قراصنة يجردون 74.6 مليون رمز من أربع محافظ ساخنة على شبكة Arbitrum في اختراق Binance

أربع محافظ لأربيتروم تُجرد خلال 12 دقيقة

أفرغت أربع محافظ ساخنة تديرها Binance على شبكة الطبقة الثانية أربيتروم 74.6 مليون رمز Arbitrum (ARB) و8,426 عملة من ETH إلى حساب المهاجم خلال 12 دقيقة فقط من بدء السحب الأول، وفق بيانات السلسلة. هذه التحويلات فرع واحد من أكبر سرقة مسجلة في تاريخ العملات الرقمية: ففي 29 أكتوبر 2026 استنزف المهاجمون المحافظ الساخنة لـBinance على شبكات إيثريوم وأربيتروم وAvalanche وOptimism وشبكة البيتكوين وترون بمبالغ لا تقل عن 6.3 مليار دولار، بحسب الجرد العلني المنشور في تقرير Blockaid التقني. كان الهدف الرئيسي هو المحفظة Binance 14 (0x28C6c06298d514Db089934071355E5743bf21d60)، وهي من أكبر محافظ المنصة الساخنة على إيثريوم وأكثرها حركة. قبل دقائق من السحب، وقّع المهاجم، الذي يحمل نسخة من المفتاح الخاص المسرب للمحفظة، تفويضًا وفق معيار EIP-7702 حوّل بموجبه Binance 14 إلى عقد تجميع خبيث. ومعيار EIP-7702 هو معيار على إيثريوم يتيح لحساب خارجي عادي تنفيذ شيفرة عقد متى أُدرج تفويض موقّع في بلوك؛ ويرتبط هذا التفويض برقم التسلسل الخاص بالحساب ويظل نافذًا إلى أن يوقّع المفتاح نفسه تفويضًا بديلًا. ووصل التفويض في معاملة من النوع الرابع (0xad9926...) تحمل 50 تفويضًا موقّعًا مسبقًا على أرقام تسلسل متتالية من 18,914,775 إلى 18,914,824، أي دفعة توقيع أعمى بلا تحقق من المحتوى سُلّقت على عنوان ما زال يعالج عمليات سحب حية لمستخدمي المنصة. أخطأت 49 من هذه التفويضات أرقامها التسلسلية، لكن واحدًا منها حطّ في حين ظلت معاملات سحب المنصة نفسها تتدفق. وعند الساعة 20:24:23 بتوقيت UTC، أي بعد 3 دقائق و24 ثانية من نفاذ التفويض، فعّل المهاجم عملية التجميع (0x53bd38...). نقلت معاملة واحدة 167,464 عملة ETH و1.615 مليار USDT ونحو 60 رمزًا آخر إلى عنوان تجميع لم يُستخدم من قبل (0x5227f603C1eE34CE3C06eFe6477003BDfCCB2f8c)، تاركةً Binance 14 بعملة ETH واحدة رمزية. وبالأسعار السائدة آنذاك، قُدرت هذه الحزمة بنحو 2.5 مليار دولار.

عقد واحد وأربع شبكات وسحبان

استمرت التحضيرات يومًا كاملًا على الأقل. فمطور المهاجم (0x7C8601d4645b93cea45F71e118A729332e6B5CA0) سحب أموالًا تجريبية من Tornado Cash في ثلاث عمليات بدأت الأربعاء 28 أكتوبر، ثم تدرب على كامل تسلسل التفويض والسحب على ثلاث محافظ يملكها بتحويلات تراوحت بين دولارين و6 دولارات. وعند الساعة 15:59 نشر عقد التجميع غير الموثّق (0x63e842B054Bd624a465454D533C33F573e9c6fAe، معاملة النشر 0x97408e...)، الذي حدّد المطور جهة الاستدعاء المخوّلة الوحيدة وحمل دالة سحب تفرغ كل رمز مدرج مع عملات ETH الأصلية، إلى جانب دالة تحويل. رصد نظام مراقبة Blockaid السرقة خلال دقيقتين من عملية التجميع، قبل أي إفصاح علني أو اجتماعي، وأكّد محركه الآلي تفويض المفتاح المسرب خلال 11 دقيقة. ثم عبر الانتشار أربع شبكات: بعد 24 ثانية من السحب الأول دفعت المحفظة Binance 16 (0xDFd529...) ما قيمته 28,005.6 عملة ETH و55.7 مليون USDT و25.9 مليون RLUSD و84.5 من WBTC (0x51f263...)؛ ونقلت المحفظة Binance 55 على Optimism ما قيمته 44.2 مليون رمز OP؛ وجردت محافظ أربيتروم الأربع 74.6 مليون Arbitrum (ARB) و8,426 ETH؛ فيما نقلت أربع محافظ على Avalanche ما قيمته 1.81 مليون AVAX و8.41 مليون USDT. ولم تحمل أي من هذه المحافظ شيفرة عقد: كل تحويل كان معاملة عادية موقعة بمفتاح المحفظة ذاته، ممتزجةً بتدفق السحب اليومي للمنصة. وظل تفويض Binance 14 قائمًا: عند الساعة 20:41:23 استخدمه المهاجم لسحب 780 مليون USDC ثم 43 مليونًا إضافية من الحساب الذكي المُدار من Circle، أي المحفظة الساخنة Binance Hot Wallet 34 (0xdc102d...)، ثم أخذ سحب ثانٍ عند الساعة 21:44 (0x55ba4d...) ما قيمته 200 مليون USDT من الإيداعات الجديدة مع 13 رمزًا آخر. جمّدت Tether وCircle نحو 1.8 مليار دولار في عنوان التجميع، وأعلن الرئيس التنفيذي لشركة Tether باولو أردوينو أن تجميد شركته لرموز USDT تجاوز 1.5 مليار دولار، وبلغ إجمالي المبالغ المجمدة نحو 2.4 مليار دولار خلال ساعتين. أما عملات ETH وAVAX وOP وARB الأصلية فظلت خارج سيطرة المصدرين، وجاء الإجمالي أكبر من ثلاثة أضعاف نحو 1.5 مليار دولار خسرتها Bybit في فبراير 2025.

حيث تتوقف حدود التجميد المركزي

حصة ARB تكشف حدود التجميد المركزي. فقد استطاعت Tether وCircle استرجاع رموزيهما، لكن Arbitrum (ARB) وETH وOP وAVAX لا تحمل أي مفتاح إصدار يمكن سحبه، ولذلك بقيت الـ74.6 مليون رمز ARB المسروقة في يد المهاجم إلى أن تحركت حوكمة البروتوكول: فقد سجّل تغطيتنا السابقة أن مجلس أمن أربيتروم جمّد 74.6 مليون رمز ARB مرتبطة بهذا الاختراق، ثم نقل الرموز إلى عنوان احتجاز. يغطي ذلك دفعة واحدة فقط، ولا تشفي آلية التفويض بتغيير المفتاح، لأن التفويض العلني مرتبط بالعنوان نفسه ولا يُلغى إلا حين يوقّع المفتاح المسرب تفويضًا جديدًا يصفّر المفوَّض إلى العنوان الصفري. وتشير وثيقة Blockaid إلى أن التفويض الخبيث كان ما يزال نافذًا عند الساعة 22:00 بتوقيت UTC، ما يعني أن أي إيداع يصل إلى Binance 14 ظل قابلاً للسحب دون توقيع جديد. وتقارب الدفعة المسروقة في حجمها من إلغاء قفل 93.14 مليون رمز ARB المقرر يوم الأحد 15 نوفمبر.