زرع المخترقون شيفرة في محفظة Safe لسحب 1.5 مليار دولار من Bybit

تطبيق توقيع واحد، و1.5 مليار دولار

خرج نحو 1.5 مليار دولار من منصة تداول العملات المشفرة Bybit في فبراير 2025، لكن الباب الذي دخل منه المهاجمون لم يكن ملكًا للمنصة نفسها. زرعوا شيفرة خبيثة داخل Safe{Wallet}، وهو تطبيق توقيع خارجي كانت المنصة تدمجه في نظام التحويلات لديها، وهو ترتيب شائع بين فرق التداول التي توقّع معاملات متعددة التواقيع عبر واجهة مخصصة. فبينما كان موظفو المنصة يراجعون معاملة على الشاشة، كانت التواقيع التي ينتجونها تسمح بنقل الأموال إلى عنوان آخر تمامًا. نسب مكتب التحقيقات الفدرالي (FBI) العملية إلى كوريا الشمالية. ولم تُسرق أي مفتاح خاص قط. لم يحصل اللصوص يومًا على بيانات الاعتماد الرئيسية التي تتحكم بالمحافظ، بل خدعوا أنظمة الموافقة الداخلية للمنصة لتفرج عن الأموال، وخلل الاختراق جلس في طبقة التطبيق، درجة واحدة أعلى من التشفير ذاته. التوقيع متعدد التواقيع مصمم أصلاً لفرض أكثر من موافقة واحدة قبل تحرك أي أموال، والشيفرة المزروعة تجاوزت هذا الشرط بمجرد التحكم فيما يراه المعتمدون على الشاشة. فالـ1.5 مليار دولار التي غادرت المنصة عبرت من مسار مختل واحد فقط. وتضع بيانات السلسلة والبيانات الرسمية للشركات الخسائر الأوسع فوق 8 مليارات دولار عبر Binance وBybit وBitget خلال 20 شهرًا، وقد مرت كل عمليات السطو تلك عبر خطوة الموافقة لا عبر المفاتيح. Safe{Wallet} هي واجهة التوقيع لبروتوكول Safe، الذي تُعد محافظه معيارًا واسع الانتشار في القطاع، ولهذا يعود الحادث إلى الواجهة كلما وقع اختراق جديد. ويتداول سعر Safe منخفضًا بنسبة 3.3% خلال 24 ساعة مع تكرار النمط ذاته. وبالنسبة لبروتوكول منتجُه هو الثقة في عملية التوقيع، فإن حادثة موافقة موقّعين على تحويلات لم يختاروها هي بالضبط نوع الفشل الذي وُجدت العلامة لمنعه.

ثلاث عمليات اختراق، وبلا مفاتيح مسروقة

جاء دور Binance يوم الخميس 29 أكتوبر، حين خسرت المنصة نحو 6.3 مليار دولار. قال المدير التنفيذي المشارك Richard Teng إن السطو بدأ من حاسوب مهندس مخترق، ووجدت مراجعة الشركة لا دليل على تسريب أي مفتاح. وقال Teng في روايته الرسمية للحادثة: «لم يكتتف المهاجم بصلاحيات مهندس واحد، ولم تكن العملية نقرة واحدة منفردة». أما Bitget فقد خسرت نحو 387.5 مليون دولار في سبتمبر، بعد اختراق عيوب في منتجات أمنية خارجية، ثم مرت أوامر سحب مزيفة عبر نظام التوقيع العادي للمنصة. وتمثل Coinbase، التي لم تُفصح عن سرقة مماثلة، الحالة المقابلة التي يدرسها السوق اليوم. يعتمد نموذج حفظ العملات لديها الحوسبة متعددة الأطراف، وهي تقنية تقسم كل مفتاح إلى أجزاء تبقى على أجهزة منفصلة، وتقول الشركة إنها تبني كل البرمجيات الحساسة أمنيًا داخليًا، فيما دخل اختراقا Bitget وBybit عبر طرف ثالث في الحالتين. ووصف Greg Tusar، المدير التنفيذي المشارك لـCoinbase Institutional، هذا التصميم في تدوين على مدونة الشركة: «تضمن تقنية MPC عدم تخزين المفاتيح الخاصة الكاملة في أي وضع ثابت، ولا على جهاز واحد أثناء التوقيع أو عند الاستخدام». وتُظهر بيانات السلسلة أن محافظ Coinbase تحتفظ بنحو 959,000 بيتكوين موزعة على 69.8 مليون عنوان، وهو مركز تبلغ قيمته 74.7 مليار دولار، ويرى الباحث Zeeme في سلسلة منشورات على X أن هذا التصميم يسد الطرق الهجومية الثلاث، لأن حاسوبًا مسروقًا ينتج جزء مفتاح واحد عديم الفائدة. وقال كبير مسؤولي التقنية Rob Witoff إن المنصة «تراقب تقلبات الأسعار وتتتبع الأموال المسروقة على السلسلة»، فيما قال كبير مسؤولي الأمن Jeff Lunglhofer إن Coinbase تحجب التحويلات إلى محافظ Binance المخترقة وعدّلت تخزينها البارد كإجراء احترازي. والعميل الذي يفضل نقل أمواله خارج المنصة يمكنه متابعة دليلنا حول طريقة السحب من Coinbase. وليست الشركة خالية من الاختراقات: في عام 2025 رشو مجرمون موظفي دعم في الخارج لتسريب بيانات عملاء جمعتها الشركة عبر اعرف عميلك، وقدّرت Coinbase كلفة الحادثة بين 180 مليون دولار و400 مليون دولار، وقالت إن الأموال لم تكن قابلة للوصول يومها. وقدّر الباحث Marc Baumann في أبريل أن Coinbase تحتفظ بـ84% من أصول صناديق Bitcoin ETF الفورية في الولايات المتحدة، أي نحو 77 مليار دولار لدى وصي واحد.

خطر التوقيع يتجاوز المنصات

تشترك عمليات السطو الثلاث في عيب تصميمي واحد، وليس في التشفير: استهدفت كلها خطوة الموافقة التي يوقّع فيها إنسان، وهي الخطوة التي يرتكز عليها تقسيم المفاتيح لدى Coinbase وبناء البرمجيات داخليًا. أما SAFE فقراءتها أقسى: واجهة التوقيع في البروتوكول كانت هي ناقل سرقة Bybit، والسوق يعيد تسعير عملتها على هذه العلاقة بقدر ما يفعل على اقتصاديات العملة ذاتها. وتتتبع صفحة التحليل الفني لـSAFE على منصتنا كيفية استيعاب العملة لكل عنوان أمني جديد. وتواجه المحافظ العتادية أسئلة موازية حول سلسلة التوريد، كما أظهر تقرير زرع الرقائق في محافظ Safe 5 المتعلق بأجهزة CryptoBilis منذ مارس 2026. ومع 84% من أصول صناديق Bitcoin ETF الفورية الأمريكية لدى وصي واحد، باتت خطوة الموافقة نفسها تحرس أموال وول ستريت. وتبقى الخسائر على عاتق المنصات ومستخدميها، وتقول Coinbase إنها تتتبع الأموال المسروقة على السلسلة، بينما لا يقدم سجل البلوكتشين أي طريق لاستعادة ما سُحب.