مكتب التحقيقات الفيدرالي ينسب إلى كوريا الشمالية سرقة أكثر من 6 مليارات دولار من Binance
الحقائق الرئيسية
قال مكتب التحقيقات الفيدرالي الأميركي في 31 أكتوبر إن كوريا الشمالية مسؤولة عن سرقة أصول افتراضية تتجاوز قيمتها 6 مليارات دولار من Binance في 29 أكتوبر تقريباً، ونسب النشاط إلى مجموعة «TraderTraitor». وقدرت شركة TRM Labs التحويلات الخارجة من محافظ المنصة بنحو 6.36 مليارات دولار وقت وقوعها، بينما قدرت قيمة الأصول نفسها بالأسعار اللاحقة بنحو 6.23 مليارات دولار. وقالت الشركة إن معظم التحويلات جرى خلال نحو 20 دقيقة، بدأت عند الساعة 20:05 بالتوقيت العالمي في 29 أكتوبر. وشملت العملية 10 شبكات بلوكشين، وفق تحليلها. ويقدم إعلان FBI تقديراً يتجاوز 6 مليارات دولار، بينما يقيس تحليل TRM التحويلات التي تتبعتها وقيمتها عند وقت وقوعها.
وتصدرت Ethereum مسارات التحويلات بنحو 3.79 مليارات دولار، تلتها Bitcoin بنحو 1.47 مليار دولار، بحسب TRM. وقدرت الشركة التحويلات عبر Tron بنحو 628 مليون دولار، وعبر XRP Ledger بنحو 296 مليوناً، فيما بلغت على Solana نحو 96 مليون دولار. وقالت إن قيمة السرقة تقارب أربعة أمثال 1.5 مليار دولار سُرقت في اختراق منصة Bybit في فبراير 2025. ووصفت TRM العملية بأنها الأكبر في سجل سرقات العملات المشفرة. وأظهرت هذه التحويلات انتقال الأصول عبر شبكات متعددة، فيما قال FBI وشريكا التحقيق، جهاز الخدمة السرية الأميركي ومصلحة الضرائب، إن الأصول المسروقة نُقلت أساساً إلى Ethereum.
وقالت TRM إن التحضير للهجوم بدأ قبل وقوعه بما لا يقل عن 36 ساعة. ورصدت الشركة ثلاث تحويلات صغيرة من Tornado Cash إلى محفظة المشغل، ابتداءً من صباح 28 أكتوبر. وفي تفسيرها لطريقة التنفيذ، قالت إن المهاجم استخدم تفويضاً من معيار EIP-7702 على Ethereum لتشغيل عقد سحب يسيطر عليه عبر محفظة Binance الساخنة. وأضافت أن 50 موافقة كانت موقعة مسبقاً قبل تنفيذ العملية. ورأت TRM أن نمط التوقيعات يشير إلى احتمال اختراق بنية توقيع المحافظ الساخنة، فيما قالت Binance إنها لم تنشر سبباً جذرياً مؤكداً. وأوضحت المنصة في روايتها الأولية أن التحقيق أشار إلى احتمال اختراق حاسوب محمول لمهندس DevOps، أتاح الوصول إلى حاوية خدمة وإرسال معاملات سحب غير مصرح بها، وتعهدت بنشر مراجعة تقنية بعد اكتمال التحقيق والتحقق من الوقائع.
وتوقع FBI وشريكا التحقيق استخدام التمويل اللامركزي وخدمات المبادلة الفورية في مراحل لاحقة من غسل الأصول. ودعت الجهات شركات وخدمات الأصول الافتراضية إلى حظر المعاملات المرتبطة بعناوين محددة، في مسعى لمنع غسل الأموال وإخفاء مصدرها. وقالت Binance في تحديثها الأول، المنشور في 30 أكتوبر، إن تقدير الأثر الإجمالي بلغ نحو 6.3 مليارات دولار. وأضافت أن شركاءها ساعدوا في تجميد نحو 3 مليارات دولار على السلسلة حتى ذلك الوقت، وأعلنت تعليق السحب مؤقتاً. وقالت المنصة إنها لم تجد دليلاً على تسرب المفاتيح الخاصة بالمحافظ. وذكرت وكالة أسوشيتد برس أن شركتي Circle وTether جمدتا أموالاً مرتبطة بالحادث يوم الخميس، بأكثر من 800 مليون دولار للأولى وأكثر من 1.5 مليار دولار للثانية.
وفي تحديث 31 أكتوبر، قالت Binance إن نسبة الأصول المتأثرة التي أعادت تغطيتها ارتفعت إلى 90%، مقارنة بنحو 80% في تحديثها السابق. وأضافت أنها تعمل على شراء نسبة 10% المتبقية عبر السوق والتداول خارج البورصة، موضحة أن انخفاض سيولة تلك الأصول قد يطيل عملية الشراء بالكميات المطلوبة. وقالت إنها ستتحمل الأثر المالي، وإنها ملتزمة بإعادة أصول العملاء كاملة. وذكرت أن التغطية تستخدم جزءاً من صندوق SAFU، وجزءاً من صندوق تأمين العقود الآجلة، وخزينة الشركة. كما أعلنت التزامها بإعادة حجم صندوق SAFU إلى نحو مليار دولار، وذكرت رويترز أن Binance خصصت داخلياً نحو 6.34 مليارات دولار لتغطية الخسائر.
وقالت Binance إنها تستهدف إعادة فتح السحب يوم الأحد 1 نوفمبر، وإنها ستصدر تحديثاً عند تأكيد التفاصيل. وأخذت المنصة لقطة جديدة للاحتياطيات عند الساعة 00:00 بالتوقيت العالمي في 31 أكتوبر، بحسب بيانها. وقدرت أن إعداد إثبات الاحتياطيات الكامل يستغرق 40 إلى 50 ساعة بعد اللقطة، مع توقع إتاحته بحلول الثلاثاء 3 نوفمبر. وفي سياق أوسع، قالت وزارة الخزانة الأميركية في نوفمبر 2025 إن جهات مرتبطة بكوريا الشمالية سرقت أكثر من 3 مليارات دولار، معظمها من العملات المشفرة، خلال السنوات الثلاث السابقة. وكانت وكالة أسوشيتد برس قد ذكرت أن سعر Bitcoin انخفض 3.2% إلى أقل من 79,000 دولار مساء الخميس 29 أكتوبر. وأشارت الوكالة إلى أن التراجع جاء يوم وقوع السرقة، بينما واصلت Binance الإعلان عن تغطية الأصول المتأثرة وخطتها لاستئناف السحب.