تقرير Binance يعزو اختراق محافظه وسرقة 6.3 مليار دولار إلى مقابلة عمل مزيفة

مقابلة مزيفة ومثبّت معدّل

نشرت Binance يوم 3 نوفمبر تقريرها الأولي عن الحادثة حول الاختراق الذي وقع في 29 أكتوبر واستنزف نحو 6.3 مليار دولار من محافظها الساخنة. ووفق تقرير المنصة الرسمي، بدأ الاختراق بمقابلة عمل مزيفة وتطوّر على مراحل عبر عدة أشهر قبل أن تتحرك أي أموال. وصف الرئيس المشارك للتنفيذية Richard Teng العملية بأنها عملية مطوّلة ومنظمة. وكان مكتب التحقيقات الفدرالي (FBI) قد عزو السرقة في 31 أكتوبر إلى مجموعة TraderTraitor المرتبطة بكوريا الشمالية، فيما يقدم التقرير الآن أول حساب تقني كامل لطريقة تنفيذ أكبر اختراق لمنصة تداول في التاريخ.

يتتبع التقرير أصل العملية إلى شهر يونيو، حين نزّل مهندس DevOps يعمل على المحافظ مثبّتًا معدّلًا لأداة Homebrew أثناء إعداد أداة برمجة مدعومة بالذكاء الاصطناعي. رصد فريق أمن المنصة الشذوذ، فاستبدل الجهاز وغيّر بيانات الاعتماد، غير أن دور المهندس وهوية زملائه في بنية المحافظ كانا قد انكشفا مسبقًا. وفي سبتمبر، تواصل مهاجم مع مهندس برمجيات كان يشير في ملفه الشخصي إلى عمله لدى Binance عبر منصة توظيف مشروعة متنكرًا في هيئة مدير مشروع. وبعد مكالمة فيديو مع مسؤول توظيف مزيف وجولة ثانية مع مدير تنفيذي مزعوم، طُلب منه تنزيل مهمة برمجية على جهاز عمله. كان الملف يحمل برمجية خبيثة استبدلت أداة التطوير pyenv بنسخة خبيثة، فتجاوزت أنظمة كشف نقاط النهاية تمامًا.

وفي 20 أكتوبر، استخدم المهاجمون الجهاز المخترق وأداة داخلية للذكاء الاصطناعي للسيطرة على حاسبي اثنين من مهندسي المحافظ، حيث عثروا على بيانات اعتماد نشر الحاويات. وفي 29 أكتوبر نشروا حاوية خدمة ببيانات الاعتماد المسروقة وشغّلوا سكربتًا خبيثًا ضد نظام توقيع المعاملات في المنصة. حرّكت خمس محافظ ساخنة 233.46 مليون XRP خلال أربع دقائق، ثم نحو 970 ألف SOL و44.2 مليون OP و18,270 بيتكوين. أرسل المهاجمون 50 معاملة عبر خدمة التوقيع، فتلاعبوا بأرقام حسابات النونس واستغلوا معيار EIP-7702، وهو آلية إيثريوم لتفويض تنفيذ الحساب، لمنح عقد ذكي خبيث سيطرة جزئية على محفظة ساخنة. لم يكن تعليق السحب كافيًا لوقف التدفق: فالتحويل غير المصرح به الأخير بقيمة 2,961.9 ETH كان قد بُث وأُكّد بعد نحو أربع ساعات من الحركة الأولى، ولم تُلغِ المنصة التفويض إلا في 00:10 بالتوقيت العالمي يوم 30 أكتوبر عبر إرسال تفويض جديد موجّه إلى العنوان الصفري.

تجميد 2.85 مليار دولار واستعادة 98%

تقول المنصة إن نحو 2.85 مليار دولار جُمّد أو اعتُرضت، وأنها حتى 31 أكتوبر كانت قد أعادت تخزين نحو 98% من أصول الرموز المتأثرة من مواردها الخاصة، مع استمرار إعادة شراء الأصول الأقل سيولة المتبقية. تتحمل المنصة الخسائر بنفسها بدل تمريرها إلى المستخدمين. وفي منشور على منصة X، أكّد الرئيس المشارك للتنفيذية Richard Teng استئناف عمليات السحب إلى حد كبير، ونسب الفضل في التجميد إلى التعاون مع جهات إنفاذ القانون ومصدري العملات المستقرة وشركات تحليل بيانات السلسلة. يدرج التقرير إجراءات الإصلاح المكتملة: إعادة بناء أنظمة المحافظ المتأثرة وأدوات الذكاء الاصطناعي الداخلية في بيئة جديدة، واستبدال الأجهزة، وإبطال بيانات اعتماد المهندسين، وإجراء فحص أمني لجميع أجهزة الموظفين. وتتقدم تدقيق مستقل من طرف ثالث وصندوق لأبحاث الأمن كخطوتين تاليتين.

@_RichardTeng · منشور على X

Richard Teng استئناف عمليات السحب إلى حد كبير.

عرض على X

كيم يو جونغ تنفي أي تورط

رفضت كوريا الشمالية رسميًا نسب الهجوم إليها. وفي بيان نشرته وكالة الأنباء الرسمية KCNA يوم الثلاثاء، استبعدت كيم يو جونغ، شقيقة القائد ومسؤولة بارزة في الحزب الحاكم، اتهام مكتب التحقيقات الفدرالي واصفة إياه بـ"الخطاب الأحمق"، وقالت إنه استفزاز سياسي يستهدف تصوير بلادها بوصفها "دولة جرائم سيبرانية". وأشارت، دون تقديم دليل، إلى أن التحقيق في من يمكنه الوصول إلى الأموال المستعادة قد يكشف العقل المدبر الحقيقي، وجددت نفيها تورط كوريا الشمالية في اختراق Bybit في فبراير 2025. ولم ترد الولايات المتحدة على بيانها. ويواصل باحثو البلوكتشين، من بينهم TRM Labs وChainalysis وZachXBT، تأكيدهم أن أدلة السلسلة والتقنية تشير إلى مجموعة TraderTraitor.

مسار غسل الأموال ورد فعل الأسواق

معظم الأموال المسروقة ما تزال في حركة بدل أن تكون مستردة. تقدّر شركة Elliptic أن نحو 3.18 مليار دولار ما تزال راقدة في عناوين مرتبطة بالسرقة، أغلبها بيتكوين وإيثير، بعد تتبع نحو 12,000 محفظة عبر 11 سلسلة بلوكتشين وأكثر من 40,000 معاملة خلال ثلاثة أيام ونصف. ووثّقت TRM Labs غسل الأموال عبر رموز صدرت ذاتيًا وجسور متسلسلة، فيما رصدت Chainalysis عناوين مُموّلت بمبلغ 1 TRX بالضبط، وهي بصمة تحويلات مؤتمتة. وحدد ZachXBT تداخلات مع اختراق Bitget، حيث اندمجت بعض الأموال المسروقة بعد مرورها عبر THORChain. تراجعت الأسواق بنسبة بلغت 5.0% للبيتكوين و6.1% للإيثير قبل أن تستقر، ووصلت التدفقات الصافية الخارجة من المنصة إلى 4.72 مليار دولار بعد استئناف السحب، قبل أن تعود 2.7 مليار دولار لاحقًا إلى داخلها.

معيار EIP-7702 هو الخطر البنيوي

الدرس الجوهري في التقرير أن ما وقع لم يكن تسريب مفتاح خاص بل إخفاقًا في الصلاحيات. لم يحصل المهاجمون على مفتاح خاص قط؛ بل حصلوا على حق تنفيذ مفوّض، وكتبه معيار EIP-7702 على السلسلة حيث لا يستطيع أي تعليق للسحب بلوغه. هذا التمييز مهم لكل من يوازن بين محفظة العملات المشفرة المودعة لدى طرف ثالث والحفظ الذاتي: فالمحفظة المادية أو المحفظة الباردة تزيل مخاطر الطرف المقابل للمنصة تمامًا، مقابل نقل عبء التشغيل إلى المستخدم. تقول المنصة إنها حجبت 57 هجومًا مشتبهًا ارتباطها بكوريا الشمالية في 2026 قبل أن يمر هذا الهجوم، وهو مقياس لضغط الدفاع عن منصات التداول. وحذّر CZ، مؤسس المنصة، من أن الهجمات المدفوعة بالذكاء الاصطناعي ستتضاعف وأن على الصناعة مواجهة المهاجمين بالذكاء الاصطناعي، وهو توجه تؤيده الاستثمارات الأمنية المخطط لها في التقرير.