ZachXBT يتتبع 277,724 عملة XRP عالقة في غسيل أموال اختراق Bitget البالغ 387 مليون دولار

غاسلو الأموال يطلبون المساعدة في غرف دردشة علنية

قبل أي شيء، الحقيقة التي تفرض نفسها هنا: الفريق الذي ينقل الأموال المسروقة خارج Bitget كشف عملية غسيله بنفسه، حين لجأ إلى طلب المساعدة من خدمة العملاء في غرف دردشة مفتوحة بالكامل للعامة. فبدلًا من العمل في صمت، نشر أعضاؤه رسائل داخل خوادم Discord وقنوات Telegram الخاصة بالخدمات نفسها التي يستخدمونها لنقل الأموال، طالبين تدخلًا بشأن طلبات معلّقة. وقد وثّق المحقق الذي يعمل على السلسلة (on-chain) والمشهور باسم ZachXBT هذا السلوك يوم الأحد، مسمّيًا خمسة حسابات ومطابقة كل اسم مستعار بمعاملة محددة على السلسلة. ويقدّر أن المجموعة تتألف من غاسلي أموال صينيين يعملون بالنيابة عن المنفذين المشتبه في كونهم كوريين شماليين، وهم المسؤولون عن الاختراق الذي وقع في 24 سبتمبر، والذي خدع فيه المهاجمون نظام الموافقات الداخلي للمنصة بحيث وقّع على تحويلات خارجة بقيمة 387.5 مليون دولار. أما المديرة التنفيذية لـBitget، Gracy Chen، فقد وصفت الحادث بأنه تلاعب بذلك المسار متعدد الخطوات للموافقة، وقالت إن تورط كوريا الشمالية مرجّح للغاية. وتُظهر لقطات الشاشة التي نشرها ZachXBT أن الحسابات كانت تتذمر للعاملين في THORChain — وهي شبكة تبدّل الأصول بين البلوكشينات دون حسابات مستخدمين، وتشكل بديلًا عن التداول الفوري في المنصات المركزية — لأن تحويلاتها من XRP إلى بيتكوين (BTC) لم تصل قط. فقد أبلغ أحد المستخدمين، المعروف باسم “Cc”، بأن 277,724 عملة XRP دُفعت لكن 431 فقط عادت. وكتب آخر اسمه “jack” أن فقدان الأصول “سينشب متاعب كثيرة في حياتي”. وردّ مشرف تابع لخدمة التبديل SwapKit بصورة لكيم جونغ أون. وتضع سلسلة المنشورات على السلسلة الخاصة بالمحقق، خيط التتبع on-chain، خريطة كاملة تربط كل اسم مستعار بمعامله.

خيط التتبع on-chainhttps://x.com/zachxbt/status/2104528688469647700?ref_src=twsrc%5Etfw

صلة Kelp DAO وشبكة TraderTraitor

فريق الغسيل هذا ليس غريduًا عن سرقات ضخمة. فقد أفاد ZachXBT بأن أحد الحسابات الخمسة، الذي يعمل تحت الاسم “lolo”, نقل أيضًا أموالًا من استغلال Kelp DAO بقيمة 292 مليون دولار في أبريل، وأن الحساب ذاته أكد في الدردشة أنه يعرف باسم “Marin” على Telegram. هذا التقاطع ليس تفصيلًا هامشيًا: فهو يرجّح وجود قوة عاملة متخصصة صغيرة تتكرر في العمليات، لا فريقًا مُجمَّعًا لعملة واحدة. وقد كتب المحقق أنه لاحظ النمط السلوكي نفسه بعد استغلالات متعددة نُسبت إلى TraderTraitor، وأنه يتتبع هذه الجماعات عن قرب منذ مدة. TraderTraitor هو التسمية التي أطلقها مكتب التحقيقات الفيدرالي (FBI) على منظمة إلكترونية كورية شمالية، ويعتبرها المكتب مسؤولة عن سرقة 308 ملايين دولار من منصة DMM Bitcoin اليابانية في 2024 — ليكون اختراق Bitget بذلك أحدث حلقة في سلسلة غارات موجهة من دولة على المنصات. ووفق تتبع ZachXBT، فإن الأموال المسروقة تتنقّل الآن بين البلوكشينات عبر الجسور قبل وصولها إلى خواليط مثل Wasabi، وهي محفظة تمزج عملات من مستخدمين كثر لطمس الأثر — وهو أسلوب على طريقة CoinJoin يختلف عن تصميمات الخصوصية على مستوى السجل مثل Mimblewimble. وحجم الغنيمة البالغة 387.5 مليون دولار يكفي بحيث، إذا قيّنّاها مقابل القيمة السوقية لمعظم الرموز من الفئة المتوسطة، يتعذر تصريفها دون ترك آثار. أما THORChain فقد رفض تجميد المحافظ المرتبطة بالمهاجمين، في حين تقول Bitget إن السحوبات ستعود للعمل يوم الاثنين. وينوي المحقق نشر مزيد من البيانات عن الجماعات في الأسابيع المقبلة. يمكن للقراء الراغبين في متابعة السوق لحظيًا الاطلاع على أسعار السبوت والعقود الآجلة مباشرة عبر Bitget.

بالنسبة إلينا في COINOTAG، تؤكد هذه الحادثة أن حتى الغسيل على نطاق صناعي يترك بصمات تشغيلية. فالدليل الأساسي هنا — مطابقات الاسم المستعار بالمعاملة في خيط المحقق، ورواية المنصة نفسها عن نظام موافقات خُدع — يشير إلى سبب جذري هندسة اجتماعية، مع معالجة تتمحور حول إعادة تأمين التوقيع الداخلي وإعادة فتح السحوبات يوم الاثنين. وما دام THORChain مواصلًا خدمة التبديلات المرتبطة بالمهاجمين والجسور تُغذّي الخواليط، سيبقى التتبع خلف المال خطوة واحدة. أما جانب الطلب فهو بنيوي: فبخلاف الاقتصادات التي تجرب عملة رقمية للبنك المركزي، لا تستطيع بيونغ يانغ طباعة عملة صعبة، ولهذا تستمر الغارات الموجهة من الدولة على المنصات. ومن المرجح وقوع إفصاحات إضافية خلال أسابيع.