مكتب التحقيقات الفيدرالي ينسب سرقة أكثر من 6 مليارات دولار من Binance إلى كوريا الشمالية
الحقائق الرئيسية
حمّل مكتب التحقيقات الفيدرالي الأميركي كوريا الشمالية مسؤولية سرقة أصول افتراضية تتجاوز قيمتها 6 مليارات دولار من منصة Binance، في هجوم وقع في 29 أكتوبر 2026. وأطلق المكتب على النشاط اسم TraderTraitor، وفق بيانه المنشور في 31 أكتوبر. وكانت TRM قد نسبت الهجوم إلى وحدة TraderTraitor الكورية الشمالية بدرجة ثقة عالية، استناداً إلى معلومات من داخل السلسلة وخارجها. وقالت الشركة إن تحليلها الأولي استند إلى نشاط السلسلة الذي رصدته حتى 30 أكتوبر عند الساعة 00:30 بالتوقيت العالمي، فيما تعود التحويلات إلى 29 أكتوبر. وقدّرت TRM أن هذه السرقة تمثل جزءاً كبيراً من الزيادة في سرقات العملات المشفرة المرتبطة بكوريا الشمالية خلال 2026.
قال مكتب التحقيقات الفيدرالي إنه، بالتعاون مع جهاز الخدمة السرية ومصلحة الضرائب، رصد تحويل الأصول المسروقة أساساً إلى إيثيريوم. وقدرت TRM التدفقات الخارجة على شبكة إيثيريوم بنحو 3.79 مليارات دولار، شملت 200,630 ETH و185 رمزاً آخر. ومن بين تلك الرموز 1.875 مليار USDT و823 مليون USDC و88.5 مليون RLUSD. وقال المكتب إن خدمات التمويل اللامركزي والمبادلة الفورية قد تُستخدم في مراحل لاحقة من غسل الأموال. ويضع هذا المسار تحويل الأصول بين الشبكات والرموز في صلب جهود تتبع الأموال التي خرجت من المنصة.
وصف تحليل TRM آلية الهجوم على شبكة إيثيريوم بأنها تفويض من نوع EIP-7702 حوّل محفظة Binance الساخنة إلى أداة تجميع يسيطر عليها المهاجم. وقالت الشركة إن المهاجم جهّز 50 تفويضاً موقّعاً مسبقاً قبل تنفيذ العملية. ورأت TRM أن هذه الآلية تشير إلى اختراق البنية التحتية لتوقيع معاملات المحافظ الساخنة. وفي تحقيقها الأولي، قالت Binance إن حاسوباً محمولاً لمهندس في فريق العمليات والتطوير ربما أتاح الوصول إلى حاوية خدمات وتنفيذ سحوبات غير مصرح بها. وأضافت الشركة أنها لم تجد دليلاً على تسريب المفاتيح الخاصة بالمحافظ.
على صعيد تعقب الأموال، قالت TRM إن جهات إصدار العملات المستقرة جمّدت نحو 2.67 مليار دولار من هذه الأصول. وأضافت أن مجلس أمن Arbitrum جمّد 8,426 ETH و74.6 مليون ARB على شبكته، ليبلغ إجمالي الأصول المجمدة نحو 2.7 مليار دولار. وفي تقرير منفصل، نقلت وكالة أسوشيتد برس عن Binance أنها خصصت أكثر من 6.34 مليارات دولار من أموال الشركة لتغطية الأصول المسروقة، وأنها عملت مع شركاء في شبكات البلوكشين لتجميد نحو 3 مليارات دولار من الأصول المتأثرة. وقالت Binance إن أموال المستخدمين آمنة وإنها ستغطي كامل المبلغ المسروق. ويعكس اختلاف الأرقام تقديرات صادرة عن جهات مختلفة وفي سياقات زمنية منفصلة.
وقالت Binance في تحديث 1 نوفمبر إنها أمّنت شراء نحو 95% من الأصول المتأثرة، ارتفاعاً من 90% في تحديثها السابق. وأوضحت أن النسبة المتبقية، البالغة 5%، تخص رموزاً أقل سيولة وخارج قائمة أكبر عشرة رموز أوردتها. وأضافت أنها تواصل شراء الأصول المتبقية عبر السوق وقنوات التداول خارج المنصات. وبدأت المنصة المرحلة الأولى من استئناف السحب في 1 نوفمبر، بين الساعة 14:00 و17:00 بتوقيت UTC+8، مع استمرار الإيداعات بصورة طبيعية. وقالت إن إعادة السحب ستتم تدريجياً بعد فحوص الاستقرار والأمن، وإن ترتيب الأصول والشبكات سيستند إلى بيانات طلب المستخدمين خلال الأسبوع السابق.
وفي الأثر على السوق، أفادت Reuters بأن صناديق بيتكوين المتداولة الفورية سجلت تدفقات خارجة بقيمة 643 مليون دولار يوم الجمعة 30 أكتوبر، وهي أكبر تدفقات يومية خارجة في أكتوبر. ونقلت الوكالة عن TRM أن تصفية مراكز ذات رافعة مالية تجاوزت قيمتها 1.3 مليار دولار. وقال آري ريدبورد، مسؤول السياسات في TRM، إن «اختراق منصة للعملات المشفرة يشبه سرقة مصرفية بسرعة الإنترنت». وأضاف أن الهجوم «يخلق ملف مخاطر غير مستقر لكل من يدير أموال الآخرين». وسجلت بيانات EL7 إغلاق بيتكوين عند 78,000.01 دولار في 2 نوفمبر، مقارنة بـ80,150.56 دولار في 26 أكتوبر.
وقالت Binance، بحسب ما نقلته Reuters، إن لديها أكثر من 335 مليون مستخدم حول العالم، وإن متوسط حجم تداولها اليومي يبلغ 95 مليار دولار في الأصول الرقمية والمشتقات. ويضع ذلك الحادث في منصة ذات قاعدة مستخدمين وحجم تداول كبيرين، فيما قالت الشركة إن التحقيق لا يزال جارياً. وتعهدت Binance بنشر تقرير مراجعة للحادث بعد اكتمال التحقيق. وعلى نطاق أوسع، قالت TRM إن سرقات العملات المشفرة المنسوبة إلى جهات مرتبطة بكوريا الشمالية بلغت نحو 12.8 مليار دولار عبر 100 حادثة منذ 2017 وحتى 29 أكتوبر 2026. وقدّرت الشركة أن 7.4 مليارات دولار من ذلك المجموع سُرقت خلال 2026.