تحويلات مشبوهة من محافظ Binance تبلغ 6.36 مليارات دولار وسط اتهام كوري شمالي
الحقائق الرئيسية
قالت TRM Labs إن مهاجماً نقل أصولاً بقيمة تقارب 6.36 مليارات دولار من محافظ Binance إلى عناوين يسيطر عليها، عبر 10 سلاسل بلوكشين في 29 أكتوبر 2026. وذكرت الشركة أن معظم التحويلات جرى خلال نحو 20 دقيقة، بدءاً من الساعة 20:05 بالتوقيت العالمي. ونسبت TRM الهجوم بدرجة ثقة عالية إلى TraderTraitor، وهي مجموعة قرصنة كورية شمالية، استناداً إلى معلومات من داخل السلسلة وخارجها. وقدرت Binance التأثير الإجمالي للحادث بنحو 6.3 مليارات دولار في تحديثها المنشور في 30 أكتوبر، وقالت إن نحو 3 مليارات دولار جُمّدت على السلسلة حتى ذلك الوقت. ولم تعلن Binance هوية المهاجم، فيما وصف بيانها ما حدث بأنه حادث أمني قيد التحقيق.
تختلف تقديرات حجم الأصول المتأثرة باختلاف الجهات ومنهجياتها. فقدرت Chainalysis المبلغ المسروق وقت السرقة بنحو 5.912 مليارات دولار، وهو أقل من تقدير TRM البالغ نحو 6.36 مليارات ومن تقدير Binance للتأثير الإجمالي عند نحو 6.3 مليارات دولار. ولا تمثل هذه الأرقام تقديراً موحداً؛ فـTRM تحدثت عن تحويلات من محافظ Binance إلى عناوين المهاجم، بينما صاغت Binance رقمها باعتباره التأثير الإجمالي للحادث. وقالت TRM إن الواقعة هي أكبر سرقة عملات مشفرة مسجلة لديها، ويعادل حجمها نحو أربعة أضعاف اختراق Bybit الذي بلغ 1.5 مليار دولار في فبراير 2025. ويضع هذا الحجم الواقعة ضمن أبرز السرقات التي شهدها القطاع، وفق المقارنة التي أوردتها الشركة.
قالت TRM إنها تنسب الهجوم تحديداً إلى TraderTraitor، التي وصفتها بأنها وحدة قرصنة كورية شمالية، فيما ذكرت CoinDesk أن المجموعة وحدة فرعية من Lazarus. وقال محقق البلوكشين ZachXBT إن المهاجم «على الأرجح Lazarus»، لكن CoinDesk نقلت عن شخص مطلع على التحقيقات أن الإسناد إلى Lazarus لم يكن نهائياً. واستند تقييم TRM إلى معلومات على السلسلة وخارجها، مع درجة ثقة وصفتها الشركة بالمرتفعة، لكنه لا يمثل تأكيداً رسمياً لهوية المنفذ. وقالت الشركة إن من أوجه التشابه مع هجمات سابقة سحوبات صغيرة من Tornado Cash لتمويل محفظة تشغيل، وتحضيراً بدأ قبل السرقة، وتوقيعات أُعدت سلفاً ونُفذت دفعة واحدة. وأضافت أن نمط غسل الأموال الذي رصدته اختلف عن النمط المعتمد على الجسور في اختراق Bybit.
ووفق TRM، بدأ التحضير قبل السرقة بما لا يقل عن 36 ساعة، وتلقت محفظة التشغيل ثلاث سحوبات صغيرة من Tornado Cash بدءاً من صباح 28 أكتوبر. وقالت الشركة إن المهاجم استخدم على شبكة Ethereum تفويض EIP-7702 لتحويل محفظة Binance الساخنة إلى عقد يسحب الأموال لمصلحته، مع إعداد 50 تفويضاً موقعاً مسبقاً. أما المحافظ على 9 سلاسل أخرى، فأرسلت الأموال عبر تحويلات موقعة عادية، بحسب TRM. وتنسجم هذه التفاصيل مع وصف الشركة للتحضير المسبق والتوقيعات التي نُفذت في دفعة واحدة. وقالت Binance إن تحقيقها الأولي أشار إلى احتمال اختراق حاسوب محمول لمهندس DevOps، ما أتاح للمهاجم دخول حاوية خدمة وإرسال معاملات سحب غير مصرح بها.
قالت Binance إنها لم تجد دليلاً على تسريب مفاتيح المحافظ الخاصة، وإنها علقت الإيداعات والسحوبات مؤقتاً وألغت تفويض العنوان المتأثر. وأضافت أنها تعمل مع شركاء في مجال البلوكشين لتجميد الأصول، وأن نحو 3 مليارات دولار جُمّدت على السلسلة حتى تحديث 30 أكتوبر. وذكرت Associated Press أن Circle جمّدت ما يعادل أكثر من 800 مليون دولار مرتبطة بالحادث بالتنسيق مع جهات إنفاذ القانون، وأن Tether جمدت ما يعادل أكثر من 1.5 مليار دولار. وقالت Binance إنها ستغطي الخسائر من صندوق SAFU وأموال الشركة، مؤكدة أن «أموال المستخدمين آمنة». كما قالت إنها تعمل مع جهات إنفاذ القانون وشركاء استخبارات البلوكشين في التعامل مع الحادث.
وانعكس الحادث على سوق العملات المشفرة مساء الخميس؛ إذ تراجع سعر بيتكوين 3.2% إلى ما دون 79 ألف دولار، وفق Associated Press. وفي سياق أوسع، أشار تقرير Reuters إلى أن المهاجمين سرقوا خلال 2025 عملات مشفرة بقيمة 2.9 مليار دولار عبر نحو 150 هجوماً. وقالت Binance إنها تتوقع استئناف خدمات السحب خلال الساعات الـ48 التالية لتقريرها المنشور في 30 أكتوبر. كما تعهدت بنشر مراجعة تقنية مفصلة بعد اكتمال التحقيق والتحقق من الوقائع، وإصدار تحديث لإثبات الاحتياطيات بعد إتمام المعالجة. ولم تحدد Binance في البيان موعداً تقويمياً لنشر المراجعة التقنية.