اختراق 'بينانس'.. هذا ما نعرفه عن أكبر وأسرع سرقة في التاريخ

دخل يوم 29 أكتوبر/ تشرين الأول 2026 سجلات التاريخ من أوسع أبواب الجريمة الرقمية، باعتباره اليوم الذي شهد أكبر عملية سرقة للعملات المشفرة على الإطلاق، بعد اختراق منصة «بينانس»، أكبر بورصة للعملات الرقمية في العالم.
عملية أشبه بأفلام السطو الكبرى، تقف وراءها عقول إلكترونية تمتلك معرفة دقيقة بأسرار المحافظ الرقمية وآليات التحويل والتوقيع الإلكتروني.
وتشير تفاصيل العملية إلى فريق شديد التنظيم، يبدو أن أفراده عملوا وفق أدوار محددة وتوقيتات محسوبة، ونجحوا في تنفيذ عملية معقدة وفق خطة أُعدت مسبقًا.
وكما تفعل عصابات السطو في الأفلام، حين تدرس أنظمة الحماية وتبحث عن أضعف نقطة للوصول إلى الخزانة المستهدفة، يبدو أن مخترقي «بينانس» اتبعوا السيناريو نفسه؛ إذ أشارت التحقيقات الأولية للشركة إلى أن الهجوم ربما بدأ بالتسلل إلى جهاز كمبيوتر محمول يخص أحد مهندسيها، ما أتاح للمهاجمين الوصول إلى أحد أنظمة الشركة والاستفادة من صلاحيات دخول شرعية لتنفيذ عمليات سحب غير مصرح بها!
والأكثر إثارة أن العملية لم تتوقف عند اختراق النظام وسحب الأموال، وإنما امتدت إلى مناورات مالية معقدة عبر عدة منصات ومسارات بلوكتشين، في محاولة لتحويل العملات المسروقة إلى أصول يصعب تجميدها أو تعقبها، وهو ما مكّن المخترقين من الاحتفاظ بجزء كبير من حصيلة السرقة.
على مدار أكثر من 36 ساعة، جرى إعداد الخطة واختبار أدواتها وتجهيز المحافظ التي ستستقبل الأموال، قبل أن تبدأ ساعة الصفر مساء الخميس.
وفي غضون 20 دقيقة تقريبًا، كانت مليارات الدولارات تغادر محافظ أكبر منصة للعملات المشفرة في العالم، وتعبر عشر شبكات بلوكتشين إلى عناوين يسيطر عليها المخترقون.
ومع كل تحويل جديد، كانت المطاردة تزداد سخونة: شركات تسابق الزمن لتجميد الأرصدة، والمخترقون يسارعون إلى نقل الأموال ومبادلة العملات التي يمكن تجميدها بأصول يصعب الوصول إليها.
حصيلة المشهد صادمة: 6.36 مليار دولار جرى الاستيلاء عليها، ونحو 2.7 مليار دولار نجحت جهات مختلفة في تجميدها، فيما لا تزال أصول بقيمة تقارب 2.4 مليار دولار تحت سيطرة المهاجمين، إلى جانب مبالغ أخرى لم يتضح مصيرها النهائي.
كيف جرى تدبير هذه العملية؟ وما الثغرة التي فتحت أبواب «بينانس» أمام المخترقين؟ وكيف تحولت دقائق قليلة إلى واحدة من أكبر قضايا السرقة المالية في التاريخ؟
البداية.. عملية مدبرة بعناية
في صباح الجمعة، أعلنت بينانس، أكبر بورصة للعملات المشفرة في العالم إن اختراقا أمنيا تسبب في خسائر تقدر بنحو 6.3 مليار دولار، وهو ما وصفه محللون بأنه قد يكون أكبر عملية سرقة للعملات المشفرة على الإطلاق.
وذكرت بينانس أنها تعاونت مع شركائها لتجميد الأصول المتضررة بتحديد موقع حوالي 3 مليارات دولار، ولم تقدم تحديثات بشأن وضع المبلغ المتبقي البالغ 3.3 مليار دولار. وقالت "يي هي" إحدى المؤسسين المشاركين بالمنصة إن الشركة ستتحمل "جميع خسائر الاختراق".
ووفقًا لتحليل شركة تي ار ام المتخصصة في استخبارات البلوكتشين، بدأ المهاجم في تجهيز محفظة تشغيل خاصة به، بعدما استقبلت ثلاث تحويلات صغيرة من خدمة تُعرف باسم «تورنادو كاش»
وتُستخدم هذه الخدمة لإخفاء العلاقة بين المحافظ التي ترسل العملات المشفرة والمحافظ التي تستقبلها، بما يجعل تتبع مصدر الأموال أكثر صعوبة.
لم يتوقف الأمر عند ذلك، إذ بدأ المهاجم في نشر وتجربة أكواد برمجية خاصة بالهجوم على عدد من المحافظ، قبل أن يختبر النسخة النهائية، ثم ينقلها إلى إحدى المحافظ الساخنة التابعة لـ«بينانس».
من يقف وراء السرقة؟
هنا تظهر مجموعة «تريدر تريتور» وهي مجموعة قرصنة تنسبها شركة تي ار ام إلى كوريا الشمالية.
وبحسب الشركة، فإن هناك مؤشرات استخباراتية قوية، من داخل البلوكتشين وخارجه، تربط المجموعة بالهجوم.
والمثير أن مكتب التحقيقات الفيدرالي الأمريكي سبق أن نسب إلى المجموعة نفسها مسؤولية اختراق منصة «بايبت» في فبراير/ شباط 2025، والذي بلغت خسائره نحو 1.5 مليار دولار.
وتتشابه طريقة تنفيذ الهجوم الجديد مع عمليات سابقة مرتبطة بالمجموعة، خصوصًا من حيث الإعداد المسبق، واختبار الأدوات، والحصول على توقيعات رقمية قبل تنفيذ العمليات دفعة واحدة.
لكن يظل هذا تقييمًا صادرًا عن شركة تي ار ام ، وليس إعلانًا نهائيًا عن هوية الجناة من جانب جهات التحقيق.
كيف سُرقت المليارات في دقائق؟
لفهم ما حدث، علينا أولًا أن نعرف أن منصات تداول العملات المشفرة، مثل «بينانس»، تستخدم ما يُعرف بالمحافظ الساخنة وهي محافظ متصلة بالإنترنت، تستخدمها المنصة في معالجة عمليات السحب وتحويل الأموال.
وهنا تكمن أهمية ما حدث؛ إذ تشير نتائج تحليل TRM إلى أن المهاجم تمكن من استغلال آلية تقنية في شبكة Ethereum تُعرف باسم EIP-7702.
ببساطة، تسمح هذه الآلية للمحفظة العادية بتفويض بعض صلاحيات التحكم في سلوكها إلى عقد ذكي، من خلال توقيع رقمي.
ووفقًا للتحليل، أعد المهاجم مسبقًا 50 تفويضًا موقعًا، بحيث يكون أحدها صالحًا عند تنفيذ العملية، حتى مع استمرار تغير عداد معاملات المحفظة.
وبعد نجاح أحد هذه التفويضات، تمكن من جعل المحفظة الساخنة التابعة لـ«بينانس» تنفذ أوامر صادرة عن عقد ذكي يسيطر عليه.
وبعد ثلاث دقائق و24 ثانية فقط، أصدر أمرًا بتحويل كامل رصيد المحفظة إلى عنوان يملكه، فنقل نحو 167,464 وحدة من عملة إيثيريوم، إلى جانب 63 رمزًا رقميًا آخر، من بينها 1.615 مليار USDT (عملة تيثر المستقرة).
والأخطر أن الأمر لم يتوقف عند هذه المعاملة؛ فكلما وصلت أموال جديدة إلى المحفظة، عاد المهاجم لتحويلها مرة أخرى.
تفاصيل مثيرة
خلال الفترة نفسها، أرسلت محافظ تابعة لـ«بينانس» على شبكات أخرى، أموالًا إلى عناوين المهاجم من خلال تحويلات موقعة بصورة عادية.
وترى TRM أن هذا النمط يشير إلى احتمال اختراق البنية التحتية المسؤولة عن توقيع المعاملات في المحافظ الساخنة لدى «بينانس»، بما أتاح للمهاجم الحصول على توقيعات صحيحة عبر شبكات متعددة. وحتى وقت إعداد التحليل، لم تكن «بينانس» قد أعلنت السبب الجذري للاختراق.
6.36 مليار دولار.. أين ذهبت الأموال؟
لم تذهب كل الأموال المسروقة إلى مكان واحد، بل توزعت عبر 10 شبكات بلوكتشين، في عمليات تحويل شملت عملات رقمية متعددة.
وتصدرت شبكة Ethereum القائمة بنحو 3.79 مليار دولار، تلتها Bitcoin بنحو 1.47 مليار دولار، ثم Tron بنحو 628 مليون دولار.
كما شملت الأموال المسروقة نحو 296 مليون دولار من شبكة XRP Ledger، و96 مليون دولار من Solana، ومبالغ أخرى على شبكات اخرى.
لكن مع بدء تتبع الأموال، تحولت القصة إلى سباق بين المهاجم والجهات القادرة على إيقاف التحويلات.
سباق مع الزمن
لم تنتظر الجهات المصدرة للعملات المستقرة طويلًا، فتحركت شركات «تيثر» و«سيركل» و«ريبل» إلى جانب شركة اخرى لتجميد أرصدة مرتبطة بالمهاجم.
وتكمن أهمية هذه الخطوة في أن العملات المستقرة تصدرها شركات لديها صلاحيات تقنية تسمح لها بتجميد أرصدة بعض المحافظ المحددة.
ولم يتوقف الأمر عند هذا الحد؛ إذ تدخل مجلس الأمن التابع لشبكة Arbitrum، واستخدم صلاحيات الطوارئ لإخراج 8,426 ETH و74.6 مليون ARB من محفظة المهاجم، بقيمة تقارب 30 مليون دولار. وبذلك وصل إجمالي الأموال التي جرى تجميدها إلى نحو 2.7 مليار دولار.
لكن تجميد الأموال لا يعني بالضرورة استعادتها أو إعادتها إلى أصحابها، وإنما يعني أن المهاجم لم يعد قادرًا على التصرف فيها بالطريقة المعتادة.
المخترق لم يستسلم
في المقابل، لم يقف المهاجم مكتوف الأيدي أمام تحركات الشركات، فقد سارع إلى تحويل جزء من العملات المستقرة إلى أصول أخرى يصعب على الجهات المصدرة تجميدها.
ومن أبرز تحركات المخترقين، مبادلة نحو 325 مليون دولار من عملة USDT الرقمية، التي تصدرها شركة Tether ويمكنها تجميد أرصدتها، بنحو 122,300 وحدة من عملة Ethereum (ETH)، وذلك عبر وسطاء متخصصين في تداول العملات المشفرة يُعرفون باسم «صناع السوق».
بمعنى آخر، سارع المخترقون إلى استبدال الدولارات الرقمية بعملة مشفرة يصعب تجميدها، في محاولة لإخراج هذه الأموال من نطاق سيطرة الشركات المصدرة للعملات المستقرة.
واللافت أن عملية البيع تمت بسعر يقارب 2,650 دولارًا لكل ETH، في الوقت الذي كان يتداول فيه السعر في حدود 2,300 إلى 2,350 دولارًا، أي أن المهاجم قبل بخصم تجاوز 10% مقابل تحويل أمواله بسرعة.
وفي تحرك آخر، لجأ المخترقون إلى حيلة مالية مختلفة؛ إذ أودعوا نحو 60 مليون دولار من عملة USDT المسروقة كضمان لدى منصة «Aave» المتخصصة في إقراض العملات المشفرة، وحصلوا في المقابل على قرض بنحو 19,760 وحدة من عملة ETH.
وبهذه الطريقة، تمكنوا من تحويل جزء من الأموال المسروقة إلى عملة أخرى يصعب تجميدها، دون الحاجة إلى بيع عملات USDT مباشرة.
وكان الهدف من هذه العمليات تحويل الأموال من عملات مستقرة يمكن تجميدها إلى أصول رقمية لا تملك الجهات المصدرة للعملات المستقرة صلاحية تجميدها.
مصير المسروقات
بعد عمليات التجميد والتحويل، أصبحت الصورة أكثر وضوحًا، ويمكن تقسيم مصير المبالغ وفق تقديرات تي ار ام إلى ثلاثة أجزاء رئيسية:
2.7 مليار دولار تم تجميدها
نجحت الجهات المختلفة في منع المهاجم من التصرف في هذه الأموال، لكن ذلك لا يعني أنها عادت بالفعل إلى أصحابها.
ثانيًا: نحو 2.4 مليار دولار لا تزال تحت سيطرة المهاجم
وتتكون بصورة أساسية من أكثر من 420 ألف ETH و18,270 BTC، وهي أصول لا تستطيع الجهات المصدرة للعملات المستقرة تجميدها مباشرة.
نحو 1.26 مليار دولار لم يحدد التقرير مصيرها النهائي بصورة واضحة
وهي القيمة المتبقية حسابيًا بعد خصم الأموال المجمدة والأموال التي لا تزال تحت سيطرة المهاجم من إجمالي المسروقات.
وهكذا، فرغم نجاح عمليات التجميد في تعطيل جزء كبير من الأموال المسروقة، لا تزال مليارات الدولارات خارج نطاق السيطرة.
ماذا عن عملاء «بينانس»؟ هل ستضيع أموالهم؟
هذا هو السؤال الأهم بالنسبة لملايين المتعاملين مع المنصة، فقد أكدت «بينانس» أن أموال المستخدمين آمنة، واتخذت إجراءات احترازية شملت تعليق السحب على عدد من الشبكات.
لكن يجب التمييز بين تأكيد سلامة أموال العملاء وبين الإعلان عن آلية تعويض أو رد أموال محددة.
وحتى وقت إعداد هذا التقرير، لم تقدم الشركة تفاصيل مؤكدة بشأن آلية تعويض المتضررين أو حجم الخسائر التي ستتحملها الشركة، إن وجدت.
الدرس الأكبر: الأمن السيبراني هو قمة الهرم التكنولوجي
تكشف هذه الواقعة أن المخاطر في عالم العملات المشفرة لا تقتصر على تقلب الأسعار أو انهيار المشروعات، بل تمتد إلى البنية التحتية التي تدير مليارات الدولارات.
فقد لا يحتاج المخترق إلى كسر كل أنظمة الحماية، بل قد تكفيه ثغرة في آلية التوقيع الرقمي أو الوصول إلى نظام حساس حتى يتمكن من تنفيذ تحويلات ضخمة خلال دقائق.
كما كشفت الواقعة عن جانب آخر مهم: قدرة بعض الجهات المصدرة للعملات المستقرة على التدخل وتجميد الأموال، في مقابل صعوبة إيقاف العملات اللامركزية بالطريقة نفسها.
وقال جايانت ديف، رئيس أمن المعلومات في "Check Point"، إن الخسائر المقدرة تجعل الواقعة أكبر عملية سرقة للعملات المشفرة مسجلة حتى الآن، فيما وصف آري ريدبورد، رئيس السياسات العالمية في "TRM Labs"، الاختراق بأنه محطة فارقة في تاريخ القطاع، مشيرًا إلى أن المهاجم لا يزال يحتفظ بكمية ضخمة من الأصول المسروقة.
كما يكشف الهجوم تحولًا في طبيعة التهديدات السيبرانية التي تواجه منصات التداول، إذ لم يعد الاستيلاء على المفاتيح الخاصة للمحافظ الرقمية شرطًا لتنفيذ عمليات السرقة، بل أصبح اختراق الأنظمة والأشخاص الذين يمتلكون صلاحيات الوصول إلى الأصول وسيلة لتنفيذ معاملات غير مصرح بها.
وحذر ديف، من أن المهاجمين باتوا يستهدفون الأنظمة والموظفين أصحاب الصلاحيات بدلًا من التركيز حصريًا على مفاتيح الخزائن الرقمية.
وفي ضوء الهجوم، قدمت شركة TRM مجموعة من التوصيات الأمنية لمنصات تداول العملات المشفرة وفرق الامتثال، تضمنت ضرورة تشديد الرقابة على عناوين المحافظ والمعاملات الواردة، وفحص الأطراف المقابلة قبل تنفيذ الصفقات الكبيرة، للتأكد من عدم ارتباطها بأصول مسروقة.
وشددت الشركة، على أهمية مراقبة محافظ إيثريوم لرصد أي عمليات تفويض غير معتادة باستخدام بروتوكول EIP-7702، مع تفعيل تنبيهات فورية عند ظهور مثل هذه العمليات على محافظ الخزانة، إلى جانب توفير آليات معتمدة مسبقًا لإلغاء التفويضات المشبوهة.
كما أوصت برفض طلبات التوقيع على التفويضات غير المتوقعة، والتعامل مع طلبات التوقيع المتعددة عبر نطاق متتالٍ من أرقام المعاملات باعتبارها مؤشرًا محتملًا على اختراق أمني، فضلًا عن فصل أنظمة التوقيع ومسارات الموافقة على المعاملات بين شبكات البلوكتشين المختلفة، للحد من قدرة المهاجمين على استغلال نقطة اختراق واحدة للوصول إلى أصول موزعة على عدة شبكات.