استولى قراصنة على نحو 6.3 مليارات دولار من منصة «بينانس» العالمية في غضون 20 دقيقة، في عملية لم تكن بحاجة إلى فك شفرات شبكة «البلوك تشين» أو تحطيم جدران الحماية الرقمية لعملة «إيثيريوم»، بل استندت إلى استغلال منظومات التوقيع الداخلي وميزة برمجية حديثة.
وقالت المنصة إن الاختراق بدأ من حاسوب أحد موظفيها، في حين كشفت تقارير صادرة عن شركات متخصصة في الأمن السيبراني ومراقبة تقنية بلوك تشين تفاصيل تقنية لعملية وُصفت بـ«سرقة القرن الرقمية»، أثارت مخاوف واسعة حول الثقة في المنصات المركزية، وفتحت سجالا حول اتهام مجموعات قرصنة مرتبطة بكوريا الشمالية بالوقوف وراءها.
وقالت شركة «بلوك إيد» المتخصصة في أمن العملات المشفرة، في تحليلها للبيانات، إن العملية كانت مدروسة بعناية وجرى التخطيط لها على مراحل، وإن التحضير لها بدأ في 28 أكتوبر/تشرين الأول 2026 عبر قيام المهاجم بتمويل عنوانه الرقمي بثلاث عمليات سحب من خدمة «تورنادو كاش»، وهي خدمة لخلط العملات تُستخدم لتمويه الصلة بين هوية المودع والأموال وقطع مسار تعقب الأصول المالية.
ووفقا للشركة، أجرى المهاجم في اليوم التالي اختبارات عملية على ثلاث محافظ رقمية يسيطر عليها بمبالغ ضئيلة تراوحت بين دولارين و6 دولارات، للتأكد من أن الآلية تعمل على الاستيلاء على الأرصدة وتفريغها آليا قبل الانتقال إلى المحافظ المستهدفة.
وبعد نجاح تلك الاختبارات، نشر المهاجم عقدا ذكيا مخصصا على شبكة إيثيريوم أطلقت عليه «بلوك إيد» اسم «الكناس»، وهو برنامج مخصص لسحب جميع الأصول والعملات من المحفظة المستهدفة ونقلها تلقائيا إلى عنوان خارجي يحدده المهاجم فور استدعائه، ومنح المحفظة إمكانية استدعاء عقود ذكية إضافية.
واعتمد الهجوم بصورة أساسية على استغلال آلية حديثة دخلت حيز التشغيل في مايو/أيار 2025 تُعرف بمعيار «EIP-7702»، وتتيح للمحافظ الرقمية التقليدية، المعروفة تقنيا بـ«الحسابات المملوكة خارجيا» والتي تعتمد على مفتاح سري للتوقيع، الارتباط بعقد ذكي وتشغيل تعليماته آليا.
وقالت «بلوك إيد» إن التفويض يظل ساريا ولا يسقط تلقائيا ما لم يُلغَ بتوقيع جديد، مما يعني أن توقيعا واحدا غير مصرح به يكفي لمنح جهة خارجية سيطرة دائمة ومستمرة على المحفظة وعلى أي أموال جديدة تودع فيها مستقبلا.
وأضافت الشركة أن المهاجم واجه، عند سعيه للسيطرة على محفظة «بينانس 14» وهي إحدى أكبر المحافظ الساخنة التابعة للمنصة وأكثرها حركة، عقبة تمثلت في التغير الدائم للرقم التسلسلي الترتيبي لمعاملاتها نتيجة المعاملات المتواصلة التي يجريها المستخدمون.
ولتجاوز هذه العقبة، أرسل المهاجم مساء 29 أكتوبر/تشرين الأول دفعة تضمنت 50 تفويضا بأرقام تسلسلية متتابعة، رُفض 49 منها وقبلت الشبكة تفويضا واحدا تطابق مع الرقم الفعلي في تلك اللحظة، لتتحول المحفظة في ثانية واحدة إلى أداة برمجية تعمل لحساب العقد الذكي «الكناس» الذي يتحكم فيه المخترق.
وبعد نحو ثلاث دقائق من نجاح التفويض، وتحديدا عند الساعة 20:24 بالتوقيت العالمي، بدأت عملية السحب الواسعة من محفظة «بينانس 14»، إذ استولى المهاجم في معاملة واحدة على أكثر من 167 ألف وحدة إيثيريوم، ونحو 1.615 مليار دولار من عملة «تيذر» المستقرة، إضافة إلى نحو 60 أصلا رقميا آخر، تاركا في المحفظة وحدة إيثيريوم يتيمة.
ولم تمضِ 24 ثانية على تلك الضربة حتى تمدد الهجوم ليشمل 10 محافظ ساخنة أخرى تابعة للمنصة موزعة على شبكات أوبتيميزم وأربيتروم وأفالانش وإيثيريوم، نُقلت أصولها إلى العنوان المالي للمهاجم عبر معاملات عادية موقّعة بمفاتيحها الخاصة خلال 12 دقيقة.
واستغل المهاجم بقاء التفويض البرمجي ساريا للنفاذ إلى حساب ذكي مرتبط بخدمات شركة «سيركل» المصدرة لعملة «يو إس دي سي»، وسحب 823 مليون دولار من هذه العملة، ثم عاد بعد نحو 80 دقيقة إلى محفظة «بينانس 14» لينفذ عملية سحب جديدة استولت على 200 مليون وحدة تيذر كانت قد أودعت فيها بعد الهجوم الأول.
وتكشف التحقيقات تمايزا جوهريا في توصيف كيفية حدوث الاختراق بين منصة بينانس وشركات الأمن السيبراني. فتقول بينانس إن الاختراق انطلق من حاسوب محمول يعود لأحد مهندسيها، ومنه تم النفاذ إلى حاوية خدمية داخلية مسؤولة عن تنفيذ السحوبات، مع تشديدها على عدم وجود أدلة تثبت تسريب المفاتيح الخاصة للمحافظ، وعلى وجود نقاط اختراق إضافية أظهرتها التحقيقات.
وفي المقابل، قال تحليل «بلوك إيد» إن الخلل استند بالأساس إلى توظيف معيار EIP-7702 عبر التفويضات المتسلسلة لربط المحفظة بعقد «الكناس». أما شركة «تي آر إم لابس» المتخصصة في تحليل بيانات البلوك تشين ومكافحة الجرائم المالية المتعلقة بالأصول الرقمية، فقالت إن المهاجمين لم يسرقوا مفتاح الخزنة بشكل مباشر، بل تمكنوا من اختطاف منظومة توقيع المعاملات ذاتها، وهي المسؤولة عن منح الموافقات الرقمية وإصدار أوامر الصرف.
وخلصت شركتا «تي آر إم لابس» و«تشيناليسيس» الأمريكيتان المتخصصتان في استخبارات البلوك تشين إلى وجود مؤشرات قوية ترجح وقوف وحدة القرصنة «تريدر تريتور» المرتبطة بمجموعة «لازاروس» الكورية الشمالية خلف العملية، استنادا إلى تطابق أسلوب الهجوم مع اختراق منصة «بايبت» عام 2025، إضافة إلى تقييمات استخباراتية وحركة تعقب الأموال.
وقالت بينانس إن تحقيقاتها الرسمية لم تحسم حتى الآن هوية الجناة، وهي مسألة يقابلها عادة نفي متكرر من بيونغ يانغ حول مسؤوليتها عن أنشطة القرصنة الدولية.
ورصدت «تشيناليسيس» سلوكيات غسل أموال آلية غير مسبوقة تضمنت تدوير العملات عبر آلاف العناوين وإعادة ضخها في عناوين استُعملت سابقا لتمويه مسارها، كما استُخدم جزء منها ضمانات لاقتراض إيثيريوم.
ونجحت الشركات المصدرة للعملات المستقرة، ومنها تيذر وسيركل وريبل وشركة وورلد ليبرتي فاينانشال، في تجميد أصول تعادل نحو 3 مليارات دولار، في حين بقيت أصول بقيمة 2.4 مليار دولار من عملتي بيتكوين وإيثيريوم بعيدة عن متناول التجميد بسبب طبيعتهما اللامركزية.
ورغم تطمينات بينانس بتغطية كافة الخسائر عبر صندوق الأصول الآمنة واحتياطيات الشركة، قال خبراء الأمن السيبراني إن الواقعة أثبتت أن الخطر الأكبر في عالم التشفير لم يعد كامنا في ثغرات البلوك تشين الأساسية، بل في الثقة الممنوحة للبنى التحتية للتوقيع المؤتمت، وغياب التدقيق اللحظي على الصلاحيات البرمجية الدائمة للمحافظ الساخنة.
