المتهم الأول من أقصى الشرق.. القصة الكاملة لاختراق «بينانس»

لم تكن منصة «بينانس»، إحدى أكبر منصات تداول العملات المشفرة في العالم، بمنأى عن هجمات القرصنة التي تلاحق هذا القطاع. فقد كشفت واقعة اختراق استهدفت محافظ مرتبطة بالمنصة عن تحويلات لأصول تُقدّر قيمتها بنحو 6.36 مليارات دولار، في حادثة أعادت المخاوف بشأن أمن الأصول الرقمية إلى الواجهة، وطرحت تساؤلات حول قدرة كبرى منصات التداول على التصدي لهجمات إلكترونية تستهدف بنيتها التقنية وأموال مستخدميها.

وبينما بدأت تفاصيل العملية تتكشف، برز اسم مجموعة قرصنة يُشتبه بارتباطها بكوريا الشمالية، وفق تحليل شركة «TRM Labs». فمن يقف وراء الاختراق؟ وكيف تمكن المهاجمون من الوصول إلى هذه الأصول؟ وما الذي تكشفه الحادثة عن مستوى الأمان في سوق العملات المشفرة؟

وبينما سارعت «بينانس» إلى احتواء التداعيات وتجميد مليارات الدولارات من الأصول المتأثرة، اتجهت أصابع الاتهام، وفق تحليل شركة «TRM Labs»، نحو مجموعة قرصنة مرتبطة بكوريا الشمالية. لكن كيف جرت العملية؟ وكيف تمكن المهاجمون من نقل هذه المبالغ خلال دقائق؟ وما الذي نعرفه حتى الآن عن الجهة المشتبه بها؟

وبحسب تحليل شركة «TRM Labs» الأميركية المتخصصة في تحليل معاملات البلوك تشين ومكافحة الجرائم المالية الرقمية، جرى تحويل هذه الأصول عبر عشر شبكات بلوك تشين، معظمها خلال نحو 20 دقيقة فقط.

وفي تقرير نشرته وكالة «رويترز»، نقلت عن الشركة أن الشبهات تتجه إلى مجموعة قرصنة كورية شمالية تُعرف باسم «TraderTraitor»، مشيرة إلى أن تقييمها يستند إلى معلومات وتحليلات على الشبكات الرقمية وخارجها، وبدرجة ثقة مرتفعة.

لكن بعيداً عن هوية المنفذين، تفتح العملية أسئلة تتجاوز حجم الأموال التي خرجت من المحافظ، كيف تمكن المهاجمون من الوصول إلى هذه الأصول؟ ولماذا لم تنجح أنظمة الحماية في منع العملية؟ وما مصير الأموال التي لم يتم تجميدها؟

تأسست «بينانس» عام 2017 على يد رجل الأعمال الصيني الكندي تشانغبينغ تشاو، المعروف باسم «CZ»، وسرعان ما تحولت إلى واحدة من أكبر منصات تداول العملات المشفرة على مستوى العالم.

وتتيح المنصة للمستخدمين شراء وبيع وتبادل العملات الرقمية، وفي مقدمتها البيتكوين والإيثيريوم، إلى جانب مئات الأصول المشفرة الأخرى، فضلاً عن خدمات التداول والتحويل والمنتجات المالية المرتبطة بهذا القطاع.

وبحسب وكالة «أسوشيتد برس» الأميركية، فإن بينانس تُعد أكبر منصة لتداول العملات المشفرة في العالم، وقد أكدت أنها تحقق في حادثة أمنية قدرت تأثيرها الأولي بنحو 6.3 مليارات دولار.

ورغم ارتباط اسمها بمؤسس صيني كندي وبداياتها في الصين، فإنها لا تُصنف ببساطة باعتبارها شركة صينية؛ إذ تعمل من خلال كيانات قانونية وتنظيمية متعددة في دول مختلفة.

وتكمن أهمية استهدافها في حجم حضورها داخل سوق العملات الرقمية، إذ إن أي اختراق بهذا الحجم لا يقتصر تأثيره على شركة واحدة، بل يمتد إلى ثقة المستثمرين في قطاع كامل يعتمد بدرجة كبيرة على الأمان التقني.

بحسب شركة «TRM Labs»، بدأت العملية في 29 أكتوبر 2026، عندما نقل المهاجم نحو 6.36 مليارات دولار من محافظ مرتبطة ببينانس عبر عشر شبكات بلوك تشين، معظمها خلال نحو 20 دقيقة.

وشملت التحويلات شبكات إيثيريوم وبيتكوين وترون وXRP وسولانا، إلى جانب شبكات أخرى.

أما عن الطريقة، فقد أشارت بينانس في بيانها الأولي، الذي نقلته وكالة «أسوشيتد برس»، إلى أن الاختراق ربما بدأ من حاسوب محمول مخترق يعود إلى أحد مهندسي قسم العمليات التقنية «DevOps»، ما أتاح للمهاجم الوصول إلى بيئة تشغيل داخلية وإرسال أوامر سحب غير مصرح بها.

وأضافت الشركة أنها لم تجد دليلاً على تسريب المفاتيح الخاصة بمحافظ العملات الرقمية، مؤكدة أنها ستنشر تقريراً فنياً مفصلاً بعد انتهاء التحقيق.

في المقابل، قدمت شركة «TRM Labs» تفسيراً تقنياً أكثر تفصيلاً، إذ رجحت أن المهاجم تمكن من اختراق البنية التحتية المسؤولة عن توقيع معاملات المحافظ الساخنة، وهي المحافظ المتصلة بالإنترنت والمستخدمة لتنفيذ عمليات السحب والتحويل اليومية.

ووفقاً لتحليل الشركة، استُخدمت في شبكة إيثيريوم آلية تقنية تُعرف باسم EIP-7702، سمحت للمهاجم بتمرير تعليمات برمجية والتحكم في تنفيذ معاملات من المحفظة المستهدفة.

ويشير هذا التحليل إلى أن العملية ربما لم تكن مجرد سرقة بيانات دخول، بل اختراقاً طال آليات اعتماد المعاملات والتوقيع عليها.

في أعقاب الهجوم، أعلنت شركة «TRM Labs» أنها تنسب العملية إلى مجموعة «TraderTraitor»، التي تصفها بأنها وحدة قرصنة كورية شمالية متخصصة في استهداف قطاع العملات المشفرة.

ونقلت وكالة «رويترز» عن الشركة أن هذا التقييم يستند إلى أدلة ومعلومات من داخل شبكات البلوك تشين وخارجها، وأنها تتمتع بدرجة ثقة مرتفعة في هذا الاستنتاج.

وتكتسب هذه الاتهامات أهميتها من سجل المجموعة، إذ سبق أن ارتبط اسمها بعملية اختراق منصة «Bybit» في شباط 2025، والتي بلغت قيمتها نحو 1.5 مليار دولار.

وكان مكتب التحقيقات الفيدرالي الأميركي قد نسب عملية Bybit إلى جهات قرصنة كورية شمالية، وأصدر تحذيرات بشأن مجموعة TraderTraitor.

وتُربط المجموعة أيضاً بشبكة «Lazarus»، التي تُعد من أبرز شبكات القرصنة المنسوبة إلى كوريا الشمالية، وسبق أن وُجهت إليها اتهامات بتنفيذ عمليات سرقة إلكترونية واسعة النطاق.

لكن من المهم التمييز بين التقييم الأمني والاتهام القضائي؛ فحتى الآن، لا يعني تحليل TRM Labs أن المسؤولية قد حُسمت قضائياً، كما لم تعلن بينانس رسمياً تأكيد هوية المنفذين.

بعد تنفيذ التحويلات، لم يتمكن المهاجمون من الاحتفاظ بحرية كاملة في التصرف بجميع الأصول.

فبحسب تحليل «TRM Labs»، سارعت شركات إصدار العملات المستقرة، وفي مقدمتها «Tether» و«Circle»، إلى تجميد أصول مرتبطة بعناوين المهاجمين، كما تدخلت جهات أخرى للحد من حركة الأموال.

وأوضحت الشركة أن إجمالي الأصول المجمدة بلغ نحو 2.7 مليار دولار في التحديث الذي نشرته، وهو رقم يشمل العملات المستقرة وأصولاً رقمية أخرى جرى تجميدها على شبكات مختلفة.

وكانت بينانس قد أعلنت في تحديث أولي، نقلته وكالة «أسوشيتد برس»، أن نحو 3 مليارات دولار من الأصول المتأثرة جرى تجميدها على البلوك تشين.

وواجهت الجهات المعنية صعوبة أكبر في التعامل مع البيتكوين، إذ لا توجد جهة مركزية مصدرة للعملة تستطيع تجميدها بقرار مباشر، ما يجعل تعقبها واعتراضها أكثر تعقيداً.

ووفقاً لتحليل TRM Labs، تمكن المهاجم من الاحتفاظ بأصول تشمل أكثر من 420 ألف وحدة من الإيثيريوم ونحو 18,270 وحدة من البيتكوين، بقيمة إجمالية قُدرت بنحو 2.4 مليار دولار وقت إعداد التحليل.

تكشف الحادثة مفارقة مهمة في عالم العملات المشفرة، فهذا القطاع نشأ على فكرة الاستقلال عن المؤسسات المالية التقليدية، ومنح المستخدمين القدرة على نقل أموالهم دون الحاجة إلى وسيط مصرفي.

لكن اختراق بينانس أظهر أن بعض الأصول الرقمية، ولا سيما العملات المستقرة، لا تزال مرتبطة بشركات مركزية تمتلك صلاحيات تقنية للتدخل في حركة الأموال وتجميدها.

وبحسب تحليل TRM Labs، كان تدخل شركات مثل Tether وCircle وRipple من العوامل الأساسية في منع المهاجمين من التصرف بجزء كبير من الأصول.

أكدت بينانس، في بيانها الذي نقلته وكالة «أسوشيتد برس»، أن أموال المستخدمين آمنة، وتعهدت بتحمل الخسائر المرتبطة بالحادث من صندوق الحماية المعروف باسم «SAFU» وأموال الشركة.

كما أعلنت اتخاذ إجراءات احترازية شملت تعليق عمليات الإيداع والسحب مؤقتاً على عدد من الشبكات، وإلغاء صلاحيات العناوين المتأثرة، والتعاون مع جهات إنفاذ القانون وشركات تحليل البلوك تشين لتعقب الأموال ومحاولة استعادتها.

لكن هذه التعهدات لا تنهي الأسئلة المتعلقة بأسباب الاختراق، ولا تغني عن انتظار نتائج التحقيقات الفنية النهائية.

فالمستخدمون لا يريدون فقط ضماناً بأن أموالهم لن تضيع، بل يريدون معرفة كيف تمكن المهاجمون من الوصول إلى أنظمة التحويل، وما إذا كانت الثغرات التي استُغلت قد عولجت بالفعل.

تتجاوز خطورة هذه الحادثة مسألة الخسائر المالية المباشرة، خصوصاً في ظل الاتهامات المتكررة لمجموعات كورية شمالية باستخدام عمليات القرصنة لسرقة الأصول الرقمية وتحويلها إلى أموال يصعب تتبعها.

وكانت تقارير وتحذيرات أميركية ودولية سابقة قد تحدثت عن ارتباط عمليات سرقة العملات المشفرة بتمويل أنشطة غير مشروعة، بما في ذلك الالتفاف على العقوبات وبرامج التسلح.

وفي هذا السياق، تكتسب اتهامات TRM Labs أهمية تتجاوز الحادثة نفسها، لأنها تضع اختراق بينانس ضمن نمط أوسع من الهجمات التي تستهدف المؤسسات المالية الرقمية.

قد تنجح «بينانس» في احتواء الخسائر المالية واستئناف خدماتها، لكن التحدي الأكبر الذي تواجهه يبقى استعادة ثقة المستخدمين. فاختراق منصة بهذا الحجم، وتحويل أصول تُقدّر بمليارات الدولارات، لا يثير تساؤلات بشأن أمنها وحدها، بل يفتح الباب أمام مخاوف أوسع تتعلق بسلامة المحافظ الرقمية وآليات التوقيع الإلكتروني والضوابط الداخلية التي تحكم حركة الأموال في سوق العملات المشفرة بأكمله.

وفي انتظار ما ستكشفه التحقيقات بشأن هوية المنفذين والمسؤولية النهائية عن الهجوم، تبدو الحادثة بمثابة إنذار جديد لصناعة العملات المشفرة، لم تعد المنافسة في هذا العالم تقتصر على سرعة التداول وحجم الأرباح، بل باتت القدرة على حماية الثروات الرقمية شرطاً أساسياً لاستمرار الثقة.

وفي انتظار نتائج التحقيقات التي ستحدد هوية المنفذين وتكشف ملابسات الهجوم، تضع هذه الحادثة صناعة العملات المشفرة أمام اختبار جديد، إذ لم تعد قوة المنصات تُقاس بحجم التداولات والأرباح التي تحققها فحسب، بل بمدى قدرتها على حماية أصول المستخدمين والحفاظ على ثقتهم.

ففي سوق تتحرك فيه مليارات الدولارات خلال دقائق، قد تكون ثغرة أمنية واحدة كافية لتهديد منصات كبرى، وفتح الباب أمام هجمات إلكترونية تتجاوز حدود الدول وتترك تداعياتها على القطاع بأكمله.