترض أن تُنفق مرة واحدة فقط مرارًا، ثم تحويل $wIRON عبر جسر ChainPort العابر للسلاسل. وقال الفريق إن هذه الشيفرة كانت ضمن نطاق عمليات التدقيق الداخلية والخارجية، لكن لم يُكتشف الخلل. ولم تُطلق الشبكة الرئيسية إلا في 20 أبريل 2023، أي بعد كتابة الشيفرة المعيبة بأكثر من أربع سنوات.
كان السبب الجذري خطأً في حساب دفتر الأستاذ الخاص بالسلسلة، لا في الجسر العابر للسلاسل. وكان الإجراء حاسمًا أيضًا: تقديم تصحيح، وإرفاق مراجعة للحادثة في طلب السحب (PR)، ثم إغلاق مستودع الشيفرة وأرشفته. انتقلت هذه السلسلة إلى وضع الصيانة في أبريل 2026، واختيار إيقافها بدلًا من مواصلة تشغيلها بعد التصحيح يعني الإقرار بأن التصحيح لا يكفي لاستعادة الثقة.
أصبح اختراق باينانس حجةً تستخدمها لجنة تداول السلع الآجلة الأميركية (CFTC) للدفع نحو التسجيل الفيدرالي. وقال رئيس اللجنة مايكل سيليغ لـCNBC في 30 أكتوبر إنه يأمل أن تسجّل هذه الفئة من منصات التداول لدى اللجنة، وأن تلتزم بضمانات الأمن السيبراني نفسها المعمول بها في الأسواق الأميركية، مضيفًا أن الحادثة تبيّن ضرورة قواعد تنظيم العملات المشفرة التي طُرحت في وقت سابق من هذا الشهر.
لكن هذا المسار طوعي. وقد سبق أن قال سيليغ إن إلزام جميع منصات التداول بالتسجيل لا يمكن أن يتم إلا بتشريع من الكونغرس؛ أما ما يراد إخضاعه فعليًا للرقابة الفيدرالية فهو تداول العملات المشفرة بالتجزئة الذي يشمل الهامش أو الرافعة المالية أو التمويل. وفي 5 أكتوبر، أصدرت اللجنة إشعارًا مسبقًا لطلب التعليقات بشأن هذه القواعد الخاصة بتداول التجزئة، وحددت 14 ديسمبر موعدًا نهائيًا لتلقيها.
المنصة التي شهدت الحادثة كانت منصة تداول خارجية، والتسجيل الطوعي لن يطال الجهات الأقل رغبةً في التسجيل. وما ينبغي متابعته الآن هو كيفية رسم القواعد، بعد انتهاء فترة تلقي التعليقات في 14 ديسمبر، للحدود بين المنصات الخارجية وأنشطة تداول التجزئة بالرافعة المالية؛ فهذا هو الجزء الذي قد ينطبق على جهات مثل باينانس.
تتخصص Chainalysis في تحليل تدفقات الأموال على السلسلة لدى الآخرين، لكن أنظمتها الداخلية تعرضت للاختراق. وقالت الشركة إنها اكتشفت في أكتوبر أن مهاجمًا خارجيًا استخدم «تقنيات الوكلاء الذكيين للذكاء الاصطناعي الهجومي» للوصول إلى أنظمتها وأدواتها الداخلية من دون تصريح. وشملت البيانات التي تم الوصول إليها معرّفات مستخدمي المنصة وأسماءهم وعناوين بريدهم الإلكتروني وأدوارهم الوظيفية؛ ولا توجد حتى الآن مؤشرات على تسريب كلمات المرور بنص صريح أو مفاتيح المصادقة متعددة العوامل (MFA) أو رموز الجلسات أو محتوى التحقيقات. وتتحقق الشركة من السجلات المتأثرة، مؤكدةً أن الحادثة لا علاقة لها بقضية سرقة Binance.
قد لا تبدو هذه البيانات حساسة، لكنها كافية للتصيد الاحتيالي: فمعرفة المؤسسة التي ينتمي إليها عنوان بريد إلكتروني ما والمنصب الذي يشغله صاحبه تتيح للمهاجم أن يبدأ انتحال شخصية زميل بذكر الاسم الصحيح.
الخطوة التالية هي معرفة النطاق الذي ستؤكده Chainalysis للبيانات المتأثرة. على المؤسسات التي تستخدمها لإجراء فحوص الامتثال مراجعة سجلات تسجيل دخول الموظفين خلال الأيام القليلة المقبلة.
كشف ZachXBT في 30 أكتوبر أن الأموال المسروقة، التي تبلغ نحو 6.3 مليارات دولار من Binance ونحو 388 مليون دولار من Bitget، نُقلت عبر THORChain ثم أُودعت في العنوان نفسه الذي يبدأ بـ0x151. اختلطت الأموال في مكان واحد، ما يشير إلى مهاجم واحد.
نُسبت أموال Bitget سابقًا إلى TraderTraitor المرتبط بكوريا الشمالية، كما أن هذه المجموعة مرتبطة أيضًا بقضايا مثل Kelp DAO. وبالنظر إلى هذا المسار، فمن المرجح أن تكون أموال Binance من المجموعة نفسها — ليستا حادثتين منفصلتين، بل عملية واحدة استهدفت منصتين متتاليتين.
هذا العنوان يستحق المتابعة أكثر من التركيز على المبالغ بالدولار. فبمجرد دخول الأموال في عملية خلط، تضيق نافذة تجميدها. وعندما تندمج الأموال من الحادثتين في مبلغ واحد، تصبح استعادتها أصعب بكثير من مجرد جمع صعوبة استعادة كل مبلغ على حدة. والخطوة التالية هي تتبع الوجهة النهائية عبر مسار THORChain العابر للسلاسل، ومعرفة كيفية تعويض أصول مستخدمي Bitget.
قلّصت هي يي، الرئيسة التنفيذية المشاركة في باينانس، في 30 أكتوبر حجم المبلغ الذي يقلق السوق أكثر: فلا حاجة إلى إعادة استثمار مبلغ 6.3 مليارات دولار بالكامل في شراء العملات المشفرة. وقالت إن معظم إيرادات باينانس اليومية وأصولها المملوكة هي أصول مشفرة، وتتطابق إلى حد كبير مع العملات المسروقة، ولن يلزم شراء سوى كمية قليلة عبر قنوات التداول المباشر أو خارج المنصة.
بلغت قيمة المسروقات نحو 6.3 مليارات دولار، وقد جمّد شركاء القطاع نحو 3 مليارات دولار. وبناءً على ذلك، وبعد خصم نحو 1.157 مليار دولار من صندوق SAFU، قدّرت Odaily العجز المتبقي بنحو 2.14 مليار دولار — وهذا حسابها، وليس الرقم المعتمد لدى باينانس. أما ما يتعين شراؤه فعليًا، فلا يمثل سوى جزء صغير من ذلك.
سيُحدَّث إثبات الاحتياطيات خلال الأيام المقبلة، وعندها يمكن التحقق مما إذا كانت الأرصدة قد استُكملت لكل عملة. وكان الأول من نوفمبر هو الموعد الشهري المعتاد لنشر باينانس إثبات الاحتياطيات (PoR).
بعد سرقة نحو 6.3 مليار دولار من Binance، انخفضت احتياطيات BTC في ذلك اليوم بنسبة 3.1% فقط، لتبقى أكثر من 682,000 BTC؛ أما احتياطيات ETH فانخفضت بنسبة 8.5%، إلى 3.3 مليون ETH. وبلغت التدفقات الخارجة التي تتبّعها Darkfost نحو 18,279 BTC $BTC و246,840 ETH. وخلال 24 ساعة من الحادثة، تراجع BTC بأكثر بقليل من 2%، مقارنةً بـ26% بعد انهيار FTX في نوفمبر 2022.
أما حساب التعويضات فمسألة أخرى. جُمّد نحو 3 مليارات دولار، وباحتساب السعر عند 78,509 دولارات، تبلغ قيمة الـ15,000 BTC التابعة لصندوق SAFU نحو 1.18 مليار دولار، وهو ما يغطي نحو 36% فقط من الخسائر غير المجمّدة؛ وتتحمل أموال الشركة الباقي.
تعامل السوق مع الحادثة على أنها إخفاق تشغيلي يخص Binance وحدها، لا أزمة ثقة في القطاع. ولا يصح هذا التقييم إلا إذا كانت أموال الشركة قادرة فعلًا على تغطية الستين بالمئة المتبقية. والسؤال الذي ينبغي مراقبته في المرحلة المقبلة هو ما إذا كانت الاحتياطيات ستعود إلى مستواها قبل الهجوم.
قال ريتشارد تنغ، الرئيس التنفيذي المشارك لبينانس، في مقطع فيديو مساء 30 أكتوبر، إن عمليات السحب قد تُستأنف خلال نحو 40 ساعة، قبل الموعد النهائي يوم الأحد، وإن إثبات الاحتياطيات الكامل سيُنشر يوم الاثنين المقبل. وأقرّ في الوقت نفسه بأن التحقيق كشف عن مزيد من نقاط الاختراق، وأن المهاجمين استخدموا EIP-7702 للحصول على تفويض بالتنفيذ على السلسلة لمحفظة ساخنة. وقد خصصت بينانس أكثر من 6.34 مليار دولار لتغطية الخسائر. وتستحق متابعة ما إذا كانت عمليات السحب ستُستأنف في الموعد اهتمامًا أكبر من إثبات الاحتياطيات.
بعد سرقة 6.3 مليار دولار، أوصت تقارير بحثية من ثلاث مؤسسات في وول ستريت، صدرت في 30 أكتوبر، بالشراء عند انخفاض الأسعار. وقال رامسي العسال من كانتور فيتزجيرالد: «الأمر مؤلم، لكنه ليس عام 2022».
والسبب هو سرعة الاستجابة: جمّدت تيثر أكثر من 1.5 مليار دولار، وسيركل نحو 800 مليون دولار، فيما قالت بينانس إن إجمالي المبالغ المجمدة بلغ نحو 3 مليارات دولار. وأرجعت تي دي كوين المشكلة إلى بنية التوقيع الخاصة ببينانس، لا إلى بيتكوين. ومع ذلك، تراجع سهم كل من كوينبيس وستراتيجي بنحو 12% في اليوم نفسه.
لا يكمن الخلاف في حجم الأموال المسروقة، بل في التعويضات: حذّرت كومباس بوينت من أن التعويضات ستضغط على معروض العملات المستقرة، وراقبت النطاق بين $BTC 75000 و77000 دولار. والسؤال التالي هو ما إذا كان إجمالي معروض العملات المستقرة سينكمش بوضوح خلال فترة التعويضات.
أدرج ثلاثة مسؤولين تنفيذيين في Coinbase ما يصل إلى 13.6 مليون سهم $COIN ضمن خطط للبيع، بقيمة تقارب 2.2 مليار دولار وفق سعر الإغلاق في 29 أكتوبر. ويمكن للرئيس التنفيذي Brian Armstrong وحده بيع نحو 8.17 ملايين سهم، خلال الفترة من 16 نوفمبر 2026 إلى أكتوبر 2027.
هذه خطط بموجب القاعدة 10b5-1، وردت في ملفات الشركة المقدمة إلى هيئة الأوراق المالية والبورصات الأمريكية (SEC) للربع الثالث، وكانت BeInCrypto أول من أورد الخبر. وتحدد هذه الخطط مسبقًا مواعيد البيع وكمياته، ما يشير إلى رغبة المسؤولين التنفيذيين في تنويع جزء من ثرواتهم بعيدًا عن سهم واحد، لا إلى توقعاتهم بشأن الربع المقبل. أما حصة Armstrong، فتخضع أيضًا لشروط، ولن تُنفذ إلا إذا بلغ سعر السهم مستويات محددة مسبقًا.
بيع 13.6 مليون سهم على مدى عام تقريبًا يحمل دلالة رمزية أكبر من تأثيره الفعلي على الأرجح؛ وستوضح أولى الصفقات بعد 16 نوفمبر الصورة.
حوّلت بلاك روك 37,470 وحدة من $ETH من محفظة صندوق ETF لإيثيريوم إلى Coinbase Prime، وتُقدَّر قيمتها بنحو 83.3 مليون دولار، وفقًا لمراقبة Onchain Lens. وتُظهر بيانات Arkham أن التحويل أُنجز على دفعات عدة خلال الساعات القليلة الماضية، وليس في معاملة واحدة.
تُحفظ أصول صناديق ETF لدى جهة وصاية، ويكون تحويلها إلى Prime عادةً خطوة وسيطة في عمليات الاسترداد أو إعادة موازنة المحافظ. يمكن رؤية حركة الأصول بين العناوين على السلسلة، لكن لا يمكن معرفة ما إذا كانت وراءها عمليات استرداد من المستثمرين أم نقل داخلي بين المحافظ؛ ولا بد من الرجوع إلى بيانات التدفقات اليومية لتحديد ذلك.
الخطوة التالية هي معرفة ما إذا كان هذا التحويل يتطابق مع صافي التدفقات الخارجة لليوم: إن تطابقا، فهذا يعني أن عمليات الاسترداد تسير ضمن إجراءاتها؛ وإن لم يتطابقا، فالأمر لا يعدو كونه نقلًا للأصول داخل طبقة الحفظ. لا يمكن استنتاج اتجاه الحركة من تحويل واحد فقط.
قالت هي يي من Binance على X في 30 أكتوبر إن Binance تشتري جميع العملات البديلة المسروقة عبر التداول خارج المنصة (OTC) ومن السوق، وستنشر إثبات الاحتياطيات (PoR) بعد اكتمال المطابقة. وذكرت أن صندوق SAFU ومحفظتها الخاصة يحتويان على كميات كبيرة من $BTC و$ETH .
إن استخدام أموال حقيقية لشراء العملات المسروقة وإعادتها إلى الاحتياطيات أكثر إقناعًا من الاكتفاء بضمانها بأرقام دفترية للصندوق. لكن لا يزال من غير الواضح كم ستستغرق عملية الشراء هذه، وما إذا كانت سترفع أسعار العملات البديلة المعنية.
خلال 20 دقيقة، سُرقت 6.36 مليار دولار من محافظ باينانس على 10 سلاسل. وفي 30 أكتوبر، عزت TRM Labs هذه العملية، بدرجة عالية من الثقة، إلى مجموعة القراصنة الكورية الشمالية TraderTraitor، ووصفتها بأنها أكبر سرقة للعملات المشفرة مسجلة على الإطلاق.
والأسلوب المتبع أهم: على إيثيريوم، استخدم المهاجمون تفويض EIP-7702 لتحويل محفظة ساخنة تابعة لباينانس إلى عقد لسحب الأموال يتحكمون فيه، مع تجهيز 50 تفويضًا موقّعًا مسبقًا؛ وفي النافذة الزمنية نفسها، جرى التحويل عبر السلاسل التسع الأخرى بتوقيعات عادية. وترى TRM أن البنية التحتية لتوقيع المحفظة الساخنة قد تعرضت للاختراق. واختراق تسع سلاسل في الوقت نفسه لا يبدو خطأً تشغيليًا عاديًا.
تبلغ قيمة العملات المستقرة المجمدة نحو 2.67 مليار دولار، وهي من Tether وCircle وRipple وWorld Liberty Financial. ولا يزال لدى المهاجمين أكثر من 420 ألفًا من $ETH و18,270 من $BTC .
لا تزال 815 ألف وحدة من صندوق IBIT التابع لبلاك روك، والبالغ عددها $BTC وقيمتها نحو 63 مليار دولار، مودعةً أساسًا لدى Coinbase وحدها، من دون تأمين منفصل. وأشار Yishi، مؤسس OneKey، في 30 أكتوبر إلى أنه رغم تعيين Anchorage Digital وصيًا إضافيًا، لا تتضمن أحدث التقارير الفصلية أي خطة لنقل الأصول.
التأمين والمخاطر غير متناسبين إطلاقًا: فتأمين Coinbase ضد الجرائم التجارية، البالغ 320 مليون دولار، مشترك بين عدة عملاء، فيما لا يتجاوز سقف المسؤولية في اتفاقية الحفظ 100 مليون دولار لكل عنوان تخزين بارد. وإذا تعرضت الأصول للسرقة وتعذّر استردادها، فسيتحمل مساهمو IBIT الخسائر المتبقية.
يشتبه Yishi في أن IBIT مدرج ضمن قائمة الأهداف المحتملة لكوريا الشمالية، لكنه قال إنه لا يوجد حاليًا ما يثبت أن الصندوق قد استُهدف. أما القائمة فمجرد تكهنات، في حين أن تركز الحفظ وثغرات التأمين مذكوران في الوثائق.
مكاتب عائلية كثيرة أقنعها دو جون في سنواته الأولى بتخصيص أموال لـ $BTC و$ETH ، باتت الآن تستبدل BTC بـ IBIT، وبعضها باع العملات الرقمية واشترى الذهب المادي. هذا ما قاله دو جون على X، وأضاف: لا أعرف كيف أقنعهم، ولم أرَ حتى الآن أي حل.
أكثر ما تخشاه هذه المكاتب العائلية ليس التقلبات، بل خسارة رأس المال بالكامل. سرقة العملات والتلاعب بسلاسل توريد المحافظ الباردة يضران بمرحلة الحفظ، لا بالأصول نفسها. التحول إلى IBIT يعني إسناد الحفظ إلى بلاك روك، وشراء الذهب يعني مغادرة هذا النظام تمامًا. كلا الخيارين يشير إلى الأمر نفسه: يفضلون ربحًا أقل على أن يتخلوا عن مسؤولية إدارة مفاتيحهم الخاصة.
هذا مجرد ما قاله دو جون، ولم يذكر حجم الأموال. إذا كانت أموال فعلًا قد انتقلت من البلوك تشين إلى صناديق ETF بعد حوادث أمنية، فستظهر آثار ذلك في بيانات الاكتتاب وأرصدة منصات التداول — يكفي مراقبة هاتين المجموعتين.
سجّل صندوق ETF الفوري لإيثيريوم صافي تدفقات خارجة على مدى 4 أيام تداول متتالية، وبلغ إجمالي صافي التدفقات الخارجة في يوم 29 أكتوبر (بتوقيت شرق الولايات المتحدة) 105 ملايين دولار؛ وفي اليوم نفسه، سجّل صندوق ETF الفوري لبيتكوين صافي تدفقات داخلة بقيمة 17.0719 مليون دولار، وذلك أيضًا لليوم الرابع على التوالي.
حجم التدفقات على الجانبين ليس على المستوى نفسه، و$ETH يتعرض لعمليات استرداد مستمرة؛ لذا فإن وصف ذلك بأنه تدوير للأموال من إيثيريوم إلى بيتكوين سيكون مبالغة. فقد سجّل منتج ETHA التابع لبلاك روك وحده تدفقات خارجة بقيمة 71.7 مليون دولار في ذلك اليوم، ما يعني أن عمليات الاسترداد تركزت في منتج واحد، لا أنها انسحاب جماعي من القطاع بأكمله.
وفقًا لإحصاءات SoSoValue، بلغت صافي قيمة الأصول الإجمالية لصناديق ETF الفورية لإيثيريوم 13.984 مليار دولار حتى 29 أكتوبر، أي ما يعادل 5.07% من إجمالي القيمة السوقية لإيثيريوم. وفي الأيام المقبلة، راقب الأرقام اليومية لمنتج ETHA؛ فهي أسرع من الإجمالي في إظهار ما إذا كانت موجة الاسترداد هذه قد توقفت.
يمكن الآن لمن يرغب في تحويل $USDT باستخدام USDT0 بين إيثيريوم وترون إجراء التحويلات بشكل طبيعي. وأعلنت USDT0 صباح 30 أكتوبر على X استئناف التحويلات بين السلسلتين، بعد تعليقها مؤقتًا على خلفية حادثة الاختراق التي استهدفت باينانس، وذلك لمنع تحرّك الأموال المسروقة؛ وأكدت أن بنيتها التحتية لم تتأثر.
كان هذا تشديدًا احترازيًا، لا اختراقًا. فالعملات المستقرة المسروقة تخضع لمراقبة أطراف عدة، ومن المرجح أن يصبح عبور هذه الحلقة بين السلاسل أصعب فأصعب.
نقل المهاجم 18,270 وحدة من $BTC (حوالي 1.42 مليار دولار) من محفظة باينانس الباردة إلى 19 عنوانًا جديدًا، أودع في كل واحد من 17 منها 1,000 وحدة، ولم تتحرك أي منها منذ ذلك الحين. وفي الوقت نفسه، تُباع رموز أخرى من الإيثيريوم، من الدفعة نفسها من الأموال المسروقة، تباعًا من كل محفظة في مجمّعات التداول اللامركزي (DEX).
تتبّع jjcmoreno في 30 أكتوبر: جمّدت Tether وCircle نحو 2.2 مليار دولار من العملات المستقرة، منها 1.38 مليار USDT و823 مليون USDC؛ وقبل التجميد، جرى بالفعل تحويل نحو 435 مليون USDT إلى $ETH عبر 0x و1inch وLiFi وUniswap.
الاحتفاظ بـBTC من دون تحريكها، مع الإسراع في بيع العملات الصغيرة، لا يبدو كأنه جزء من جدول زمني واحد. حتى الآن، لم تُنقل أي أموال إلى منصات تداول مركزية أو جسور بين السلاسل أو أدوات خلط، لذا يقع ضغط التسييل بالكامل على سيولة مجمّعات التداول اللامركزي. ومن الأجدر ترقّب موعد تحرّك العناوين الـ17 التي تضم كل منها 1,000 وحدة، بدلًا من التركيز على عدد العملات الصغيرة المتبقية التي تُباع.
حوّل مخترقو باينانس دفعة واحدة 74.56 مليونًا من عملة $ARB إلى عنوان ينتهي بـ0DA0، وصنّفت Arkham هذا العنوان على أنه تابع لمخترق Kelp DAO. ووفقًا لمتابعة @ai_9684xtpa، قد يكون الهجومان من تنفيذ المجموعة نفسها. وحتى صباح 30 أكتوبر، لم تتحرك هذه الكمية من ARB ولم تُبع.
وفي اليوم نفسه، أشار ZachXBT إلى جهة أبعد: من المرجح أن هجوم باينانس نفذته مجموعة لازاروس الكورية الشمالية. وعند نقل Kuai Dong لهذه المعلومات، أورد قضايا سابقة يُشتبه في تورط المجموعة فيها، منها سرقة نحو 1.5 مليار دولار من Bybit ونحو 292 مليون دولار من Kelp DAO.
هذا الإسناد هو استنتاج محققي البلوك تشين، وليس نتيجة رسمية. وقد سُرقت rsETH في حادثة Kelp DAO، بينما كانت العملة المحوّلة هذه المرة هي ARB؛ وسيتوقف الربط بين الحادثتين على تحركات الأموال اللاحقة. وإذا بدأ تحويل هذه الكمية البالغة 74.56 مليون ARB على دفعات، فسيكون ذلك نقطة المراقبة التالية.