كيف وقع اختراق بينانس ومن تكون الجهة التي تقف خلفه؟

يحقق المحققون في كيفية تمكّن قراصنة من سرقة 6,3 مليار دولار (5,6 مليار يورو) من منصة تداول العملات المشفّرة "Binance" في ما يُوصَف بأنه "أكبر عملية قرصنة في التاريخ"، مع وجود مؤشرات على أن مجموعة قرصنة كورية شمالية كانت وراء الهجوم.

اعلان

اعلان

وتفوق هذه الأرقام بكثير حجم عمليات القرصنة السابقة في عالم العملات المشفّرة، مثل الهجوم على "Bybit" (1,5 مليار دولار، 1,39 مليار يورو)، و"Poly Network" (610 مليون دولار، 545 مليون يورو) و"Ronin Network" (540 مليون دولار، 482 مليون يورو). وتعدّ واقعة "Binance" الأحدث ضمن سلسلة من حوادث الأمن السيبراني في شهر أكتوبر الحالي، حيث يُلقى باللوم بشكل كبير، من قبل خبراء الأمن السيبراني، على التوسع في استخدام الذكاء الاصطناعي لاكتشاف الثغرات.

وتُعتبر "Binance" أكبر منصة لتداول العملات المشفّرة في العالم، إذ تسيطر على نحو 35 بالمئة من إجمالي الحصة السوقية للعملات الرقمية، وفقا للشركة. وتؤدي دورا محوريا في منظومة العملات المشفّرة، إذ تتيح للناس شراء وبيع هذه العملات.

وكما هو الحال في منصات تداول العملات التقليدية، تحتفظ الشركة بعملات عملائها في محافظ تسيطر عليها هي، وتعالج عمليات السحب من عدد قليل من هذه المحافظ التي تبقى متصلة بالإنترنت على مدار الوقت.

وقد وقع الهجوم خلال فترة تقل عن أربع ساعات، إذ حصل القراصنة على وصول إلى عدة محافظ عبر حاسوب محمول مخترق، ثم أرسلوا الأموال من محافظ "Binance" إلى محافظهم الخاصة. ولحسن الحظ، تمكّنت "Binance" وشركاؤها من تجميد 2,7 مليار دولار (2,4 مليار يورو) من الأموال المسروقة، فيما لا تزال الأموال المتبقية مجمّدة في محافظ المهاجمين دون أن تمسّ.

في ما يلي تسلسل زمني لكيفية وقوع الحادث:

الخميس

10:29 مساء CET تعلن "Binance" أنها تحقق بنشاط في تقارير عن مشكلة أمنية محتملة، وتطمئن العملاء إلى أن أموالهم "آمنة تماما"، لكنها تحذّر من "عمليات احتيال".

11:15 مساء CET تقول الشركة إنها تجري عمليات تدقيق أمني، على أن تُستأنف عمليات السحب بمجرد حل المشكلة الأمنية.

الجمعة

12:06 صباحا CET تعلّق الشركة التداول على "Binance Alpha"، وتقول إن التداول سيُستأنف عند حل المشكلة الأمنية، وتعيد التأكيد للعملاء على أن أموالهم لا تزال آمنة.

12:22 صباحا CET تصدر "Binance" أول إعلان يفيد بأن الأصول تتأثر بالهجوم. وتقول إنها على علم بالتقارير عن تجميد أموال، موضحة أن 2,54 مليار دولار (2,26 مليار يورو) قد جرى تجميدها حتى الآن، وتضيف أن هذا الرقم قد يرتفع مع استمرار العمل الوثيق مع أجهزة إنفاذ القانون والسلطات المعنية لتعقّب الأصول وتجميدها.

1:13 صباحا CET تصدر "Binance" بيانا تقول فيه إنها ستقوم "بتغطية جميع الخسائر"، وإنه كإجراء احترازي تم تعليق جميع عمليات الإيداع والسحب مؤقتا.

1:52 صباحا CET تحدّث الشركة رقم الأصول المجمّدة، الذي ارتفع إلى 3 مليار دولار (2,68 مليار يورو).

3:25 صباحا CET تكشف "Binance" أن إجمالي الأثر يبلغ نحو 6,3 مليار دولار (5,6 مليار يورو)، وتشير تحقيقاتها إلى أن الحاسوب المحمول لمهندس "DevOps" تم اختراقه، وربما كان نقطة الدخول التي أتاحَت الوصول إلى "حاوية خدمة" وتقديم معاملات سحب غير مصرّح بها.

وتضيف الشركة أنه لا توجد أدلة على أي تسرب في المفاتيح الخاصة بالمحافظ. وكإجراء احترازي، ألغت صلاحية العنوان المتأثر، واستعانت بأجهزة إنفاذ القانون وشركاء في قطاع سلسلة الكتل لتعقّب الأموال واستعادتها، بالإضافة إلى تجميد الحسابات.

5:36 صباحا CET تقول الشركة في تحديث إن الحادث ناتج عن عدة عوامل، وليس عن الحاسوب المحمول المخترق وحده.

9:47 صباحا CET تؤكد "Binance" ما جاء في بيانها السابق من أن الحاسوب المحمول المخترق ربما كان نقطة الدخول، لكنها تقول إن المحققين رصدوا اختراقات أخرى ضمن ما وصفته بأنه "هجوم معقد". وتوضح الشركة أنها تسير وفق الجدول لاستئناف خدمات السحب خلال 45 ساعة.

11:55 صباحا CET تقول الشركة إنها بدأت باستعادة الأصول المتأثرة لصالح المستخدمين، وإنها ستغطي الخسائر من أموال الشركة، مع تخصيص 6,34 مليار دولار (5,66 مليار يورو) لتغطية هذه الحادثة.

وتقول الشركة عبر منصة التواصل الاجتماعي "X": "سنتجاوز هذه العاصفة".

كيف حدث ذلك؟

قالت "Binance" إن الحادث كان "هجوما معقدا" ناتجا عن عوامل متعددة.

وتشير تحقيقاتها الأولية إلى أن الحادث الأمني قد يكون مرتبطا بحاسوب محمول مخترق يعود لمهندس "DevOps"، ما أتاح للمهاجم الوصول إلى حاوية خدمة وتقديم معاملات سحب غير مصرح بها.

وتفيد شركة "Bitquery" المتخصصة في بنية بيانات سلسلة الكتل بأن نظام السحب التابع لـ"Binance" نفسه وقّع على تحويل 6,3 مليار دولار (5,6 مليار يورو) من 17 من محافظها الساخنة خلال أقل من أربع ساعات، من الساعة 9:04 مساء يوم الخميس حتى 12:56 صباحا بتوقيت وسط أوروبا (CET) صباح الجمعة.

وقد دفع ذلك مُصدِري العملات المستقرة "Tether" و"Circle" و"Arbitrum"، إلى جانب أربعة مُصدِرين أصغر حجما، إلى تجميد 2,7 مليار دولار لمنع سرقة هذه الأموال، وفقا لـ"Bitquery"، بينما أكّد "Bitcoin" أن 3 مليار دولار جرى تجميدها في المجموع.

وقام المهاجم بتحويل 729 مليون دولار أخرى من العملات المستقرة قبل بدء عمليات التجميد. وفي النهاية، ظل المهاجم يحتفظ بنحو 3,1 مليار دولار، معظمها على شكل عملتي "Ether" و"Bitcoin"، بحسب "Bitquery".

وتذكر "Bitquery" أيضا أن الأموال أُرسلت إلى عناوين جديدة موزعة على تسعة سلاسل كتل، وكانت "Ethereum" و"Bitcoin" و"TRON" الأكثر تضررا.

ولا تزال الشركة تحقق في المسألة بالتنسيق مع أجهزة إنفاذ القانون وشركاء في استخبارات سلسلة الكتل لتعقّب الأموال واستعادتها.

وقد علّقت "Binance" مؤقتا عمليات الإيداع والسحب إلى حين استكمال الفحوصات الأمنية، وألغت صلاحية العنوان المتأثر، واستعانت بأجهزة إنفاذ القانون وشركاء في استخبارات سلسلة الكتل لتعقّب الأموال واستعادتها.

وقالت الشركة إنها ستنشر تقريرا فنيا مفصلا عن الحادث بعد استكمال التحقيق والتحقق من الحقائق.

كما تخطط لنشر نسخة محدّثة من "إثبات الاحتياطيات" بعد الانتهاء من إجراءات المعالجة.

من يقف وراء الهجوم؟

تقول شركة "TRM Labs" المتخصصة في استخبارات سلسلة الكتل والأمن السيبراني إن مجموعة القرصنة الكورية الشمالية "TraderTraitor" كانت وراء الهجوم.

وجاء في بيان للشركة: "استنادا إلى معلومات قوية من داخل السلسلة وخارجها، نتوصل إلى هذا الحكم بثقة عالية".

وتشير أيضا إلى أن مكتب التحقيقات الفدرالي (FBI) سمّى المجموعة نفسها مسؤولة عن عملية القرصنة على "Bybit" بقيمة 1,5 مليار دولار (1,34 مليار يورو) في فبراير 2025.