كشف مكتب التحقيقات الفيدرالي الأمريكي (FBI) مسؤولية قراصنة مرتبطين بكوريا الشمالية عن الهجوم الإلكتروني الذي استهدف منصة Binance، أكبر بورصة للعملات المشفرة في العالم، وأسفر عن سرقة أصول رقمية تتجاوز قيمتها 6.3 مليارات دولار، في عملية تُعد الكُبرى في تاريخ القطاع.
وأعلن المكتب، في بيان صدر الأحد 1 نوفمبر 2026، أن جهات تابعة لكوريا الشمالية نفذت الهجوم في 29 أكتوبر، وأُطلق على نشاطها السيبراني اسم “TraderTraitor”، مؤكدًا رصد تحركات الأموال المسروقة وعمليات تحويلها إلى عملة إيثريوم (ETH)، تمهيدًا لغسلها عبر خدمات التمويل اللامركزي ومبادلة العملات الرقمية.
ويأتي الاتهام الأمريكي بعد أن ربطت شركتا استخبارات البلوك تشين TRM Labs وChainalysis الهجوم بمجموعة القرصنة الكورية الشمالية نفسها، فيما أشارت شركة الأمن السيبراني Check Point إلى ارتباطها بمجموعة Lazarus المعروفة بتنفيذ عمليات سرقة كبرى للعملات المشفرة.
اختراق يتجاوز أساليب سرقة العملات التقليدية
بدأ الهجوم، وفقًا للتحقيقات الأولية التي أعلنتها Binance، باختراق حاسوب محمول تابع لأحد مهندسي التطوير والعمليات في الشركة، مما أتاح للمهاجمين الوصول إلى حاوية خدمات داخلية واستخدامها لإرسال معاملات سحب غير مصرح بها من محافظ العملاء.
وأوضح ريتشارد تينغ، الرئيس التنفيذي المشارك للمنصة، أن الهجوم لم يعتمد على استغلال صلاحيات موظف واحد أو تنفيذ إجراء سريع بضغطة واحدة، بل تضمن عملية اختراق أكثر تعقيدًا.
وأكدت الشركة عدم عثورها حتى الآن على أدلة تشير إلى تسريب المفاتيح الخاصة للمحافظ الرقمية، لكنها كشفت لاحقًا عن نقاط اختراق إضافية تتجاوز الحاسوب الذي رُصد في بداية التحقيقات.
واستهدف المهاجمون محافظ رقمية عبر شبكات بلوك تشين متعددة، شملت إيثريوم وسولانا وترون وBase التابعة لشركة Coinbase، مستغلين صلاحيات الوصول إلى الأنظمة الداخلية لتنفيذ عمليات التحويل.
وبحسب تحليلات شركة Elliptic، فقد بدأت عملية السرقة عند الساعة 8:05 مساءً بتوقيت غرينتش يوم الخميس 29 أكتوبر، واستمرت نحو 30 دقيقة، قبل تسجيل موجة ثانية من عمليات السحب بعد الساعة 11 مساءً.
ويكشف هذا الأسلوب تحولًا في إستراتيجيات الهجمات السيبرانية على منصات العملات المشفرة؛ إذ لم يعد المهاجمون بحاجة إلى سرقة المفاتيح الخاصة للمحافظ، بل بات اختراق الأنظمة والأشخاص الذين يمتلكون صلاحيات استخدامها كافيًا لتنفيذ عمليات تحويل ضخمة.
وأوضح ريتشارد تينغ، الرئيس التنفيذي المشارك للمنصة، أن الهجوم لم يعتمد على استغلال صلاحيات موظف واحد أو تنفيذ إجراء سريع بضغطة واحدة، بل تضمن عملية اختراق أكثر تعقيدًا.
وأكدت الشركة عدم عثورها حتى الآن على أدلة تشير إلى تسريب المفاتيح الخاصة للمحافظ الرقمية، لكنها كشفت لاحقًا عن نقاط اختراق إضافية تتجاوز الحاسوب الذي رُصد في بداية التحقيقات.
واستهدف المهاجمون محافظ رقمية عبر شبكات بلوك تشين متعددة، شملت إيثريوم وسولانا وترون وBase التابعة لشركة Coinbase، مستغلين صلاحيات الوصول إلى الأنظمة الداخلية لتنفيذ عمليات التحويل.
وبحسب تحليلات شركة Elliptic، فقد بدأت عملية السرقة عند الساعة 8:05 مساءً بتوقيت غرينتش يوم الخميس 29 أكتوبر، واستمرت نحو 30 دقيقة، قبل تسجيل موجة ثانية من عمليات السحب بعد الساعة 11 مساءً.
ويكشف هذا الأسلوب تحولًا في إستراتيجيات الهجمات السيبرانية على منصات العملات المشفرة؛ إذ لم يعد المهاجمون بحاجة إلى سرقة المفاتيح الخاصة للمحافظ، بل بات اختراق الأنظمة والأشخاص الذين يمتلكون صلاحيات استخدامها كافيًا لتنفيذ عمليات تحويل ضخمة.
كوريا الشمالية في دائرة الاتهام
عزز إعلان FBI الاتهامات الموجهة إلى كوريا الشمالية بشأن تنفيذ الهجوم، بعدما أكدت TRM Labs و Chainalysis وجود مؤشرات قوية تربط مجموعة TraderTraitor بالعملية.
وترتبط هذه المجموعة بسلسلة من الهجمات السيبرانية التي استهدفت شركات ومنصات العملات المشفرة، وتُعرف أيضًا باسم Lazarus Group، وفقًا لشركة Check Point.
وقال جايانت ديف، رئيس أمن المعلومات في Check Point، إن خسائر Binance تجعل الهجوم أكبر عملية سرقة للعملات المشفرة مسجلة حتى الآن.
ومن جانبه، وصف آري ريدبورد، رئيس السياسات العالمية في TRM Labs، الاختراق بأنه محطة مفصلية في تاريخ قطاع العملات المشفرة، مشيرًا إلى أن المهاجمين لا يزالون يحتفظون بمبالغ ضخمة من الأصول المسروقة، مما يعني أن جهود تتبعها واستعادتها لم تنتهِ بعد.
وتشير تقديرات Chainalysis إلى أن قراصنة مرتبطين بكوريا الشمالية سرقوا نحو ملياري دولار من العملات المشفرة خلال العام الماضي، وهو ما تجاوز نصف إجمالي السرقات المسجلة عالميًا.
وسبق أن اتهمت أجهزة أمنية غربية النظام الكوري الشمالي باستخدام عائدات هذه العمليات لتمويل برامج تطوير الأسلحة النووية والصواريخ، في حين تنفي بيونج يانج مسؤوليتها عن هجمات القرصنة السابقة.
وترتبط هذه المجموعة بسلسلة من الهجمات السيبرانية التي استهدفت شركات ومنصات العملات المشفرة، وتُعرف أيضًا باسم Lazarus Group، وفقًا لشركة Check Point.
وقال جايانت ديف، رئيس أمن المعلومات في Check Point، إن خسائر Binance تجعل الهجوم أكبر عملية سرقة للعملات المشفرة مسجلة حتى الآن.
ومن جانبه، وصف آري ريدبورد، رئيس السياسات العالمية في TRM Labs، الاختراق بأنه محطة مفصلية في تاريخ قطاع العملات المشفرة، مشيرًا إلى أن المهاجمين لا يزالون يحتفظون بمبالغ ضخمة من الأصول المسروقة، مما يعني أن جهود تتبعها واستعادتها لم تنتهِ بعد.
وتشير تقديرات Chainalysis إلى أن قراصنة مرتبطين بكوريا الشمالية سرقوا نحو ملياري دولار من العملات المشفرة خلال العام الماضي، وهو ما تجاوز نصف إجمالي السرقات المسجلة عالميًا.
وسبق أن اتهمت أجهزة أمنية غربية النظام الكوري الشمالي باستخدام عائدات هذه العمليات لتمويل برامج تطوير الأسلحة النووية والصواريخ، في حين تنفي بيونج يانج مسؤوليتها عن هجمات القرصنة السابقة.
6.3 مليارات دولار موزعة على نحو 200 عملة رقمية
بلغت قيمة الأصول المتأثرة بالاختراق نحو 6.3 مليارات دولار، موزعة على ما يقرب من 200 عملة مشفرة.
واستحوذت أربع عملات على نحو 74% من إجمالي الأموال المسروقة، وهي بيتكوين، والعملتان المستقرتان USDC التابعة لشركة Circle وUSDT التابعة لشركة Tether على شبكة ترون، بالإضافة إلى USDT على شبكة إيثريوم.
وتمكنت شركات إصدار العملات المستقرة من تجميد مليارات الدولارات من الأصول المرتبطة بالهجوم. وأشارت تقارير أولية إلى تجميد نحو 2.4 مليار دولار، قبل أن تؤكد تحليلات Elliptic تجميد نحو 2.8 مليار دولار من عملتي USDC و USDT.
وفي المقابل، نجح المهاجمون في تحويل نحو 3.3 مليارات دولار إلى أصول رقمية يصعب تجميدها، أبرزها إيثريوم، وبدأوا نقلها عبر محافظ مختلفة لتجهيزها لمراحل غسل الأموال.
وأوضح مكتب التحقيقات الفيدرالي FBI أنه رصد تحويل الأصول المسروقة بصورة أساسية إلى إيثريوم، متوقعًا استخدام بروتوكولات التمويل اللامركزي (DeFi) وخدمات مبادلة العملات الفورية لإخفاء مسارات الأموال.
واستحوذت أربع عملات على نحو 74% من إجمالي الأموال المسروقة، وهي بيتكوين، والعملتان المستقرتان USDC التابعة لشركة Circle وUSDT التابعة لشركة Tether على شبكة ترون، بالإضافة إلى USDT على شبكة إيثريوم.
وتمكنت شركات إصدار العملات المستقرة من تجميد مليارات الدولارات من الأصول المرتبطة بالهجوم. وأشارت تقارير أولية إلى تجميد نحو 2.4 مليار دولار، قبل أن تؤكد تحليلات Elliptic تجميد نحو 2.8 مليار دولار من عملتي USDC و USDT.
وفي المقابل، نجح المهاجمون في تحويل نحو 3.3 مليارات دولار إلى أصول رقمية يصعب تجميدها، أبرزها إيثريوم، وبدأوا نقلها عبر محافظ مختلفة لتجهيزها لمراحل غسل الأموال.
وأوضح مكتب التحقيقات الفيدرالي FBI أنه رصد تحويل الأصول المسروقة بصورة أساسية إلى إيثريوم، متوقعًا استخدام بروتوكولات التمويل اللامركزي (DeFi) وخدمات مبادلة العملات الفورية لإخفاء مسارات الأموال.
هل يمكن استعادة الأموال المسروقة؟
تتيح تقنيات تجميد العملات المستقرة لشركتي Circle وTether منع نقل بعض الأصول المسروقة، كما يمكنهما إتلاف العملات المجمدة وإصدار وحدات جديدة لصالح أصحابها الأصليين.
وتتطلب استعادة هذه الأموال عادةً تعاون الشركات مع جهات إنفاذ القانون أو الحصول على أوامر قضائية، وهي إجراءات قد تستغرق أسابيع أو أشهرًا.
وتزداد صعوبة استعادة الأصول التي حوّلها المهاجمون إلى عملات لا تتيح جهات إصدارها تجميدها، خاصةً مع استخدام خدمات التمويل اللامركزي ومبادلات العملات لإخفاء مسارات التحويل.
وتتطلب استعادة هذه الأموال عادةً تعاون الشركات مع جهات إنفاذ القانون أو الحصول على أوامر قضائية، وهي إجراءات قد تستغرق أسابيع أو أشهرًا.
وتزداد صعوبة استعادة الأصول التي حوّلها المهاجمون إلى عملات لا تتيح جهات إصدارها تجميدها، خاصةً مع استخدام خدمات التمويل اللامركزي ومبادلات العملات لإخفاء مسارات التحويل.
Binance تتعهد بتعويض المتضررين
تعهدت Binance بتعويض كافة المستخدمين الذين تكبدوا خسائر نتيجة الاختراق، بالاعتماد على صندوق الاحتياطي الطارئ التابع لها، بالإضافة إلى أموال الشركة.
وأعلنت المنصة تخصيص أكثر من 6.34 مليارات دولار لتغطية تداعيات الهجوم، منها 5 مليارات دولار من الأصول الرقمية نفسها التي تأثرت بالاختراق.
وأكدت Binance شراء العملات المشفرة من الأسواق لتعويض النقص، مشيرةً إلى أن العملية قد تستغرق وقتًا أطول بالنسبة للعملات المنخفضة التداول.
وفي أعقاب الاختراق، أوقفت المنصة عمليات السحب مؤقتًا لحين التأكد من سلامة أنظمتها، قبل أن تعيد فتحها يوم الأحد 1 نوفمبر، بعد تنفيذ إجراءات التحقق الأمني.
وأكدت الشركة تعاونها مع جهات إنفاذ القانون لتحديد هوية المهاجمين وملاحقتهم قضائيًا.
وأعلنت المنصة تخصيص أكثر من 6.34 مليارات دولار لتغطية تداعيات الهجوم، منها 5 مليارات دولار من الأصول الرقمية نفسها التي تأثرت بالاختراق.
وأكدت Binance شراء العملات المشفرة من الأسواق لتعويض النقص، مشيرةً إلى أن العملية قد تستغرق وقتًا أطول بالنسبة للعملات المنخفضة التداول.
وفي أعقاب الاختراق، أوقفت المنصة عمليات السحب مؤقتًا لحين التأكد من سلامة أنظمتها، قبل أن تعيد فتحها يوم الأحد 1 نوفمبر، بعد تنفيذ إجراءات التحقق الأمني.
وأكدت الشركة تعاونها مع جهات إنفاذ القانون لتحديد هوية المهاجمين وملاحقتهم قضائيًا.
300 مليون مستخدم أمام تداعيات الاختراق
تقول Binance إن عدد مستخدميها المسجلين يتجاوز 300 مليون مستخدم حول العالم، وكانت قد أعلنت في عام 2024 أن قيمة الأصول التي تحتفظ بها نيابةً عن عملائها تتجاوز 160 مليار دولار.
وتكمن خطورة الهجوم في استهداف المحافظ الساخنة، وهي محافظ متصلة بالإنترنت وتجمع أصول عدد كبير من المستخدمين لتسهيل عمليات التداول والسحب، مما يوسع نطاق المستخدمين المحتمل تأثرهم.
ولا تقتصر المخاطر على المتداولين الأفراد؛ إذ تعتمد مؤسسات مالية وشركات استثمارية على Binance لتنفيذ صفقاتها بفضل السيولة الكبيرة التي توفرها.
وفي المقابل، أعلنت منصة Binance.US، المخصصة لتقديم خدمات التداول للمقيمين في الولايات المتحدة، أن أنظمتها لم تتأثر بالحادث. كما أكدت Coinbase عدم تأثر منصتها بالاختراق، مع استمرارها في مراقبة التطورات.
وامتدت المخاوف إلى سوق العملات المشفرة؛ إذ تراجعت بيتكوين بأكثر من 4% عقب ظهور التحذيرات الأولية بشأن الاختراق، فيما سجلت عملتي إيثريوم وسولانا انخفاضات حادة.
وتكمن خطورة الهجوم في استهداف المحافظ الساخنة، وهي محافظ متصلة بالإنترنت وتجمع أصول عدد كبير من المستخدمين لتسهيل عمليات التداول والسحب، مما يوسع نطاق المستخدمين المحتمل تأثرهم.
ولا تقتصر المخاطر على المتداولين الأفراد؛ إذ تعتمد مؤسسات مالية وشركات استثمارية على Binance لتنفيذ صفقاتها بفضل السيولة الكبيرة التي توفرها.
وفي المقابل، أعلنت منصة Binance.US، المخصصة لتقديم خدمات التداول للمقيمين في الولايات المتحدة، أن أنظمتها لم تتأثر بالحادث. كما أكدت Coinbase عدم تأثر منصتها بالاختراق، مع استمرارها في مراقبة التطورات.
وامتدت المخاوف إلى سوق العملات المشفرة؛ إذ تراجعت بيتكوين بأكثر من 4% عقب ظهور التحذيرات الأولية بشأن الاختراق، فيما سجلت عملتي إيثريوم وسولانا انخفاضات حادة.
تداعيات تنظيمية وأمنية واسعة
تخضع Binance للتنظيم في إمارة أبوظبي، وقد أعلنت هيئة تنظيم الخدمات المالية في الإمارة أنها تتابع الحادثة عن كثب وتتواصل مع الشركة، مؤكدةً أن حماية مصالح العملاء والحفاظ على نزاهة الأسواق واستقرارها تأتي ضمن أولوياتها.
ويعيد الاختراق تسليط الضوء على المخاطر الأمنية المرتبطة بمنصات تداول العملات المشفرة المركزية، خاصةً أن اختراق جهاز موظف يمتلك صلاحيات داخلية قد يتيح للمهاجمين تجاوز طبقات الحماية التقليدية والوصول إلى أنظمة تنفيذ المعاملات.
ويضع الحادث آليات اعتماد عمليات السحب، وتحديد العناوين المسموح بتحويل الأموال إليها، وتطبيق إجراءات تحقق متعددة أمام اختبار كبير.
وبينما تواصل السلطات الأمريكية تتبع الأموال المسروقة، تواجه Binance تحديًا مزدوجًا يتمثل في تعويض المستخدمين المتضررين واستعادة الثقة في منظومتها الأمنية، في وقت يراقب فيه قطاع العملات المشفرة تداعيات أكبر عملية اختراق يشهدها تاريخه.
ويعيد الاختراق تسليط الضوء على المخاطر الأمنية المرتبطة بمنصات تداول العملات المشفرة المركزية، خاصةً أن اختراق جهاز موظف يمتلك صلاحيات داخلية قد يتيح للمهاجمين تجاوز طبقات الحماية التقليدية والوصول إلى أنظمة تنفيذ المعاملات.
ويضع الحادث آليات اعتماد عمليات السحب، وتحديد العناوين المسموح بتحويل الأموال إليها، وتطبيق إجراءات تحقق متعددة أمام اختبار كبير.
وبينما تواصل السلطات الأمريكية تتبع الأموال المسروقة، تواجه Binance تحديًا مزدوجًا يتمثل في تعويض المستخدمين المتضررين واستعادة الثقة في منظومتها الأمنية، في وقت يراقب فيه قطاع العملات المشفرة تداعيات أكبر عملية اختراق يشهدها تاريخه.