تحويلات تكشف سرقة 4.06 ملايين دولار من 365 محفظة على شبكة TRON
الحقائق الرئيسية
قالت شركة Bitquery Research إنها تتبعت ما لا يقل عن 4.06 ملايين دولار من عملة USDT سُحبت من 365 محفظة على شبكة TRON بين 5 أكتوبر و4 نوفمبر 2026. وتحدد النتيجة حجم الأموال التي رصدتها الشركة على السلسلة خلال تلك الفترة، بينما يشير وصفها للمبلغ بأنه حد أدنى إلى أن التقدير لا يشمل كل خسارة محتملة. وتتبعت Bitquery الأموال إلى 43 محفظة تجميع قصيرة العمر مرتبطة بمحفظة واحدة استُخدمت لدفع الرسوم. وقالت الشركة إن 39 من محافظ التجميع تعاملت مباشرة مع محفظة الرسوم أو أفرغت أرصدة ضحايا كانت قد موّلتها للتو، فيما ارتبطت المحافظ الأربع الأخرى بها عبر وسيط أو محفظة تجميع أخرى. وتوفر هذه الروابط المالية مساراً لتحركات الأموال بين المحافظ، لكنها لا تحدد بذاتها هوية من كان يسيطر عليها.
ولم تربط Bitquery معظم عمليات السحب بهاتف أو تطبيق بعينه، إذ قالت إن سجل التحويلات يبيّن حركة الأموال ولا يكشف الجهاز الذي ربما عرّض العبارة السرية للمحفظة للخطر. وتمكنت الشركة من مطابقة حالة واحدة مع رواية منشورة لضحية قالت إنها تعرضت لسرقة مرتبطة بهاتف iPhone. وفي 15 أكتوبر، خرج من المحفظة في تلك الحالة 16,428 USDT، ثم غادرت الكمية المتبقية من TRX بعد 12 ثانية. وقالت Bitquery إن التحويلات تطابقت مع رواية الضحية المنشورة حتى مستوى توقيت الحركة. وتضع هذه المطابقة حالة موثقة واحدة ضمن التحقيق، من دون أن تثبت أن جميع أصحاب المحافظ المتضررة استخدموا iPhone أو تعرضوا للآلية نفسها.
وتظهر بيانات Bitquery أن 46% من المحافظ التي سُحبت منها الأموال كانت تحتفظ بأرصدة لأكثر من عام قبل السرقة، وأن 87% احتفظت بأموال لأكثر من شهر. ويعني ذلك أن معظم العناوين الواردة في هذا القياس لم تكن حديثة التمويل قبل فقدان الأموال، وأن ما يقارب نصفها كان يحتفظ بأرصدة لفترة تجاوزت عاماً. وفي المقابل، قالت الشركة إن 89 ضحية خسروا TRX وحدها، ولم يدخل هؤلاء ضمن عدد محافظ USDT المسروقة المعروض في الرقم الرئيسي. كما استبعدت Bitquery حالات بقيت فيها بعض عملات USDT داخل المحفظة بعد عملية دفع. لذلك يخص رقم 365 المحافظ التي رصد التحقيق سحب USDT منها وفق معايير الاحتساب التي أعلنتها الشركة، ولا يمثل بالضرورة كل عنوان تكبد أي خسارة خلال الفترة.
وتوزعت الخسائر على نحو غير متساوٍ بين العناوين. فقد قالت Bitquery إن نصف العناوين التي فقدت USDT خسرت أقل من 1,029 USDT، بينما تكبدت 8 عناوين خسائر لا تقل عن 100,000 USDT لكل منها. ومثلت خسائر هذه العناوين الثمانية مجتمعة 63% من إجمالي USDT المسروق الذي احتسبه التحقيق. وسجل 25 أكتوبر أكبر خسائر يومية، حين فقد ضحيتان 1.21 مليون USDT بينهما. وقدر التقرير حصة ذلك اليوم بنحو 31% من إجمالي العملة التي سُحبت خلال فترة التحقيق. وتجمع هذه الأرقام بين عدد كبير من الخسائر الأصغر وتركيز غالبية المبلغ في عدد محدود من العناوين.
وتتبعت Bitquery أيضاً مسار جزء من الأموال بعد انتقالها من عناوين اللصوص على Ethereum إلى شبكة TRON. وخلال الأيام العشرة التالية لـ25 أكتوبر، رصدت الشركة تحويل 1.51 مليون دولار عبر LI.FI، وهو تطبيق يوجّه الأموال بين الشبكات. ودفعت التحويلات الـ71 على TRON مجدداً إلى 8 محافظ جديدة، وكان معظم ما وصل إليها من عملة USDT. كما رصد التحقيق عودة 62,000 دولار إضافية عبر جسر USDT0. وتكشف هذه التحركات أن مسار الأموال لم يقتصر على شبكة واحدة، إذ انتقلت قيمة مرصودة عبر Ethereum قبل أن تعود إلى TRON. وتبقى هذه الأرقام خاصة بالتحويلات التي تتبعتها Bitquery في الفترة من 25 أكتوبر إلى 4 نوفمبر، ولا تمثل كامل قيمة السرقات الأصلية.
وفي مسار التمويل الأولي، قالت Bitquery إن محفظة الرسوم تلقت تحويلين من محافظ ساخنة لمنصتي Bybit وHitBTC خلال ساعة واحدة في 18 أكتوبر. وأرسلت محفظة Bybit الساخنة 571 USDT، فيما أرسلت محفظة HitBTC الساخنة 485 USDT إلى محفظة الرسوم. وتضيف التحويلات نقطة اتصال بين محافظ المنصتين والمحفظة التي موّلت عمليات أخرى في التحقيق. غير أن المصدر يصف هذه التحويلات بوصفها مسارات أموال مرصودة، ولا يثبت من خلالها من طلبها أو من كان يسيطر على المحافظ المستقبلة. وفي الخلفية الأمنية الأوسع، أفادت iVerify وReport URI بأن مجموعات استغلال Coruna وDarkSword أمكن إيصالها عبر إعلانات أو عناصر صفحات أثناء التصفح، مع اشتراط زيارة موقع مصاب من دون الحاجة إلى النقر على الإعلان. وقالت iVerify إن نسخاً مرصودة من DarkSword استهدفت تطبيقات محافظ للعملات المشفرة، منها TronLink، بينما ذكرت Lookout في مارس أن DarkSword استهدف إصدارات iOS من 18.4 إلى 18.6.2؛ لكن تحقيق Bitquery لم يحدد أن هذه الأدوات تسببت في معظم السرقات التي تتبعها.
وفي توصيات منفصلة عن تحقيق السرقات، دعت Lookout المؤسسات في مارس إلى تحديث الأجهزة إلى iOS 18.7.3 أو أحدث، أو iOS 26.3 أو أحدث، وإخراج الأجهزة غير المدعومة من الخدمة. وتستهدف توصية التحديث الإصدارات التي حددتها الشركة في تقريرها عن DarkSword، ولا تشكل تحديداً لسبب كل عملية سحب رصدتها Bitquery. وكان AxIOS قد أفاد في أكتوبر بأن باحثين شاهدوا إصابات لهواتف iPhone تبدأ عبر إعلانات على الإنترنت من دون نقر المستخدم على رابط خبيث، مع استخدام برمجيات تجسس لسرقة بيانات الدخول والبحث عن محافظ العملات المشفرة. وتبقى تلك الوقائع الأمنية سياقاً منفصلاً عن مطابقة Bitquery المحدودة بين التحويلات ورواية منشورة عن ضحية واحدة. أما أرقام التحقيق المالي فتغطي التحويلات التي رصدتها الشركة على TRON بين 5 أكتوبر و4 نوفمبر 2026.