أين ذهبت 6.3 مليار دولار من «باينانس»؟: كيف وقع الاختراق القياسي وهل سيتم استرداد الأموال

أعلنت منصة تداول العملات المشفرة «باينانس» في 30 أكتوبر 2026 عن تعرضها لهجوم إلكتروني واسع النطاق، تم خلاله سحب أصول رقمية بقيمة تبلغ حوالي 6.3 مليار دولار من محافظها. ووفقًا للرواية الأولية للشركة، ربما تمكن المهاجمون من اختراق البنية التحتية الداخلية عبر جهاز كمبيوتر محمول مخترق يخص أحد مهندسي DevOps، واستخدموا الأنظمة الداخلية لإجراء تحويلات غير مصرح بها.

تم تحويل الجزء الأكبر من الأموال في غضون 20 دقيقة تقريبًا، حيث جرت العمليات في وقت واحد عبر عشر شبكات بلوكتشين. أعلنت «بينانس» بالتعاون مع شركائها عن تجميد أصول تبلغ قيمتها حوالي 3 مليارات دولار، لكن بقية العملات المشفرة المسروقة ظلت خارج سيطرتها. كما أعلنت «بينانس» أنها خصصت أكثر من 6.34 مليار دولار من أموالها الخاصة لتغطية خسائر المستخدمين بالكامل. ومن هذا المبلغ، يوجد 5 مليارات دولار بالفعل في شكل نفس التوكنات التي استهدفتها الهجمة. وبدأت الشركة في إعادة الأصول إلى العملاء.

كما ظهرت مؤشرات على وجود صلة بين الهجوم وعمليات سرقة العملات المشفرة السابقة. اكتشف الباحث في مجال التحليلات على السلسلة (On-chain) ZachXBT أن الأموال الناتجة عن اختراقات Binance وBitget انتهى بها المطاف في عنوان واحد بعد نقلها عبر THORChain. ويرى محللو TRM Labs وChainalysis أن تورط المجموعة الكورية الشمالية TraderTraitor أمر محتمل، لكن لم يتم تحديد هوية المهاجمين رسميًا حتى الآن.

تستعرض UA.News كيف وقع الاختراق، ولماذا لم تمنع آليات الحماية هذه المعاملات، وكيف تم تجميد مليارات الدولارات، وما هي المخاطر التي يشكلها هذا الحادث على المستخدمين وسوق العملات المشفرة.

ماذا حدث لـ Binance وكيف تمكن القراصنة من سحب مليارات الدولارات

حدثت أولى المعاملات المشبوهة مساء يوم 29 أكتوبر في حوالي الساعة 20:05 بتوقيت غرينتش (UTC). ووفقًا لبيانات TRM Labs، قام المهاجمون خلال العشرين دقيقة التالية بنقل جزء كبير من الأموال من محافظ Binance الساخنة، التي تُستخدم للمعاملات اليومية للعملاء. واستمرت بعض التحويلات غير المصرح بها حتى بعد هذه المرحلة الرئيسية.

بشكل عام، تمكن الباحثون من تتبع أصول تبلغ قيمتها حوالي 6.36 مليار دولار عبر عشر شبكات: إيثريوم، بيتكوين، ترون، XRP Ledger، سولانا، أربتريم، أفالانش، أوبتيميسم، بيس، وبوليجون. وكانت أكبر المبالغ من نصيب إيثريوم — حوالي 3.79 مليار دولار. فقد سُرق من هذه الشبكة أكثر من 200 ألف ETH، بالإضافة إلى كميات كبيرة من USDT وUSDC وتوكنات أخرى. 

كما تم تحويل ما يقارب 1.47 مليار دولار إلى Bitcoin — 18,270 BTC. ومرت أموال بقيمة 628 مليون دولار تقريبًا عبر Tron، و296 مليون دولار عبر XRP Ledger، وما يقارب 96 مليون دولار عبر Solana.

وقد لفت حجم وسرعة التحويلات انتباه المحللين بشكل خاص. عمل المهاجمون في وقت واحد على سلاسل بلوكشين مختلفة، لكل منها قواعدها الخاصة في إجراء المعاملات. ويشير ذلك إلى وجود تحضير مسبق وإمكانية الوصول إلى البنية التحتية التي تخدم عدة شبكات في آن واحد.

في بيان صدر في 30 أكتوبر، قدرت Binance الأثر الإجمالي للحادث بنحو 6.3 مليار دولار. ووفقًا لهذا التقدير الأولي، تتجاوز هذه الهجمة الرقم القياسي السابق — وهو اختراق منصة Bybit في فبراير 2025، عندما سُرق حوالي 1.5 مليار دولار. ومع ذلك، فإن مبلغ 6.3 مليار دولار يمثل قيمة الأصول التي تأثرت بالهجوم، وليس الخسائر النهائية التي لا رجعة فيها: فقد تم تجميد جزء من الأموال بالفعل، كما أن أسعار العملات المشفرة تتغير باستمرار.

كيف تمكن جهاز كمبيوتر محمول مخترق من الوصول إلى محافظ «باينانس»

الرواية الرئيسية حول الاختراق مرتبطة بجهاز عمل أحد موظفي البورصة. أفادت Binance بأن المخترقين ربما تمكنوا من اختراق جهاز الكمبيوتر المحمول الخاص بأحد مهندسي DevOps، ثم الوصول إلى الحاوية الخدمية وإرسال طلبات سحب أموال غير مصرح بها من خلالها.

يتولى متخصصو DevOps صيانة البنية التحتية التكنولوجية ونشر البرامج وأتمتة العمليات الداخلية. في الشركات المالية الكبرى، يمكن للأدوات ذات الصلة التفاعل مع الخدمات التي تعالج المعاملات. لا يمنح اختراق الكمبيوتر المحمول في حد ذاته الحق في التصرف في العملات المشفرة، لكن الوصول إلى بيئة الخدمة الحيوية قادر على خلق مثل هذا الخطر.

ومن المهم أن البورصة لم تعثر على أدلة تشير إلى سرقة المفاتيح الخاصة للمحافظ. يسمح المفتاح الخاص بالتحقق تشفيرياً من صحة المعاملات المتعلقة بالأصول. في هذه الحالة، من المرجح أن المهاجمين استخدموا طريقة أخرى — حيث أجبروا البنية التحتية الأصلية لـ Binance على إنشاء وتوقيع التحويلات إلى العناوين التي يسيطرون عليها.

ويؤيد تحليل TRM Labs هذه الفرضية: فقد كانت المعاملات تحمل توقيعات رقمية صالحة من محافظ Binance المعنية. وبالنسبة لسلسلة الكتل، بدت هذه المعاملات صحيحة من الناحية التقنية، على الرغم من أنها أجريت في الواقع دون إذن من الشركة. وبالتالي، قد لا تكون الخوارزميات التشفيرية للشبكات هي نقطة الضعف، بل آليات الوصول إلى النظام الذي يدير توقيع المعاملات.

وفي الوقت نفسه، أوضح ريتشارد تينغ، المدير التنفيذي المشارك في Binance، أن الهجوم كان أكثر تعقيدًا بكثير من مجرد استغلال صلاحيات موظف واحد. 

«أود أن أؤكد: لم يكتفِ المهاجم باستغلال صلاحيات الوصول الخاصة بمهندس واحد، ولا يتعلق الأمر بعملية واحدة «بنقرة واحدة». كان الهجوم أكثر تعقيدًا وتألف من عدة مراحل. حتى الآن، لم تثبت تحقيقاتنا مسؤولية أي موظف بعينه"، كما قال ريتشارد تينغ.

وبالتالي، فإن اختراق جهاز العمل يظل أحد السيناريوهات المحتملة للاختراق، لكنه لا يفسر جميع مراحل الهجوم. تواصل «باينانس» تحديد الكيفية التي تمكن بها المهاجمون من الوصول إلى الخدمات الداخلية وإجراء التحويلات. وتعد الشركة بنشر تقرير تقني مفصل بعد انتهاء التحقيق.

لماذا لم يوقف نظام الأمان المعاملات

تخزن البورصات الأصول في محافظ باردة ومحافظ ساخنة. الأولى معزولة عن الاتصال الدائم بالإنترنت، والثانية تضمن إعادة التعبئة السريعة للحسابات وسحب العملات المشفرة. تعمل أتمتة المحافظ الساخنة على تسريع خدمة العملاء، ولكنها تجعل حماية الآليات الداخلية لتأكيد التحويلات أمرًا بالغ الأهمية.

حدث الجزء الأكثر تعقيدًا من الهجوم في شبكة إيثريوم. اكتشف باحثو TRM Labs أن المخترقين استغلوا إمكانيات EIP-7702 — وهي آلية تم إدخالها خلال تحديث Pectra في مايو 2025. وهي تتيح لعنوان إيثريوم عادي، بعد التوقيع على تفويض خاص، تنفيذ منطق العقد الذكي.

ووفقًا للمحللين، أعد المهاجمون مسبقًا 50 تفويضًا من هذا النوع لأحد محافظ Binance الرئيسية، مصممة لتناسب حالات مختلفة للعنوان. وبعد تفعيل التفويض المعني، بدأ المحفظة في تنفيذ شفرة برمجية يتحكم فيها المهاجم. وفي غضون ثلاث دقائق تقريبًا، تم سحب 167,464 ETH وعشرات الرموز الأخرى منها، بما في ذلك حوالي 1.615 مليار USDT.

ولم تقتصر المشكلة على معاملة واحدة. فقد ظل التفويض ساري المفعول، مما سمح بسحب الأموال التي وصلت إلى العنوان المخترق في وقت لاحق أيضًا. وقد سجل الباحثون عدة تحويلات من هذا النوع خلال الساعات التالية.

في الوقت نفسه، لا يفسر EIP-7702 اختراق جميع المحافظ. في شبكات Bitcoin وTron وSolana وغيرها، استخدم المهاجمون معاملات موقعة عادية. وهذا يعزز الافتراض بوجود وصول أوسع إلى الخدمات الداخلية لـ Binance، وليس مجرد ثغرة أمنية واحدة معزولة في Ethereum.

بدأت الاستعدادات مسبقًا: فقد تتبعت TRM Labs نشاط العناوين المرتبطة قبل الهجوم الرئيسي بـ 36 ساعة على الأقل. كان المهاجمون يقومون بكتابة الكود البرمجي، واختبار أدائه، وإعداد العناوين لاستلام الأموال. ولا يزال يتعين تحديد سبب عدم قيام نظام المراقبة بوقف التحويلات الكبيرة في وقت أبكر، وكذلك الصلاحيات التي كانت تتمتع بها الخدمات المخترقة.

كيف تم تجميد أصول بقيمة حوالي 3 مليارات دولار

فور اكتشاف الهجوم، بدأت «باينانس» في تنسيق الإجراءات مع مُصدري العملات المستقرة ومحللي البلوكشين وسلطات إنفاذ القانون. وهذا بالذات هو ما سمح بتقييد حركة جزء كبير من التوكنات المسروقة بسرعة.

على عكس البيتكوين، التي لا يوجد لها مُصدر مركزي، فإن بعض العملات المستقرة تمتلك آليات لحظر عناوين محددة. ويمكن لمُصدريها تجميد التوكنات المرتبطة بعمليات إجرامية، في حال وجود أسباب وجيهة لذلك.

قامت «تيثر» (Tether) بحظر ما يقارب 1.77 مليار USDT، بينما قامت «سيركل» (Circle) بحظر حوالي 825 مليون USDC. كما تم تقييد المعاملات مع العملات المستقرة الأخرى، ولا سيما RLUSD و USD1. وقام فريق Arbitrum، باستخدام صلاحيات طارئة، بنقل 8426 ETH و 74.6 مليون ARB، بقيمة إجمالية تبلغ حوالي 30 مليون دولار، إلى محفظة آمنة.

حتى الساعات الأولى من يوم 30 أكتوبر، أكد المحللون تجميد أصول بقيمة تبلغ حوالي 2.7 مليار دولار. وأعلنت «باينانس» نفسها عن حوالي 3 مليارات دولار. ويعزى الفرق إلى توقيت التقييم وإلى المعاملات التي أخذها الباحثون والبورصة في الاعتبار.

لا يعني تجميد الأصول استرداد الأموال تلقائيًا. قد تظل التوكنات في عنوان المهاجم، لكنه لن يتمكن بعد الآن من تحريكها بحرية. وقد يتطلب الاسترداد النهائي إجراءات تقنية وقانونية إضافية.

إلى أين نُقلت العملات المشفرة التي لم يتم حظرها في الوقت المناسب

حاول المخترقون استباق تجميد العملات المستقرة وتحويلها بسرعة إلى بيتكوين وإيثريوم وأصول أخرى لا تخضع لآلية تجميد مركزية. ولهذا الغرض، استخدموا بروتوكولات تداول وائتمان لامركزية.

تم تحويل ما يقارب 325 مليون USDT إلى 122,3 ألف ETH عبر UniswapX وأدوات أخرى. ووافق المهاجمون حتى على أسعار صرف غير مواتية، لأن السرعة كانت أهم من خسارة جزء من قيمة الأصول. كما قاموا، عبر منصة الائتمان Aave، بإيداع حوالي 60 مليون USDT كضمان واقترضوا ما يقارب 19,760 ETH.

في إحدى المراحل المبكرة من التحقيق، قدر المحللون قيمة أصول المهاجمين التي لا تخضع لسيطرة المُصدرين — والتي تزيد عن 420 ألف ETH و18,270 BTC — بنحو 2.4 مليار دولار. هذه الأرقام لا تمثل الحصيلة النهائية للممتلكات المسروقة: فقد تكون بعض العناوين قد شاركت في عمليات تبادل لاحقة، كما أن قيمة العملات تتغير تبعًا لحركة السوق.

ما الذي يربط بين اختراقات Binance وBitget

في 30 أكتوبر، أعلن الباحث في مجال التحليلات على السلسلة ZachXBT عن وجود صلة بين التدفقات النقدية لعمليتي الهجوم على منصتي العملات المشفرة. ووفقًا للبيانات المنشورة، فإن الأموال المسروقة من «باينانس» والأصول من الاختراق السابق لـ «بيتجيت» وصلت، بعد تحويلها عبر بروتوكول «ثور تشين» (THORChain)، إلى عنوان عملة مشفرة واحد.

يتيح THORChain تبادل الأصول بين سلاسل الكتل المختلفة دون الحاجة إلى بورصة مركزية تقليدية. وهو أداة تقنية مشروعة، لكن يمكن للمجرمين استخدامها أيضًا لنقل العملات المشفرة بسرعة بين الشبكات. وعندما تتجمع الأموال الناتجة عن حوادث مختلفة في عنوان واحد، يتوفر للباحثين سبب للتحقق مما إذا كان منفّذو هذه العمليات أو الوسطاء بينهم مرتبطين ببعضهم البعض.

ووفقًا لـ ZachXBT، كان العنوان 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7 هو نقطة التحويل المشتركة. وكان قد تم تقدير خسائر اختراق منصة Bitget، التي ربطها الباحث بهذه المخطط، في وقت سابق بنحو 388 مليون دولار. علاوة على ذلك، فقد ظهر هذا العنوان سابقًا في التحقيقات المتعلقة بأنشطة مجموعة TraderTraitor المرتبطة بكوريا الشمالية.

لماذا يُشتبه في تورط مجموعة «TraderTraitor» الكورية الشمالية؟

يدعم عدة باحثين في آن واحد فرضية وجود بصمة كورية شمالية. وأعلنت TRM Labs عن درجة عالية من الثقة في تورط مجموعة TraderTraitor. ومن بين الحجج التي تدعم ذلك: الإعداد المسبق للبنية التحتية، وطريقة الحصول على التفويضات، وطبيعة حركة الأموال، واستخدام الخدمات التي تعيق تتبع العملات المشفرة.

وعلى وجه الخصوص، كانت العناوين المرتبطة بالمهاجمين تتلقى تحويلات صغيرة عبر «تورنادو كاش» (Tornado Cash) حتى قبل وقوع الاختراق الرئيسي. ويمكن لهذه الخدمة إخفاء الصلة المباشرة بين عناوين المرسل والمستلم. ولا يُثبت مجرد استخدامها مشاركة مجموعة معينة، ولكن يتم أخذها في الاعتبار جنبًا إلى جنب مع الدلائل التقنية الأخرى.

وقد نشرت شركة Chainalysis هذه الاستنتاجات. وربطت إدارتها المنظمين المحتملين بعمليات اختراق سابقة، مع التحذير في الوقت نفسه من إلقاء اللوم بشكل نهائي قبل انتهاء التحقيق. وفي تعليق لوكالة رويترز، أشار ممثل شركة Chainalysis إلى أن الشركة تواصل تحليل ملابسات الحادث. ووفقًا لتقدير أولي، تمكن خبراؤها من تتبع تحركات ما لا يقل عن 5,912 مليار دولار.

وقد ظهرت «TraderTraitor» من قبل في واحدة من أكبر عمليات سرقة العملات المشفرة في السنوات الماضية. في فبراير 2025، سُرقت حوالي 1.5 مليار دولار من منصة Bybit. وربط مكتب التحقيقات الفيدرالي الأمريكي (FBI) هذا الهجوم رسميًا بكوريا الشمالية ووصف التحويل السريع للأصول بين العملات المشفرة وعناوين عديدة.

ومن الحالات البارزة الأخرى اختراق منصة DMM Bitcoin اليابانية في عام 2024، حيث سُرق أكثر من 300 مليون دولار. ووفقًا لنتائج التحقيق، استخدم المهاجمون أساليب الهندسة الاجتماعية: فقد انتحلوا صفة مسؤولي التوظيف، وتمكنوا من الوصول إلى بيئة عمل أحد موظفي شركة شريكة من خلال مهمة اختبارية خبيثة. 

تُظهر هذه القصة أن هدف الهجوم قد لا يكون البلوكشين، بل الشخص الذي لديه وصول إلى البنية التحتية المالية. ومع ذلك، لا توجد حتى الآن أدلة على وجود مخطط مماثل باستخدام وظيفة شاغرة مزيفة في حالة «باينانس».

تستقطب الجماعات الكورية الشمالية انتباه أجهزة إنفاذ القانون ليس فقط بسبب حجم السرقات الفردية. فالولايات المتحدة ودول أخرى تربط أنشطتها بمحاولات الحصول على موارد مالية متجاوزة العقوبات الدولية. تُعد منصات العملات المشفرة هدفًا جذابًا بسبب تركيز الأصول الضخمة فيها وإمكانية تحويلها بسرعة بين الولايات القضائية.

هل سيخسر عملاء «باينانس» أموالهم؟

في 30 أكتوبر، أعلنت Binance عن إجراءات جديدة لتعويض خسائر المستخدمين. وقد خصصت البورصة بالفعل أكثر من 6.34 مليار دولار من أموالها الخاصة لتغطية العجز المحتمل في الأصول بالكامل.

ومن هذا المبلغ، يوجد 5 مليارات دولار بالفعل في العملات المشفرة والتوكنات نفسها التي تأثرت بالحادث. أما الأصول المتبقية اللازمة، فتقوم الشركة بشرائها من السوق المفتوحة وعبر الصفقات خارج البورصة (OTC).

ووفقًا لتوضيح «بينانس»، قد يستغرق هذا الأمر بعض الوقت بسبب السيولة المحدودة لبعض التوكنات ومدة التسويات في المعاملات الكبيرة خارج البورصة. وفي الوقت نفسه، بدأت الشركة بالفعل في إعادة الأصول إلى المستخدمين المتضررين من الهجوم.

«بدأت Binance بالفعل في إعادة الأصول للمستخدمين المتضررين من الحادث، وتواصل التعاون مع سلطات إنفاذ القانون، والجهات المصدرة، وشركات تحليلات البلوكشين، وغيرهم من المشاركين في القطاع لتتبع وتجميد وإعادة أموال إضافية"، حسبما ورد في البيان الرسمي.

ومن المهم الإشارة إلى أن مبلغ 6.34 مليار دولار المخصص لا يشمل ما يقارب 3 مليارات دولار من الأصول التي تم تجميدها بالفعل. وتخضع هذه الأموال حالياً لعملية إعادة وتحقق إضافي. 

وأكدت الشركة أنها ستستخدم مواردها الخاصة لتغطية أي عجز مؤكد. وبعد الانتهاء من عملية الحفاظ على أموال العملاء، من المقرر تأكيد ذلك علنًا من خلال تقرير «إثبات الاحتياطيات» (Proof of Reserves) المحدث.

كيف أثرت الهجمة على البيتكوين وسوق العملات المشفرة

انعكست أخبار اختراق «باينانس» بسرعة على أسعار الأصول الرقمية. في 30 أكتوبر، خسر البيتكوين أكثر من 3% وانخفض إلى حوالي 76,4 ألف دولار — وهو أدنى مستوى له في ستة أسابيع. كما انخفض سعر الإيثيريوم بأكثر من 3٪، ليصل إلى حوالي 2,18 ألف دولار. وامتدت ردود الفعل السلبية لتشمل أسهم شركات قطاع العملات المشفرة، ولا سيما Coinbase وStrategy.

لم يقتصر قلق الخبراء على قيمة الأموال المسروقة فحسب، بل امتد أيضًا إلى احتمال حدوث عجز في السيولة. تلعب «باينانس» دورًا مهمًا في التداول العالمي للعملات المشفرة. وإذا لم يتمكن العملاء وصانعو السوق من سحب أموالهم بسرعة، فسيصعب عليهم تحويل رأس المال بين المنصات والحفاظ على استقرار أسعار الشراء والبيع.

وأفاد أرافيند سرينيفاسان، ممثل صانع السوق GSR، أنه خلال ذروة التوتر، كان الفارق بين أسعار شراء وبيع البيتكوين في السوق الفورية على منصة Binance أعلى بنحو خمسة أضعاف من المعتاد، وبالنسبة للإيثريوم — حوالي 2.5 مرة.

كما تسبب القيود المفروضة على التحويلات مشاكل للمتداولين الذين يستخدمون الرافعة المالية. فعندما تكون الأموال مجمدة في منصة ما، يتعذر تحويلها في الوقت المناسب إلى منصة أخرى لتغطية المراكز. وقد يؤدي ذلك إلى عمليات تصفية قسرية وتقلبات إضافية في السوق.

ويشير المحللون إلى أن رد الفعل اللاحق يعتمد على سرعة استئناف عمل «باينانس»، وحجم الأصول المستردة، ومدى إقناع ضمانات الأمان. ولهذا السبب، فإن تداعيات الحادث تتجاوز بكثير الخسائر المالية المباشرة التي تكبدتها البورصة.

ما الذي يجب أن يتغير في حماية منصات تداول العملات المشفرة بعد الهجوم على «بينانس» 

أوقفت «بينانس» مؤقتًا عمليات سحب الأموال لإجراء فحص شامل للخدمات ذات الصلة وعناوين العملات المشفرة، كما سحبت تفويض العنوان المرتبط بالحادث.

وقد تم إشراك أجهزة إنفاذ القانون والشركات المتخصصة في تحليل معاملات البلوكشين في التحقيق. فهي تساعد في تتبع المسار اللاحق للأصول المسروقة، وتحديد العناوين المرتبطة بها، وضمان استرداد الأموال.

«تعمل فرقنا على مدار الساعة لضمان معالجة عواقب الحادث بشكل آمن وشامل. ونحن نتعاون بشكل وثيق مع أجهزة إنفاذ القانون لتحديد هوية الجناة ومحاسبتهم»، كما ذكرت «باينانس».

بالنسبة لـ Binance نفسها، تظل المهام الرئيسية هي استئناف العمليات بالكامل، والوفاء بالالتزامات تجاه المستخدمين، ونشر تقرير فني. ومن المفترض أن يشرح التقرير كيف تمكن طرف خارجي من الوصول إلى أنظمة تأكيد التحويلات، ولماذا لم تعمل آليات الرقابة بالسرعة الكافية.

وفي الوقت نفسه، يواصل الباحثون تتبع العملة المشفرة. وقد تساعد الصلة التي اكتشفها ZachXBT بين الأموال المستمدة من اختراقات Binance وBitget في استعادة الصورة الأوسع لتحركات الأصول والتحقق من الرواية المتعلقة بـ TraderTraitor. وفي الوقت الحالي، فإن الاستنتاج الرئيسي من هذا الحادث هو أنه لا يكفي أن تحمي منصات تداول العملات المشفرة مفاتيحها فحسب: بل من الضروري أيضًا مراقبة الأشخاص والأجهزة والبرامج التي لديها صلاحية التصرف في مليارات الدولارات بنفس القدر من الدقة.