SquidSquad المرتبطة بكوريا الشمالية تسحب 2.84 مليون دولار من حامل على سلسلة BNB

استهداف مؤسسي يوم 8 أكتوبر

جاءت السلسلة التي نتابعها على BNB Smart Chain هذه المرة من جهة الودائع المؤسسية لا من جهة السوق: نحو 2.84 مليون دولار خرجت من محفظة أحد حاملي العملات المشفرة المؤسسيين على الشبكة يوم الخميس 8 أكتوبر، وتحقيقات التتبع المنشورة يوم الأربعاء 21 أكتوبر تنسب عملية السحب إلى جماعة SquidSقراد المرتبطة بكوريا الشمالية. هذا النسب، أي إرجاع العملية إلى جهة محددة، يأتي من الباحث ZachXBT الذي أعاد بناء سلسلة غسل كاملة نقلت عائدات السرقة عبر عدة محافظ وسيطة قبل أن تستقر في عناوين مرتبطة بمكاتب تحويل صينية تعمل خارج طوق الامتثال الذي تلتزم به منصة التداول المشفرة المنظمة. وقد رصد ZachXBT روابط مالية بين المحافظ المستخدمة في التحويلات وعناوين سُجلت سابقًا لعاملين كوريين شماليين، وهو التطابق على مستوى المحافظ وحده أساس تسمية SquidSquad. ما ننشره هنا نسبٌ على السلسلة (on-chain) لا أكثر: ثقة الاستنتاج قائمة على تداخل عناوين مع نشاط سابق مرتبط بكوريا الشمالية، لا على معلومات داخلية. الهوية المؤسسية المتضررة غير معلنة، وطريقة اختراق أصولها غير معلنة كذلك، ولا يوجد سجل عام يوضح ما إذا أبلغ صاحب المحفظة السلطات عن الخسارة. يغفل الملف المنشور أيضًا نقطة الاختراق الأولى، فلا يُعرف بعد ما الذي فشل: مفاتيح التوقيع، أم جهاز موظف، أم تكامل طرف ثالث. لم يصدر أي تأكيد مستقل من منصة أو مزود حفظ على وقوع الخسارة. تُظهر بيانات الشبكة أن المهاجم أبقى الأموال تحت سيطرته نحو أسبوعين كاملين بعد الاختراق، ولم تحدث أول حركة كبرى إلا يوم الثلاثاء 20 أكتوبر، وقبل ذلك لم تترك الأصول أي أثر مرئي على البلوكتشين. لا شيء في النتائج المنشورة يمس سعر BNB أو تشغيل الشبكة نفسها؛ الاختراق وقع في طبقة الحفظ لدى مؤسسة واحدة.

1,111.2 إيثير عبر Tornado Cash

حركة 20 أكتوبر كانت الأكثر ازدحامًا في السلسلة حتى الآن. أودع المهاجم 1,111.2 ETH في Tornado Cash، وهو بروتوكول خصوصية يقطع الرابط المرئي بين محفظة الإرسال ومحفظة الاستلام، ثم سحب الأموال إلى ثلاثة عناوين إيثيرية منفصلة. من هناك عبرت الأصول إلى شبكة Tron بواسطة USDT0، وهي نسخة من العملة المستقرة الدولارية للشركة Tether مبنية على التنقل بين الشبكات المدعومة مباشرة، دون التوجيه الذي يضبطه المستخدمون عادة عبر الجسور بين السلاسل. اجتمعت التحويلات في عنوانين على Tron هما TEvUsnwXvprdvB7eNGiqh6rDiMqFiC8TBU و TVxzjnx3GPDTciiuaqXPaUbU5f5yi3Voux، وكلاهما يُظهر تداخل معاملات مع عناوين سُجلت سابقًا لعمليات كورية شمالية. خلال دقائق من هذا الدمج، مرت الأموال بمحافظ وسيطة ووصلت إلى عناوين منسوبة إلى مكاتب تحويل صينية. تُقرأ هذه السرعة على أنها محاولة للسبق إلى أي تجميد، لأن Tether قادرة على تقييد أرصدة USDT في عناوين الشبكات التي تدعمها. لا تثبت النتائج المنشورة ما إذا أكمل العاملون تحويل العملة إلى نقود ورقية، وهي الخطوة التي تُوصف عادة بأنها صرف العملات المشفرة نقدًا، ولا ما إذا جُمّد أي جزء من الأصول المسروقة منذ ذلك الحين. وثيقة تقييم التهديدات المشفرة الكورية الشمالية لعام 2026 تربط SquidSquad بحملات تستهدف مؤسسي قطاع العملات المشفرة ومدراءه التنفيذيين ومستثمريه الأثرياء: تنتحل الجماعة صفة أصحاب رؤوس أموال مغامرة ومستثمرين وجهات أعمال على Telegram وLinkedIn قبل توزيع ملفات أو برمجيات خبيثة، وربط الباحثون أعمالها بعائلات برمجيات خبيثة هي RustBucket وSwiftBucket وNimDoor، وتُدرَج Tornado Cash ضمن الخدمات التي استُخدمت لتحريك الأموال المسروقة. تأتي هذه القضية بعد إفصاح يوم الاثنين 5 أكتوبر، حين أعلن ZachXBT أنه أنفق 349,700 دولار متنكرًا في هيئة عميل أثناء تتبع معاملات مرتبطة بسرقة Bybit البالغة 1.5 مليار دولار عام 2025، وهي أعمال أشارت إلى عملية صينية مزعومة عالجت أكثر من مليار دولار، وجمدت Tether 442,000 USDT مرتبطة بمحافظ اكتُشفت هناك. في اليوم نفسه، حركت محافظ مرتبطة باستغلال بروتوكول Drift Protocol، وهي سرقة أبريل بقيمة 285 مليون دولار نسبتها Mandiant إلى الجماعة الكورية الشمالية UNC6862، مبلغ 25,700 ETH بقيمة 61.56 مليون دولار إلى Tornado Cash، دون إثبات أي تنسيق بين القضيتين. وسرقة Radiant Capital عام 2024 التي قُدرت بنحو 50 مليون دولار سارت في مسار خلاط مشابه؛ فحتى أكتوبر 2025 أحصت CertiK 2,834 ETH بنحو 10.8 مليون دولار عبر الخلاط من محافظ مرتبطة بذلك الهجوم، ثم تلاشت Radiant في يونيو 2026. الضغط الأمني على BNB Smart Chain سابق لهذه القضية: غطت COINOTAG سابقًا توقف جسر Cysic على الشبكة بعد سك 10 ملايين رمز CYS.

دقائق تفصل الدمج عن مكاتب التحويل

تفصيلان في هذا الملف يزنان أكثر من الرقم الرئيسي ذاته. الأول هو التوقيت: دقائق لا أيام بين دمج الأموال على Tron ووصولها إلى مكاتب التحويل الصينية، وهو إيقاع مقصود للسبق على أي أمر تجميد قد تصدره Tether. الثاني هو مسار الخروج: كل قفزة في السلسلة مرئية لأي مشغّل عقدة بلوكتشين، ومع ذلك ينتهي الأثر عند أطراف تقع خارج حدود النتائج المنشورة، وهناك تصير فرص الاسترداد أرقّ ما تكون. أما جانب السوق للرمز، والذي غطيناه في تحليل منفصل ضمن التحليل الفني لـBNB وفي أحداث الإمداد مثل الحرق التلقائي الربع السنوي السابع والثلاثين، يسير على محركات منفصلة عن هذه القضية. حتى لحظة الإفصاح الأخيرة، لم يُنشر أي بيان حاسم بشأن مصير الـ2.84 مليون دولار: هل حُوّلت، أم جُمّدت، أم بقيت قابلة للاسترداد.