غاسلون مرتبطون بكوريا الشمالية ينقلون 430 ألف دولار من اختراق Binance عبر عملات ميم مرتجلة

ستة رموز استهلاكية صدرت على شبكة NEAR

أنشئ غاسلون مرتبطون بكوريا الشمالية ستة رموز استهلاكية للتخفي عن حوالي 430 ألف دولار من التحويلات المرتبطة باختراق Binance الذي قدرت خسائره بـ6.4 مليار دولار. وقد أشار تقرير صدر يوم الاثنين 9 نوفمبر عن شركة تحليل البلوك تشين Elliptic، كتبه أحد مؤسسيها والعالم الأول لديها Tom Robinson، إلى أن المشغلين أصدروا رموزًا تحمل الأسماء FUK وOLCCL وMEILI وMMLI وDABI وSINU بين الخميس 5 نوفمبر والسبت 7 نوفمبر، ودفعوا نحو 25 NEAR، أي قرابة 90 دولارًا، لإصدار كل عملة ميم.

جرت العملية عبر مجمعات السيولة لدى صانع السوق الآلي على منصة تداول لا مركزية، حيث اقترن كل رمز بوحدة NEAR في مجمّع خاص به، ثم مرّ عبرها نحو 117,000 وحدة NEAR مسروقة. اشترت مجموعة محافظ الرموز بالعملة المسروقة، بينما باعت مجموعة ثانية الرموز ذاتها مجددًا إلى المجمّع وجمعت أصولًا حقيقية. ولمّا كان المجمّع يتوسط بين الفريقين، لم يتحول أي مبلغ مباشرة من محفظة إلى أخرى، فبدا الدخل في الحسابات المستلمة وكأنه أرباح تداول عادية لا عائدات اختراق.

جاء كل التداول تقريبًا من محافظ مرتبطة بالعملية، إذ لم يشكّ المشترون الخارجيون سوى أقل من 1% من حجم أحد الرموز، وتوقف التداول في الرموز الستة جميعها بحلول الأحد 8 نوفمبر. وكان أحد هذه الرموز يحمل صورة Elon Musk تحت شعار «Elon 2028 President»، لكن Elliptic أوضحت أنه لا دليل على أي صلة للمسك بالرموز، فيما التزمت الأسماء الأخرى أنماطها المعتادة، بين مقولة نابية ولاحقات منوّطة بالكلاب.

التقنية نفسها أسبق من هذا السطو، فقد رصدت Elliptic المنهج ذاته بعد اختراق Bybit عام 2025، وغايتها المعلنة هي كسب الوقت على المحققين، لأن الرموز الرخيصة الإصدار تُرمى بعد الانتهاء منها. وتعتبر الشركة أن المسار يظل قابلًا للتتبع على السلسلة، وحذرت فرق الامتثال من اعتبار الأموال الواردة من مجمّع سيولة نظيفة تلقائيًا.

7,000 ETH تصل إلى Tornado Cash

يمثل مسار عملات الميم شريحة صغيرة من عملية أوسع بكثير، إذ يتتبع ملف Elliptic المحدّث يوم الاثنين 9 نوفمبر عند 13:15 بتوقيت غرينتش، تحركات الأموال المسروقة عبر أكثر من 20,000 محفظة على 16 شبكة بلوك تشين، تماسًا مع ما لا يقل عن 36 خدمة ونحو 65,000 معاملة. ومنذ الأحد 8 نوفمبر، أودعت المحافظ المرتبطة بالسطو نحو 7,000 ETH بقيمة تقارب 15 مليون دولار في Tornado Cash، ويتأصل بعض هذه الإيداعات في بيتكوين مرّ سابقًا عبر معاملات coinjoin قبل إعادة تحويله إلى إيثير.

كان نحو 3,000 BTC بقيمة قرابة 225 مليون دولار قد تراكمت في عناوين مستحدثة بعد تحويلات من أصول مسروقة أخرى، بينما بقيت حيازات البيتكوين والإيثير الرئيسية دون حركة. ولا يزال نحو 3 مليارات دولار مستقرة في العناوين المرتبطة بالسطو، فيما جمدت 2.85 مليار دولار، ولا يُرجّح إخراج سوى مبلغ ضئيل. ولم تقل السلطات الأمريكية إن هذا السطو الذي وقع الخميس 29 أكتوبر إلا على كوريا الشمالية: فبعد يومين، وفي 31 أكتوبر، نسبه المكتب الفيدرالي للتحقيقات FBI إلى مجموعة TraderTraitor، ودعا الخدمات، ومنها مشغلو THORChain، إلى حجب المعاملات المرتبطة. وقد استخدم المخترقون THORChain أيضًا لتحويل الأصول المسروقة إلى بيتكوين لا يستطيع أي مصدر مركزي تجميده.

كانت Binance قد نشرت يوم الثلاثاء 3 نوفمبر روايتها عن الاختراق، ووصفت فيه اختراقًا دام أشهرًا بُني على مقابلات توظيف مزيفة وبرمجيات مطورين فاسدة. فأثناء عملية توظيف في سبتمبر، حمّل أحد المهندسين مستودع مهمة إلى حاسوب عمله، واستبدل شيفرة خبيثة أداة تطوير مشروعة دون أن تلتقطها أنظمة حماية الأجهزة الطرفية. وفي الثلاثاء 20 أكتوبر استخدم المهاجم ذلك الجهاز وأداة ذكاء اصطناعي داخلية للوصول إلى حواسيب مهندسي محافظ اثنين، ثم منحت بيانات اعتماد توزيع الحاويات المسروقة نفاذًا إلى عمليات توقيع المحافظ. وقد حددت نتائج Blockaid الفنية 50 تفويضًا من نوع EIP-7702 جرت في معاملة واحدة، تغطي قيمًا متتالية من عدّاد المحافظ المستخدمة فعليًا. وقدّرت Binance الأثر بـ6.34 مليار دولار وأعلنت أنها خصصت أكثر من كامل المبلغ لتغطية الخسائر. وتمر عملية الاسترداد هي الأخرى عبر الحوكمة، فمحفظتا 8,425.997 ETH و74.56 مليون ARB المجمدتان على Arbitrum لا تتحركان إلا بموافقة DAO، وهي عملية ترى المنصة أنها ستحتاج سبعة أسابيع أو أكثر.

تؤكد هندسة الغسيل ما أظهره سجل السلسلة بعد سرقات كورية شمالية سابقة: الحجب يبطئ التتبع لكنه لا يقطعه. فكل قفزة في مخطط عملات الميم، من إنشاء المجمّع إلى الإيداعات في Tornado Cash، مرصودة في دفاتر عامة، ويربط المتتبع نحو 3 مليارات دولار من العائدات المتبقية بعناوين محددة. أما السبب الجذري، بحسب تقرير Binance اللاحق للحدث، فكان اختراقًا لأجهزة طرفية عبر أداة تطوير مسمومة لا تسرّبًا لمفتاح خاص، وهو ما ينقل عبء المعالجة إلى أمن العمليات بدل تغيير المفاتيح. ومع جلوس 2.85 مليار دولار تحت التجمد وانتظار رصيدي Arbitrum لعرض DAO، صار استرداد الأموال مرهونًا بجداول الحوكمة بقدر ما هو مرهون بالتحقيق.