تسرب يتجاوز 106 ملايين دولار من USDC وUSDT لدى كيان أوروبي بحسب ZachXBT

العملات المستقرة تخرج من حسابات المنصات

تجاوزت الأموال التي خرجت من حسابات منصة مركزية تابعة لكيان مجهول داخل الاتحاد الأوروبي يوم 1 نوفمبر حاجز 106 ملايين دولار، وسجل هذه العملية على البلوكتشين متاح اليوم للعموم. ونشر المحقق على السلسلة ZachXBT مسار الأموال في منشور تحقيق عبر Telegram مساء 2 نوفمبر، موضحًا أن الأموال المشتبه في سرقتها سُحبت على شكل العملات المستقرة USDC وUSDT من عدة حسابات على منصات مركزية. ولم تؤكد الضحية ولا أي طرف ثالث حتى الآن المبلغ أو طريقة التسرب، وما يزال هوية الكيان الأوروبي غير معلنة. وما تُظهر آثار السحب على السلسلة هو تمزيق متدرج ومقصود لأي قابلية للتتبع. بدأ الفاعلون بتحويل USDC إلى الإيثر، أعمق وأسيل زوج تداول متاح لهم عند مكاتب التحويل الفوري. ثم ضخوا الإيثر في خدمات تبادل فورية بشروط تحقق هوية خفيفة، من بينها WellWallet وKyrrex، وهي خدمات صُممت لتحويل أصل إلى آخر خلال دقائق دون ملف امتثال كامل. وقفزة التتبع التالية نقلت العائدات إلى مونيرو (XMR)، وهي شبكة طبقة أولى تركّز على الخصوصية، حيث تُحجب مبالغ التحويل وأطرافها بحكم التصميم. أما المرحلة الأخيرة فجسرت القيمة عبر عدة سلاسل عامة، وهو نمط عابر للسلاسل يقطع خيط التتبع عند كل قفزة ويدفع أي محقق إلى الانطلاق من الصفر من جديد. وقدر ZachXBT أن أثقل حركة تجاوزت نحو 24 ساعة، ووصف الفاعلين بأنهم تحركوا بسرعة. والخروج بالعملات المستقرة يثبّت قيمة السرقة عند لحظة السحب، ولهذا يمكن التصريح برقم 106 ملايين دولار بدقة بينما تظل الضحية صامتة. وتكمن دلالة سحب الأموال من عدة حسابات لا من محفظة واحدة في أن الاختراق منسق على مستوى بيانات الدخول لا تسريب لمفتاح واحد، مع أن ناقل الهجوم لم يُوثّق بعد. كما نشر ZachXBT عدة عناوين مرتبطة بالسرقة، كي تتمكن المنصات ومراقبو المجتمع من مطابقة الإيداعات الواردة مع سجلاتهم الخاصة.

نافذة التجميد بعد التحويل

وأضاف ZachXBT حكمًا ثانيًا: بناءً على عدد من خصائص غسل الأموال الملاحظة، فهو واثق بدرجة عالية من أن الفاعل وراء السرقة المشتبه بها ليس مجموعة لازاروس، الكتلة الكورية الشمالية التي تقف وراء سلسلة طويلة من اختراقات المنصات، بينما تبقى الهوية الحقيقية للمنفذ مفتوحة. والجزء غير المحسوم من القضية تشغيلي بحت. فإذا كانت الأموال خرجت فعلًا من عدة حسابات على منصات مركزية، فإن الاختراق يقع عند طبقة الحساب: تسجيلات الدخول ومفاتيح واجهات برمجة التطبيقات وقوائم العناوين المسموح لها بالسحب وأنظمة اعتراض السحب غير الطبيعي، كلها تعثرت قبل أن تُعلَّم العملات المستقرة كعملية مشبوهة. وهذا الترتيب مهم لأن الأصلين المعنيين ما زالا يخضعان لمصدريهما. تحمل USDC وUSDT آليات تجميد من جهة الإصدار، ولا يستطيع المُصدر أو المنصة التدخل إلا ما دامت القيمة بصيغة يمكن للطرفين المساس بها. والتجميد يعمل على مستوى التوكن، أي أن المُصدر يستطيع وضع عنوان يحوز الأصل في قائمة سوداء، لكن هذه الصلاحية لا تتبع الأموال إلى الإيثر أو مونيرو. كل تحويل يحرق الخيار: فمتى صارت الأموال إيثرًا، ومتى عبرت تحويلًا فوريًا، ومتى هبطت في مونيرو، انغلقت النافذة. وللمنصات، تُثبت هذه الحادثة الحاجة إلى مشاركة أسرع لقوائم العناوين السوداء وإنذارات KYT أشد ضبطًا، أي الفحص اللحظي الذي يعلّم الإيداعات الواردة من عناوين قائمة سوداء، عبر جميع المنصات؛ وللمؤسسات التي تحتفظ بأرصدة كبيرة على منصات مركزية، تجدد الحادثة الحجة لصالح التحقق متعدد العوامل وفترات تهدئة قبل السحب وتوزيع الحفظ بين أكثر من مزود. أما التوزيع الدقيق بين العملتين المستقرتين في الإجمالي المسروق فلم يُنشر. وتحل الحادثة بينما يشارك مُصدر USDC في أعمال تجديد متواصلة: فقد جدولت Circle توقفًا لجسر CCTP V1 القديم يوم 1 ديسمبر، ووضعت نظرة COINOTAG الأولية على نتائج الربع الثالث لشركة Circle (CRCL) ربحية السهم عند 0.40 دولار إلى جانب نمو في USDC، كما أظهرت قراءة حديثة لسبعة أيام انخفاض إمداد USDC المتداول بنحو 800 مليون. وبذلك يجري إعادة بناء أدوات المُصدر في اللحظة نفسها التي يثبت فيها اللصوص سرعة الالتفاف عليها.

خسارة غير مؤكدة وفاعل مجهول

قاعدة الأدلة هنا هي السلسلة نفسها: عناوين منشورة، ونمط قفزات موثق، وإجمالي معلن، ومع ذلك لا تأكيد من الكيان الذي يُفترض أنه خسر المال. وقراءتنا أن نقطة الدخول كانت على الأرجح على مستوى الحساب لا اختراقًا لبروتوكول، وأن المعالجة التي تلزم بعدها غير بهاجة: تدوير بيانات الدخول، وتدقيق قوائم السحب المسموح بها، وتجميد مسبق التعليم ينفذ خلال دقائق، لأن التحويل إلى الإيثر ومونيرو يغلق نطاق وصول المُصدر سريعًا. وسرقة الحسابات على المنصات المركزية تقع أيضًا خارج تغطية معظم وثائق التأمين اللامركزية، إذ تُكتب هذه الوثائق حول استغلال الثغرات على البروتوكولات على السلسلة لا حول بيانات دخول مخترقة. وتبقى القضية مفتوحة إلى الآن: الفاعل غير معرف، والمسار يمر عبر مونيرو وجسور بين السلاسل، ولم يؤكد طرف مستقل ولا الضحية ولا رقم الخسارة.