FBI ينسب إلى كوريا الشمالية سرقة أكثر من 6 مليارات دولار من Binance
الحقائق الرئيسية
نسب مكتب التحقيقات الفيدرالي الأميركي، في بيان صدر في 31 أكتوبر، إلى كوريا الشمالية سرقة أكثر من 6 مليارات دولار من الأصول الافتراضية من منصة Binance، وسمّى النشاط السيبراني المرتبط بها «TraderTraitor». وقال المكتب إن السرقة وقعت في 29 أكتوبر أو في موعد قريب منه. وقدّرت TRM Labs التحويلات من محافظ مرتبطة بالمنصة إلى عناوين يسيطر عليها المهاجم بنحو 6.36 مليارات دولار، وفق قيمة الأصول لحظة سرقتها، وبنحو 6.23 مليارات دولار وفق أسعارها وقت نشر تحليل الشركة. أما Binance فقالت إن خسائر الأصول الرمزية بلغت نحو 6.3 مليارات دولار. ويضع بيان FBI الواقعة في إطار إسناد رسمي أميركي، فيما نقلت أسوشيتد برس عن الرئيس دونالد ترامب قوله إنهم لا يعرفون بعد ما إذا كانت كوريا الشمالية وراء الهجوم، مع احتمال اتضاح ذلك لاحقاً.
قالت Binance إن محافظها الساخنة تعرضت للاختراق قرابة الساعة 20:05 بتوقيت UTC في 29 أكتوبر، وإنها لم تجد دليلاً على تسرب مفاتيح المحافظ الخاصة. ورجّح تحقيقها الأولي احتمال صلة حاسوب محمول مخترق لمهندس في DevOps بالحادث، لكنها قالت إن التحقيق اللاحق كشف نقاط اختراق إضافية. وبحسب تقدير TRM، توزعت التحويلات على شبكات عدة، مع الحصة الأكبر على Ethereum بقيمة تقارب 3.79 مليارات دولار، تليها Bitcoin بنحو 1.47 مليار دولار. وقدرت الشركة التحويلات على Tron بنحو 628 مليون دولار، موزعة بين 612.7 مليون USDT و46.4 مليون TRX، وعلى XRP Ledger بنحو 296 مليون دولار، وعلى Solana بنحو 96 مليون دولار. وقال FBI إن الأصول المسروقة تحولت أساساً إلى Ethereum، مرجحاً استخدامها لاحقاً عبر خدمات التمويل اللامركزي والمبادلة الفورية في مراحل غسل أخرى.
قارنت TRM حجم السرقة باختراق منصة Bybit الذي بلغ 1.5 مليار دولار في فبراير 2025، وقدرت أن واقعة Binance تعادل نحو أربعة أمثال ذلك الاختراق. وقالت أسوشيتد برس إن مجموعة TraderTraitor هي نفسها التي ارتبطت باختراق Bybit. وفي مسعى للحد من حركة الأموال، دعا FBI وجهاز الخدمة السرية ومصلحة الضرائب الأميركية مشغلي العقد وخدمات الأصول الافتراضية والجهات الأخرى إلى حظر المعاملات المرتبطة بالعناوين التي يستخدمها النشاط لغسل الأصول. وتظهر خريطة التحويلات التي رصدتها TRM تعدد الشبكات التي انتقلت عبرها الأموال، بينما يركز تحذير السلطات على عناوين محددة. وقالت TRM إن الجهات المصدرة للعملات المستقرة جمدت نحو 2.67 مليار دولار حتى الساعة 00:30 بتوقيت UTC في 30 أكتوبر، وإن مجلس أمن Arbitrum جمد 8,426 ETH و74.6 مليون ARB، ليبلغ إجمالي الأصول المجمدة على السلسلة نحو 2.7 مليار دولار.
لكن TRM قالت إن المهاجم ظل يسيطر، وفق لقطة 00:30 بتوقيت UTC في 30 أكتوبر، على أكثر من 420,000 ETH و18,270 BTC، بقيمة تقارب 2.4 مليار دولار من الأصول التي لا تستطيع جهة إصدار تجميدها. وأعلنت Binance في تحديث 1 نوفمبر أنها غطت نحو 95% من المبلغ المتأثر، ارتفاعاً من نحو 90% في تحديثها السابق، وقالت إن النسبة المتبقية، البالغة 5%، تتكون من رموز أقل سيولة وأبطأ في توفير الكميات المطلوبة. كما أكدت أن أرصدة BTC وETH وUSDT وBNB وSOL وUSDC وXRP وUSD1 وRLUSD وZEC مدعومة بالكامل بنسبة 100%. وتعهدت المنصة بإعادة تمويل صندوق SAFU ليعود إلى نحو مليار دولار. وتفصل هذه التحديثات بين الأصول التي جُمّدت على السلسلة وبين ما قالت Binance إنها غطته من المبلغ المتأثر.
حددت Binance نافذة مستهدفة بين الساعة 06:00 و09:00 بتوقيت UTC في 1 نوفمبر لبدء المرحلة الأولى من استئناف السحوبات، وقالت إنها ستنشر تقريراً عن الحادث بعد اكتمال التحقيق. وأفادت رويترز في تقرير نشرته في اليوم نفسه بأن المنصة استأنفت بالفعل سحوبات Bitcoin، وأن بقية السحوبات ستعود على مراحل؛ وشملت المرحلة الأولى 15 أصلاً رقمياً. وفي سياق أوسع للقطاع، نقلت رويترز عن باحثي TRM أن المهاجمين سرقوا العام السابق 2.9 مليار دولار من العملات المشفرة عبر نحو 150 هجوماً. وقالت الوكالة إن أسعار العملات المشفرة هبطت يوم الجمعة بعد الاختراق، بينما سعت Binance إلى طمأنة العملاء بشأن سلامة أموالهم. وتوقع آري ريدبورد من TRM أن يجزئ المهاجمون الأصول ويحاولوا غسلها عبر منصات أصغر لتفادي الرصد، في عملية قد تستمر أشهراً.