زاك إكس بي تي يتتبع 106 ملايين دولار مسروقة من منظمة أوروبية عبر العملات الرقمية إلى مونيرو

من USDC إلى إيثيريوم ثم مونيرو

تجاوزت قيمة الأصول الرقمية المسروقة 106 ملايين دولار، وقد صارت اليوم في مسار يبدأ من حسابات محفوظة لدى منصات تداول مركزية، ويمر عبر إيثيريوم، وينتهي داخل مونيرو. أفاد المحقق المتخصص في تتبع بيانات السلسلة ZachXBT بالقضية يوم 2 نوفمبر: فهي تتعلق بمنظمة داخل الاتحاد الأوروبي لم يُكشف عن اسمها، سُحبت أموالها بشكل غير مشروع من حسابات كانت تحتفظ بها لدى عدة منصات مركزية قبل يوم واحد، أي في 1 نوفمبر، وكانت في صورة العملتين المستقرتين USDC وUSDT. لم يُعلن اسم الضحية ولا أي من المنصات المعنية، كما لم تُسجل أي استعادة للأموال حتى الآن. كانت القفزة الموثقة الأولى هي تحويل USDC إلى إيثيريوم (ETH)، أي أن العملات المستقرة بُدّلت فور خروجها تقريبًا من الحفظ، ودُفعت العائدات عبر خدمات التبادل الفوري، ومن المنصات التي ذكرها التقرير WellWallet وKyrrex. ومن هناك واصلت الأموال حركتها: انتقلت بين عدة سلاسل، واستُخدمت خدمة عابرة للسلاسل تُدعى Wagyu لتحويل جزء من الغنيمة إلى مونيرو (XMR). يبقى مقطع إيثيريوم هو الجزء الوحيد من الطريق القابل للقراءة بالكامل، لأن كل عملية تحويل عليه تحمل طابعًا زمنيًا وعنوانًا في السجل العلني. وُجد مونيرو لغرض معاكس تمامًا: فسلسلة الكتل الخاصة به تحجب المرسل والمستلم ومبلغ كل تحويل، ولهذا تُوجَّه الأموال المسروقة إليه غالبًا عندما يحتاج الأثر إلى التلاشي. وهذه الفجوة في الشفافية هي ما يجعل هذه القضية تُقرأ بصورة مختلفة عن اختراق منصة نموذجي، كما تُظهر مراجعتنا لـEtherscan في تتبع بيانات السلسلة. ويلعب اختيار خدمات التبادل الفوري دورًا محددًا في بداية الرحلة، لأن هذه المنصات تبدّل الأصول بسرعة دون قيود سحب وفحوصات هوية تفرضها المنصة الكبرى على طلب سحب مثمن القيمة، بينما لا يكلف تقسيم رصيد كبير إلى قفزات متعددة أكثر من رسوم غاز روتينية في كل مرة.

قدّر ZachXBT احتمال أن تكون جماعة لازاروس، وهي تجمع القرصنة المرتبط بكوريا الشمالية، قد نفذت السرقة بـ«منخفض للغاية»، بالاستناد إلى قراءة طريقة غسل الأموال نفسها لا إلى ملف الضحية. ويأتي هذا الحكم في أسبوع مزدحم بأسئلة الإسناد. ففي 29 أكتوبر، تعرضت Binance لتدفق خارج قُدّر بنحو 6.3 مليارات دولار، وأصدر مكتب التحقيقات الفيدرالي بيانًا رسميًا نسب الهجوم إلى كوريا الشمالية، ولهذا تحمل المسافة بين الحالتين وزنًا: فالتجمع المرتبط بدولة ما يعمل عادة على تمرير الأموال المسروقة ببطء عبر أدوات يستطيع صرفها مع مرور الوقت. وتعاقبت الهجمات على منصات العملات الرقمية في المدة نفسها. فمنصة Mercado Bitcoin، وهي منصة برازيلية كبرى، علقت الإيداع والسحب في 2 نوفمبر بعد رصد حادثة أمنية في أحد أنظمتها، مقالة في إعلانها بأن العملاء لم يتكبدوا خسائر ولم تتسرب أي بيانات؛ وقدّرت شركة الأمن على سلسلة الكتل Hypernative أن أكثر من 40 مليون دولار نُزحت من محافظ مرتبطة بالشركة. أما BTCPay Server، وهو معالج مدفوعات بيتكوين مفتوح المصدر ومجاني، فقد حثّ المشغلين على إيقاف خوادم مدفوعاتهم في 1 نوفمبر بعد تقارير عن سحب غير مصرح به من المحافظ الساخنة لنسخ مستضافة ذاتيًا، والمشروع مستضاف ذاتيًا بالتصميم، فتفاوت التعرض بحسب المشغل. وأثبت الفريق أن الهجمات استهدفت خوادم تعمل بإصدارات سابقة للإصدار 2.4.1، الصادر في 23 يوليو 2026، وقال لكل من لا يزال على بناء أقدم إن ينقل كل رصيد متبقٍ في المحفظة الساخنة إلى مكان آخر وينتقل إلى خادم منفصل بمحفظة جديدة. المحافظ الساخنة، سواء كانت حسابًا لدى منصة أو نقطة دفع لمعالج أو عقدة لمشغل، هي الخيط المشترك عبر حوادث الأسبوع.

حسابات بنظام الحفظ لا عقود ذكية

لم تكن هذه القضية ناجمة عن خلل في العقد الذكي، إذ كانت الأموال محتفظة في حسابات بنظام الحفظ لدى منصات التداول وخرجت عبر عمليات سحب، ما يجعل تصميم الغسل، لا استغلال ثغرة برمجية، أساس قرار استبعاد مجموعة Lazarus. تسمح الشفافية نفسها التي تمكّن أي مراقب من رؤية حوت يضع 62.97 مليون دولار في 27,553 إيثيريوم خلال خمس ساعات، أو رصد سحب محفظة مرتبطة بـKanye West لمقدار 2,074 ETH من Binance، هذا المحقق من قراءة مقطع شبكة إيثيريوم في هذه القضية قفزة بعد قفزة. ويتوقف هذا الظهور عند التحويل عبر Wagyu إلى مونيرو، وتحديدًا حين يصبح الجزء غير القابل للقراءة هو الغاية من العملية كلها. وفق تقرير الاثنين 2 نوفمبر، فإن آخر موقع موثق للأموال المسروقة هو التحويل العابر للسلاسل عبر Wagyu إلى مونيرو، ولا شيء مسجل بعد ذلك.