وتر عمان الإخباري – لم يحتج الهجوم الإلكتروني الذي استهدف منصة «بينانس» (Binance) إلى كسر تشفير شبكة «البلوك تشين» أو اختراق البنية الأساسية لعملة «إيثيريوم»، بل اعتمد على استغلال منظومة التوقيع الداخلي وميزة برمجية حديثة، مكّنت القراصنة من الاستيلاء على أصول رقمية تقدر بنحو 6.3 مليارات دولار، في واحدة من أكبر عمليات السرقة بتاريخ قطاع العملات المشفرة.
وبحسب تحليلات شركات متخصصة في الأمن السيبراني وتتبع معاملات البلوك تشين، تركزت عمليات السحب الأكبر خلال نحو 20 دقيقة، بعدما تمكن المهاجمون من استغلال صلاحيات التوقيع المرتبطة بالمحافظ الساخنة للمنصة. وأثارت العملية مخاوف واسعة بشأن أمن المنصات المركزية، وسط مؤشرات تربط الهجوم بمجموعة «تريدر تريتور» المرتبطة بكوريا الشمالية، دون أن تكون هوية المنفذين قد حُسمت رسميًا من جانب «بينانس». <Cite refs={[“turn693606search0″,”turn693606search1″,”turn693606news24”]}/>
الإعداد في الظل.. اختبارات على محافظ وعقد ذكي
وأشارت شركة «بلوك إيد» (Blockaid)، المتخصصة في أمن العملات المشفرة، إلى أن الهجوم جرى التخطيط له على مراحل، إذ بدأ التحضير في 28 تشرين الأول 2026، عندما موّل المهاجم عنوانه الرقمي عبر ثلاث عمليات سحب من خدمة «تورنادو كاش» (Tornado Cash)، وهي خدمة لخلط العملات المشفرة تهدف إلى إخفاء الصلة بين مصدر الأموال والوجهة التي تصل إليها.
ووفقًا لتحليل الشركة، أجرى المهاجم في اليوم التالي اختبارات على ثلاث محافظ رقمية يسيطر عليها، مستخدمًا مبالغ صغيرة تراوحت بين دولارين وستة دولارات، للتحقق من قدرة الآلية على الاستيلاء على الأرصدة ونقلها تلقائيًا قبل استهداف محافظ المنصة.
وبعد نجاح الاختبارات، نشر المهاجم عقدًا ذكيًا مخصصًا على شبكة إيثيريوم، أطلقت عليه «بلوك إيد» اسم «الكناس» (Sweeper)، وهو برنامج يتولى سحب الأصول والعملات من المحفظة المستهدفة وتحويلها تلقائيًا إلى عنوان خارجي يحدده المهاجم، كما يتيح استدعاء عقود ذكية إضافية، بما يسمح بتوسيع نطاق السيطرة على الأرصدة. <Cite refs={[“turn693606search0″,”turn693606search2”]}/>
معيار EIP-7702.. 50 تفويضًا للسيطرة على المحفظة
اعتمد الهجوم بصورة أساسية على استغلال معيار تقني حديث يحمل اسم «EIP-7702»، دخل حيز التشغيل في أيار 2025، ويتيح للمحافظ الرقمية التقليدية، المعروفة باسم «الحسابات المملوكة خارجيًا» (EOA)، تشغيل تعليمات العقود الذكية من خلال تفويضها إلى عقد محدد.
وتكمن أهمية هذه الخاصية في أن التفويض يظل ساريًا بعد اعتماده، ولا يُلغى تلقائيًا، ما لم يصدر توقيع جديد لإزالته. وبذلك يمكن لتفويض غير مصرح به أن يمنح عقدًا خارجيًا قدرة على تنفيذ عمليات داخل المحفظة، بما يشمل الوصول إلى أرصدتها والأموال التي تودع فيها لاحقًا.
وذكرت «بلوك إيد» أن المهاجم واجه، عند استهداف محفظة «بينانس 14»، وهي من أكبر المحافظ الساخنة وأكثرها نشاطًا لدى المنصة، صعوبة في تحديد الرقم التسلسلي الصحيح للمعاملة (Nonce)، بسبب التغير المستمر الناتج عن عمليات السحب المتواصلة.
وللتغلب على ذلك، أرسل المهاجم 50 تفويضًا بأرقام تسلسلية متتابعة، رُفض 49 منها، فيما قُبل تفويض واحد تطابق مع الرقم الفعلي في تلك اللحظة، ما أدى إلى ربط المحفظة بالعقد الذكي «الكناس» ومنح المهاجم القدرة على تنفيذ عمليات السحب. <Cite refs={[“turn693606search0″,”turn693606search9”]}/>
استنزاف المحافظ.. مليارات الدولارات خلال 20 دقيقة
وبعد نحو ثلاث دقائق من نجاح التفويض، بدأت عملية السحب الواسعة من محفظة «بينانس 14»، إذ استولى المهاجم، وفق تحليل «بلوك إيد»، على أكثر من 167 ألف وحدة إيثيريوم، ونحو 1.615 مليار دولار من عملة «تيذر» المستقرة، إضافة إلى نحو 60 أصلًا رقميًا آخر، تاركًا في المحفظة وحدة إيثيريوم واحدة.
وبعد 24 ثانية فقط، امتد الهجوم إلى محافظ ساخنة أخرى تابعة للمنصة، شملت عشر محافظ موزعة على شبكات «أوبتيميزم» و«أربيتروم» و«أفالانش» وإيثيريوم، حيث نُقلت أصولها عبر معاملات عادية موقعة بمفاتيح المحافظ الخاصة، خلال نحو 12 دقيقة.
ولم يتوقف الأمر عند ذلك، إذ استغل المهاجم استمرار التفويض البرمجي للوصول إلى حساب ذكي مرتبط بخدمات شركة «سيركل» (Circle)، وسحب نحو 823 مليون دولار من عملة «يو إس دي سي» (USDC)، قبل أن يعود لاحقًا إلى محفظة «بينانس 14» ويسحب نحو 200 مليون وحدة من عملة «تيذر» كانت قد أودعت فيها بعد الهجوم الأول.
وتشير هذه التفاصيل إلى أن السيطرة على التفويض البرمجي لم تقتصر على عملية سحب واحدة، بل أتاحت للمهاجم تنفيذ عمليات إضافية والوصول إلى أموال دخلت المحفظة بعد الاستهداف الأول. <Cite refs={[“turn693606search0″,”turn693606search1”]}/>
روايتان للاختراق.. الحاسوب المخترق ومنظومة التوقيع
وأظهرت التقارير تباينًا بين تفسير «بينانس» لنقطة الدخول الأولية، والتحليلات التقنية التي قدمتها شركات الأمن السيبراني بشأن آلية تنفيذ السرقات.
فقد قالت «بينانس» إن التحقيق الأولي أشار إلى احتمال اختراق حاسوب محمول يعود لأحد مهندسي الشركة، ما أتاح للمهاجمين الوصول إلى حاوية خدمية داخلية واستخدامها لإرسال معاملات سحب غير مصرح بها. وأكدت المنصة عدم وجود أدلة على تسريب المفاتيح الخاصة للمحافظ، مشيرة إلى أن التحقيق كشف نقاط اختراق إضافية، وأن العملية كانت أكثر تعقيدًا من مجرد استغلال صلاحيات موظف واحد. <Cite refs={[“turn693606news24″,”turn693606search10”]}/>
في المقابل، ركز تحليل «بلوك إيد» على استغلال معيار EIP-7702 والتفويضات المتسلسلة لربط المحفظة بالعقد الذكي «الكناس»، فيما أشارت شركة «تي آر إم لابس» (TRM Labs)، المتخصصة في تحليل بيانات البلوك تشين ومكافحة الجرائم المالية المرتبطة بالأصول الرقمية، إلى أن المهاجمين تمكنوا من اختراق منظومة توقيع المعاملات نفسها، دون الحاجة إلى سرقة المفاتيح الخاصة مباشرة.
اتهامات لمجموعة كورية شمالية ومسارات لغسل الأموال
وعلى صعيد تحديد هوية المنفذين، أشارت شركتا «تي آر إم لابس» و«تشيناليسيس» (Chainalysis)، المتخصصتان في استخبارات البلوك تشين، إلى مؤشرات تربط الهجوم بوحدة القرصنة «تريدر تريتور» (TraderTraitor)، المرتبطة بمجموعة «لازاروس» الكورية الشمالية.
واستندت هذه التقديرات إلى تشابه أسلوب الهجوم مع عمليات سابقة، من بينها اختراق منصة «بايبت» عام 2025، إلى جانب تحليل حركة الأموال والبيانات المرتبطة بالمعاملات. ومع ذلك، لم تعلن «بينانس» حسم هوية الجهة المسؤولة، فيما تنفي بيونغ يانغ عادةً مسؤوليتها عن أنشطة القرصنة الدولية. <Cite refs={[“turn693606search1″,”turn693606search7”]}/>
وبعد الاستيلاء على الأصول، بدأ المهاجمون عمليات معقدة لإخفاء مسارات الأموال، شملت تدوير العملات عبر آلاف العناوين الرقمية وإعادة ضخها في عناوين سبق استخدامها لتمويه حركة الأصول، إضافة إلى استخدام جزء منها ضمانات لاقتراض عملة إيثيريوم.
وفي المقابل، تمكنت شركات إصدار العملات المستقرة، من بينها «تيذر» و«سيركل» و«ريبل»، إلى جانب جهات أخرى، من تجميد أصول تقدر بنحو ثلاثة مليارات دولار، وفق التقديرات التي أوردتها التقارير. لكن أصولًا أخرى، لا سيما من بيتكوين وإيثيريوم، بقيت خارج نطاق التجميد بسبب طبيعتها اللامركزية. <Cite refs={[“turn693606search0″,”turn693606search3”]}/>
تداعيات أمنية.. الثقة في أنظمة التوقيع تحت الاختبار
ورغم تطمينات «بينانس» بأنها ستغطي الخسائر من خلال صندوق الأصول الآمنة واحتياطيات الشركة، أعادت الحادثة تسليط الضوء على المخاطر المرتبطة بالبنية التحتية للتوقيع المؤتمت والصلاحيات البرمجية الدائمة الممنوحة للمحافظ الساخنة.
وتكشف العملية أن سلامة شبكة البلوك تشين لا تعني بالضرورة سلامة الأنظمة الداخلية للمنصات التي تتعامل معها، وأن التوقيع الرقمي الصحيح من الناحية التقنية لا يكفي وحده لإثبات أن المعاملة مصرح بها أو أن التحويل مشروع.
وتضع هذه الواقعة منصات تداول العملات المشفرة أمام تحديات أمنية تتعلق بتشديد الرقابة على أنظمة التوقيع، ومراجعة التفويضات البرمجية، ومراقبة حركة الأموال لحظة بلحظة، للحد من مخاطر تكرار عمليات مماثلة.
