FBI تحمل كوريا الشمالية مسؤولية اختراق Binance البالغ 6.34 مليار دولار

الجهاز الفيدرالي يشير إلى مجموعة TraderTraitor

حدد مكتب التحقيقات الفيدرالي (FBI) القراصنة التابعين للدولة الكورية الشمالية بوصفهم القوة الواقفة وراء أكبر عملية سرقة أصول رقمية موثقة في التاريخ، مسماYA العملية TraderTraitor يوم السبت 31 أكتوبر، أي بعد يومين من خروج نحو 6.34 مليار دولار من محافظ Binance دون تصريح. أما الإفصاح الرسمي للمنصة، الصادر بوصفه تقرير تحقيق مرحلي، فيرسم صورة اقتحام سار على مراحل من يونيو حتى أواخر أكتوبر. تبدأ رواية Binance في يونيو، حين حاول مهندس برمجيات تثبيت أداة برمجة مدعومة بالذكاء الاصطناعي فنزّل بالخطأ مثبّت Homebrew محمّلا ببرنامج خبيث. رصدت الشركة الشذوذ، وسحبت الجهاز من الشبكة، وبدلت بيانات الاعتماد المرتبطة به. لكن المهاجم لم يغادر المشهد. في سبتمبر، تلقى مهندس آخر كانت خلفيته في Binance ظاهرة على منصة توظيف عرضا اصطناعيا من مدير توظيف وهمي، وجرت معه مقابلة فيديو، ثم أُسندت إليه مهمة برمجية كان الملف المرسل يخفي بداخله برمجية تجسس. وحسب ما أوردته المنصة، فقد نجح المتسلل بحلول الثلاثاء 20 أكتوبر من استخدام محطة العمل المصابة والأدوات الداخلية للذكاء الاصطناعي للوصول إلى صلاحيات موظفي إدارة المحافظ، وحدد رمز وصول لأحد الموظفين يحمل حقوق نشر الحاويات. وفي الخميس 29 أكتوبر استُخدمت بيانات الاعتماد المسروقة لدخول حاسوب موظف آخر ونشر حاوية وتشغيل نص خبيث، بعدها نُفذت معاملات عبر نظام توقيع المحافظ الداخلي خارج مسار السحب القياسي. قدّرت Binance قيمة الأصول المتأثرة بنحو 6.34 مليار دولار، وأعلنت أنها ستتحمل الخسارة بنفسها دون تحميلها للمستخدمين، كما أعادت بناء أنظمة المحافظ وأدوات الذكاء الاصطناعي الداخلية التي وقعت في مسار المهاجم. ويذكر أن FBI كان قد استخدم تسمية TraderTraitor سابقا لسرقة Bybit البالغة 1.5 مليار دولار في 2025، ما يجعل خسارة Binance التكليف الثاني للبرنامج ذاته، وبحجم يفوق أربعة أضعاف حجم عملية Bybit، هي أكبر غنيمة منفردة في تاريخ القطاع.

من كلية Mirim إلى جسر Ronin

لم تُبن القدرة التي أدت إلى هذا الاختراق في ليلة واحدة. بدأت كوريا الشمالية انتقاء الطلبة الموهوبين في الرياضيات والعلوم للعمل السيبراني منذ الثمانينيات، عقودا قبل ظهور البيتكوين. وتسجّل أطروحة صدرت عام 2004 عن كلية الدراسات العليا البحرية الأمريكية أن أكاديمية Mirim تأسست في 1984 ثم تحولت عام 1986 إلى كلية Mirim ذات خمس سنوات، تستقبل الخريجين الأوائل من المدارس الثانوية وجنودا في الخدمة لدراسة الحوسبة والبرمجة والحرب الإلكترونية. وتشير شركة الأمن السيبراني DTEX إلى أن طلبة مدرسة جومسونغ الإعدادية الأولى يتلقون نحو 1,660 ساعة من التدريب الحاسوبي على مدى ست سنوات، تشمل Linux ولغتي C وC++ ونظام Windows والشبكات والذكاء الاصطناعي، بينما ينتقل أبرز الخريجين إلى جامعة كيم إل سونغ أو جامعة كيم تشيك للتكنولوجيا. وقدّر الجيش الكوري الجنوبي حجم العاملين في الحرب السيبرانية بنحو 8,400 شخص حتى 2024، في عدّاد يتضمّن القراصنة وطواقم الدعم الخاصة بهم. اتجهت العمليات المبكرة إلى التجسس والتعطيل لا إلى المال. وقد ربطت وزارة العدل الأمريكية جهات مرتبطة بكوريا الشمالية باختراق شركة Sony Pictures عام 2014، وسرقة بنك بنغلاديش عام 2016 التي أخرجت 81 مليون دولار من نظام المدفوعات المرتبط بشبكة SWIFT، وموجة برمجيات الفدية WannaCry عام 2017. ثم قدمت الأصول الرقمية ما لم يكن في النظام المصرفي: قيمة تعبر الحدود في اللحظة التي تُستولى فيها على محفظة منصة أو على صلاحية تحويل. تنسب FBI سرقة 2022 البالغة نحو 620 مليون دولار من جسر Ronin التابع للعبة Axie Infinity إلى مجموعتي Lazarus وAPT38، واختراق Bybit البالغ 1.5 مليار دولار في 2025 إلى TraderTraitor. وتوجد قناة ثالثة تمر عبر التوظيف: أعلنت وزارة العدل في 2025 أن عمالا مرتبطين بكوريا الشمالية شغلوا وظائف عن بُعد لدى أكثر من 100 شركة أمريكية بهويات مزورة أو مسروقة، محصلين رواتب وفي حالات وصلوا إلى بيانات حساسة. وتوصل تقرير صدر في 2025 عن فريق الرقابة على العقوبات متعدد الأطراف إلى أن أموال Bybit المسروقة حُوّلت على الأرجح بالكامل إلى نقد بحلول سبتمبر من العام ذاته عبر وسطاء في الصين وروسيا وهونغ كونغ وكمبوديا.

1% فقط جاء من عيوب الشيفرة

تشرح الأرقام نفسها اختيار الهدف. يضع الحساب المرجعي لتقديرات TRM Labs إجمالي ما سرقته كوريا الشمالية من العملات الرقمية منذ 2017 عند نحو 12.8 مليار دولار، منها 7.4 مليار دولار هذا العام حتى أكتوبر، أي ما يقارب 85% من الخسائر العالمية للاختراقات. ومن بين 100 هجوم منسوب إلى البلاد، استغل 13 فقط شيفرة العقود الذكية، ولم تحمل تلك الهجمات سوى نحو 1% من القيمة المسروقة؛ وإضافة إلى حادثة Binance، فإن 88% من الأموال وصلت إليها عبر مفاتيح خاصة وخدمات وأنظمة توقيع مُخترقة. تطابق التشريح الرسمي لاختراق Binance هذا النمط في كل خطوة: غطاء توظيفي، وأداة تطوير مصابة، وتنقل في بيانات الاعتماد، ونظام توقيع محافظ نفوذ إليه من الداخل. وبالنسبة للمستخدم، يقع الدرس في اختيار المنصة بقدر ما يقع في الحفظ الذاتي، ولهذا السبب تستحق ضوابط الحفظ وزنا بمقدار ما تستحقه الرسوم عند مقارنة أفضل منصات تداول العملات الرقمية.