التحقيقات الأولية تكشف استهداف منظومة المحافظ الساخنة.. والمنصة تعلن تجميد أصول بنحو 3 مليارات دولار
لم تبدأ حادثة اختراق منصة "بينانس" بإعلان سرقة مفاتيح المحافظ الرقمية، بل بمسار تقني أكثر تعقيداً، تشير التحقيقات الأولية إلى أنه ربما بدأ باختراق حاسوب محمول يعود إلى أحد مهندسي عمليات التطوير والتشغيل (DevOps)، وصولاً إلى حاوية خدمة داخلية مكّنت المهاجم من إرسال معاملات سحب غير مصرح بها.
وتؤكد "بينانس" أنها لم تعثر حتى الآن على دليل يثبت تسرب المفاتيح الخاصة بالمحافظ، فيما قدّرت الأثر الإجمالي للحادث بنحو 6.3 مليارات دولار. وأعلنت، الجمعة، نجاحها بالتعاون مع جهات في منظومة البلوك تشين في تجميد أصول تقارب قيمتها 3 مليارات دولار، متعهدة بتغطية الخسائر من صندوق الأصول الآمنة للمستخدمين وأموال الشركة، ومؤكدة أن أموال العملاء آمنة.
وتشير بيانات البلوك تشين إلى أن الهجوم لم يستهدف محفظة واحدة أو شبكة محددة، بل امتد إلى محافظ ساخنة تابعة للمنصة على عدد من شبكات العملات المشفرة خلال فترة زمنية قصيرة.
تحقيقات مستمرة ومسار اختراق معقد
تقول "بينانس" إن التحقيق لا يزال في مراحله الأولية، وإنها ستنشر تقريراً تقنياً مفصلاً بعد التحقق من المسار الكامل للهجوم.
وأوضح الرئيس التنفيذي المشارك للشركة، ريتشارد تنغ، أن الحادث لم يكن مجرد استخدام لصلاحيات مهندس واحد أو عملية اختراق بسيطة، بل تضمن مساراً أكثر تعقيداً، مع اكتشاف نقاط اختراق إضافية لا تزال قيد التحقيق.
وتكتسب هذه التفاصيل أهمية بسبب طبيعة المحافظ الساخنة، التي تبقى متصلة بالإنترنت لمعالجة عمليات السحب بصورة مستمرة، ما يتطلب أنظمة داخلية قادرة على إنشاء المعاملات والموافقة عليها وتوقيعها بسرعة.
وبحسب بيانات التحليل، خرجت الأموال من 17 محفظة ساخنة مرتبطة بـ"بينانس" عبر تسع شبكات، بين الساعة 20:04 و23:56 بالتوقيت العالمي يوم 29 تشرين الأول، فيما رصدت تحليلات أخرى حركة أصول عبر عشر شبكات. ويعكس الاختلاف تفاوت نطاق الرصد والتصنيف بين الجهات التي تتبع الحادث.
وشملت الشبكات المرصودة "إيثيريوم» و"بيتكوين" و"ترون" و"دفتر XRP" و"سولانا" و"أربيتروم" و"أفالانش" و"أوبتيميزم" و"بيس" و"بوليغون".
معاملات صحيحة على الشبكة.. لكنها غير مصرح بها
من أبرز المؤشرات التقنية أن المعاملات المنفذة ظهرت على شبكات البلوك تشين بتوقيعات صالحة صادرة من محافظ "بينانس"، ولذلك لم ترفضها الشبكات.
ويشير أحد التحليلات إلى أن 16 محفظة من أصل 17 أرسلت تحويلات عادية موقعة إلى عناوين يسيطر عليها المهاجم، رغم اختلاف أنماط بعض المعاملات عن عمليات السحب المعتادة للمنصة.
وتعزز هذه المؤشرات فرضية أن المهاجم ربما تمكن من الوصول إلى منظومة توقيع المحافظ الساخنة، بما يتيح له تمرير معاملات يحددها بنفسه، بدلاً من الاستيلاء على مفتاح خاص واحد. لكن هذا التفسير لا يزال فرضية فنية طرحتها جهات تحليل خارجية، ولم تؤكده «بينانس» بوصفه السبب النهائي للاختراق.
وتزداد أهمية هذه الفرضية لأن المحافظ المتضررة تعمل على شبكات تستخدم أنواعاً مختلفة من المفاتيح وآليات التوقيع، ومع ذلك ظهرت معاملات صالحة عبر عدة شبكات خلال فترة متقاربة.
استغلال ميزة تقنية في شبكة إيثيريوم
على شبكة "إيثيريوم"، اتخذ الهجوم مساراً أكثر تعقيداً عبر استخدام ميزة اقتراح تحسين إيثيريوم رقم 7702 (EIP-7702)، التي أُضيفت ضمن تحديث "بيكترا"، وتتيح للمحفظة التقليدية تفويض تنفيذ بعض وظائفها إلى عقد ذكي بعد توقيع تفويض مناسب.
وبحسب التحليلات، أرسل المهاجم معاملة تضمنت 50 تفويضاً موقعاً مسبقاً، تغطي أرقاماً متتابعة لما يعرف بالرقم التسلسلي للمعاملة (Nonce)، لضمان وجود تفويض صالح عند تنفيذ العملية.
وتطابق أحد التفويضات مع الحالة الفعلية لمحفظة "بينانس"، ما أتاح توجيه سلوكها إلى عقد برمجي يتحكم فيه المهاجم.
وبعد ثلاث دقائق و24 ثانية، نُفذت عملية تحويل شملت 167 ألفاً و464 وحدة من عملة "إيثر" (ETH)، إضافة إلى 63 رمزاً آخر، من بينها 1.615 مليار وحدة من عملة "تيثر" (USDT).
ولم يتوقف الخطر عند خروج الرصيد الأول؛ إذ تشير التحليلات إلى أن التفويض ظل فعالاً، ما أتاح للمهاجم سحب أموال جديدة وصلت إلى المحفظة في عمليات متكررة خلال الساعات التالية.
وتوضح هذه الآلية أن التفويض الناجح قد يمنح المهاجم قدرة برمجية مستمرة على التحكم بالمحفظة، إلى حين إلغائه بصورة صريحة.
تحضير مسبق قبل تنفيذ الهجوم
تشير تحليلات تتبع البلوك تشين إلى أن التحضير للعملية بدأ قبل تنفيذها بنحو 36 ساعة على الأقل، من خلال تحويلات صغيرة وتجارب على محافظ يسيطر عليها المهاجم.
وتفيد البيانات بأن المهاجم اختبر تسلسل التفويض والسحب أكثر من مرة، قبل نشر العقد الذي استُخدم في الهجوم الرئيسي مساء 29 تشرين الأول.
وفي سياق تحديد الجهة المسؤولة، نسبت شركة "TRM Labs" العملية، بدرجة ثقة مرتفعة وفق تقييمها، إلى مجموعة "TraderTraitor" المرتبطة بكوريا الشمالية، استناداً إلى مؤشرات على السلسلة وخارجها، وتشابهات مع عمليات سابقة.
لكن "بينانس" لم تعلن حتى الآن مسؤولية جهة محددة عن الاختراق، ما يجعل هذا الإسناد تقييماً صادراً عن شركة تحليل بلوك تشين، وليس نتيجة رسمية من المنصة.
تجميد أصول بمليارات الدولارات
عقب بدء التحويلات، تحركت جهات إصدار العملات المستقرة وشبكات البلوك تشين لتجميد أجزاء من الأصول المسروقة.
وأعلنت "بينانس" أن قيمة الأصول المجمدة وصلت إلى نحو 3 مليارات دولار، متجاوزة بعض التقديرات الأولية التي تحدثت عن نحو 2.7 مليار دولار.
وتشير بيانات التتبع إلى أن "تيثر" و"سيركل" ومجلس أمن "أربيتروم" وجهات أخرى تمكنت من منع حركة أجزاء كبيرة من العملات المستقرة والأصول، فيما سارع المهاجم إلى تحويل مئات الملايين من وحدات "USDT" إلى أصول أخرى قبل تنفيذ إجراءات التجميد.
وامتد أثر الحادث إلى بروتوكولات التمويل اللامركزي (DeFi)، إذ ذكرت "LlamaRisk" أن إحدى المحافظ المرتبطة بالمهاجم أودعت 60 مليون وحدة من "USDT" في الإصدار الثالث من بروتوكول "آفي" (Aave V3)، واقترضت مقابلها 19 ألفاً و762 وحدة من "إيثر المغلف" (WETH)، بقيمة قاربت 44.6 مليون دولار آنذاك.
وردت منظومة "Aave" بتعليق إمكانية فتح مراكز إيداع واقتراض جديدة في مئات الأسواق على شبكات متعددة، كإجراء احترازي، مع الإبقاء على عمليات السداد والسحب والتصفية متاحة.
ما الذي يجعل الاختراق مختلفاً؟
تتجاوز دلالات الحادثة مسألة سرقة مفتاح محفظة رقمية؛ فالمؤشرات المتاحة تثير تساؤلات بشأن قدرة المهاجم على الوصول إلى مسار داخلي يتيح له طلب توقيع معاملات تبدو صحيحة على الشبكة.
وفي حال تأكد هذا المسار، فإن حماية المفاتيح الخاصة وحدها لن تكون كافية لمنع مثل هذه الهجمات، إذ ستبرز أهمية تأمين أنظمة الموافقة على المعاملات، وعزل صلاحيات الوصول، ومراقبة الطلبات التي تصل إلى منظومة التوقيع قبل اعتمادها.
وتقول "بينانس" إنها أوقفت عمليات السحب مؤقتاً، وألغت تفويض العنوان المتأثر، وتعمل مع جهات إنفاذ القانون وشركات تحليل البلوك تشين لتتبع الأموال، على أن تنشر تقريراً تقنياً كاملاً وإثبات احتياطيات محدثاً بعد استكمال المعالجة.
وحتى صدور التقرير الرسمي، يبقى السؤال الأبرز هو كيفية انتقال المهاجم من اختراق جهاز داخل بيئة العمل إلى تمرير معاملات صالحة وموقعة عبر محافظ وشبكات متعددة، وهي الإجابة التي ستحدد طبيعة الثغرة وحجم التغييرات الأمنية المطلوبة لمنع تكرار الحادثة.
لم تبدأ حادثة اختراق منصة "بينانس" بإعلان سرقة مفاتيح المحافظ الرقمية، بل بمسار تقني أكثر تعقيداً، تشير التحقيقات الأولية إلى أنه ربما بدأ باختراق حاسوب محمول يعود إلى أحد مهندسي عمليات التطوير والتشغيل (DevOps)، وصولاً إلى حاوية خدمة داخلية مكّنت المهاجم من إرسال معاملات سحب غير مصرح بها.
وتؤكد "بينانس" أنها لم تعثر حتى الآن على دليل يثبت تسرب المفاتيح الخاصة بالمحافظ، فيما قدّرت الأثر الإجمالي للحادث بنحو 6.3 مليارات دولار. وأعلنت، الجمعة، نجاحها بالتعاون مع جهات في منظومة البلوك تشين في تجميد أصول تقارب قيمتها 3 مليارات دولار، متعهدة بتغطية الخسائر من صندوق الأصول الآمنة للمستخدمين وأموال الشركة، ومؤكدة أن أموال العملاء آمنة.
وتشير بيانات البلوك تشين إلى أن الهجوم لم يستهدف محفظة واحدة أو شبكة محددة، بل امتد إلى محافظ ساخنة تابعة للمنصة على عدد من شبكات العملات المشفرة خلال فترة زمنية قصيرة.
تحقيقات مستمرة ومسار اختراق معقد
تقول "بينانس" إن التحقيق لا يزال في مراحله الأولية، وإنها ستنشر تقريراً تقنياً مفصلاً بعد التحقق من المسار الكامل للهجوم.
وأوضح الرئيس التنفيذي المشارك للشركة، ريتشارد تنغ، أن الحادث لم يكن مجرد استخدام لصلاحيات مهندس واحد أو عملية اختراق بسيطة، بل تضمن مساراً أكثر تعقيداً، مع اكتشاف نقاط اختراق إضافية لا تزال قيد التحقيق.
وتكتسب هذه التفاصيل أهمية بسبب طبيعة المحافظ الساخنة، التي تبقى متصلة بالإنترنت لمعالجة عمليات السحب بصورة مستمرة، ما يتطلب أنظمة داخلية قادرة على إنشاء المعاملات والموافقة عليها وتوقيعها بسرعة.
وبحسب بيانات التحليل، خرجت الأموال من 17 محفظة ساخنة مرتبطة بـ"بينانس" عبر تسع شبكات، بين الساعة 20:04 و23:56 بالتوقيت العالمي يوم 29 تشرين الأول، فيما رصدت تحليلات أخرى حركة أصول عبر عشر شبكات. ويعكس الاختلاف تفاوت نطاق الرصد والتصنيف بين الجهات التي تتبع الحادث.
وشملت الشبكات المرصودة "إيثيريوم» و"بيتكوين" و"ترون" و"دفتر XRP" و"سولانا" و"أربيتروم" و"أفالانش" و"أوبتيميزم" و"بيس" و"بوليغون".
معاملات صحيحة على الشبكة.. لكنها غير مصرح بها
من أبرز المؤشرات التقنية أن المعاملات المنفذة ظهرت على شبكات البلوك تشين بتوقيعات صالحة صادرة من محافظ "بينانس"، ولذلك لم ترفضها الشبكات.
ويشير أحد التحليلات إلى أن 16 محفظة من أصل 17 أرسلت تحويلات عادية موقعة إلى عناوين يسيطر عليها المهاجم، رغم اختلاف أنماط بعض المعاملات عن عمليات السحب المعتادة للمنصة.
وتعزز هذه المؤشرات فرضية أن المهاجم ربما تمكن من الوصول إلى منظومة توقيع المحافظ الساخنة، بما يتيح له تمرير معاملات يحددها بنفسه، بدلاً من الاستيلاء على مفتاح خاص واحد. لكن هذا التفسير لا يزال فرضية فنية طرحتها جهات تحليل خارجية، ولم تؤكده «بينانس» بوصفه السبب النهائي للاختراق.
وتزداد أهمية هذه الفرضية لأن المحافظ المتضررة تعمل على شبكات تستخدم أنواعاً مختلفة من المفاتيح وآليات التوقيع، ومع ذلك ظهرت معاملات صالحة عبر عدة شبكات خلال فترة متقاربة.
استغلال ميزة تقنية في شبكة إيثيريوم
على شبكة "إيثيريوم"، اتخذ الهجوم مساراً أكثر تعقيداً عبر استخدام ميزة اقتراح تحسين إيثيريوم رقم 7702 (EIP-7702)، التي أُضيفت ضمن تحديث "بيكترا"، وتتيح للمحفظة التقليدية تفويض تنفيذ بعض وظائفها إلى عقد ذكي بعد توقيع تفويض مناسب.
وبحسب التحليلات، أرسل المهاجم معاملة تضمنت 50 تفويضاً موقعاً مسبقاً، تغطي أرقاماً متتابعة لما يعرف بالرقم التسلسلي للمعاملة (Nonce)، لضمان وجود تفويض صالح عند تنفيذ العملية.
وتطابق أحد التفويضات مع الحالة الفعلية لمحفظة "بينانس"، ما أتاح توجيه سلوكها إلى عقد برمجي يتحكم فيه المهاجم.
وبعد ثلاث دقائق و24 ثانية، نُفذت عملية تحويل شملت 167 ألفاً و464 وحدة من عملة "إيثر" (ETH)، إضافة إلى 63 رمزاً آخر، من بينها 1.615 مليار وحدة من عملة "تيثر" (USDT).
ولم يتوقف الخطر عند خروج الرصيد الأول؛ إذ تشير التحليلات إلى أن التفويض ظل فعالاً، ما أتاح للمهاجم سحب أموال جديدة وصلت إلى المحفظة في عمليات متكررة خلال الساعات التالية.
وتوضح هذه الآلية أن التفويض الناجح قد يمنح المهاجم قدرة برمجية مستمرة على التحكم بالمحفظة، إلى حين إلغائه بصورة صريحة.
تحضير مسبق قبل تنفيذ الهجوم
تشير تحليلات تتبع البلوك تشين إلى أن التحضير للعملية بدأ قبل تنفيذها بنحو 36 ساعة على الأقل، من خلال تحويلات صغيرة وتجارب على محافظ يسيطر عليها المهاجم.
وتفيد البيانات بأن المهاجم اختبر تسلسل التفويض والسحب أكثر من مرة، قبل نشر العقد الذي استُخدم في الهجوم الرئيسي مساء 29 تشرين الأول.
وفي سياق تحديد الجهة المسؤولة، نسبت شركة "TRM Labs" العملية، بدرجة ثقة مرتفعة وفق تقييمها، إلى مجموعة "TraderTraitor" المرتبطة بكوريا الشمالية، استناداً إلى مؤشرات على السلسلة وخارجها، وتشابهات مع عمليات سابقة.
لكن "بينانس" لم تعلن حتى الآن مسؤولية جهة محددة عن الاختراق، ما يجعل هذا الإسناد تقييماً صادراً عن شركة تحليل بلوك تشين، وليس نتيجة رسمية من المنصة.
تجميد أصول بمليارات الدولارات
عقب بدء التحويلات، تحركت جهات إصدار العملات المستقرة وشبكات البلوك تشين لتجميد أجزاء من الأصول المسروقة.
وأعلنت "بينانس" أن قيمة الأصول المجمدة وصلت إلى نحو 3 مليارات دولار، متجاوزة بعض التقديرات الأولية التي تحدثت عن نحو 2.7 مليار دولار.
وتشير بيانات التتبع إلى أن "تيثر" و"سيركل" ومجلس أمن "أربيتروم" وجهات أخرى تمكنت من منع حركة أجزاء كبيرة من العملات المستقرة والأصول، فيما سارع المهاجم إلى تحويل مئات الملايين من وحدات "USDT" إلى أصول أخرى قبل تنفيذ إجراءات التجميد.
وامتد أثر الحادث إلى بروتوكولات التمويل اللامركزي (DeFi)، إذ ذكرت "LlamaRisk" أن إحدى المحافظ المرتبطة بالمهاجم أودعت 60 مليون وحدة من "USDT" في الإصدار الثالث من بروتوكول "آفي" (Aave V3)، واقترضت مقابلها 19 ألفاً و762 وحدة من "إيثر المغلف" (WETH)، بقيمة قاربت 44.6 مليون دولار آنذاك.
وردت منظومة "Aave" بتعليق إمكانية فتح مراكز إيداع واقتراض جديدة في مئات الأسواق على شبكات متعددة، كإجراء احترازي، مع الإبقاء على عمليات السداد والسحب والتصفية متاحة.
ما الذي يجعل الاختراق مختلفاً؟
تتجاوز دلالات الحادثة مسألة سرقة مفتاح محفظة رقمية؛ فالمؤشرات المتاحة تثير تساؤلات بشأن قدرة المهاجم على الوصول إلى مسار داخلي يتيح له طلب توقيع معاملات تبدو صحيحة على الشبكة.
وفي حال تأكد هذا المسار، فإن حماية المفاتيح الخاصة وحدها لن تكون كافية لمنع مثل هذه الهجمات، إذ ستبرز أهمية تأمين أنظمة الموافقة على المعاملات، وعزل صلاحيات الوصول، ومراقبة الطلبات التي تصل إلى منظومة التوقيع قبل اعتمادها.
وتقول "بينانس" إنها أوقفت عمليات السحب مؤقتاً، وألغت تفويض العنوان المتأثر، وتعمل مع جهات إنفاذ القانون وشركات تحليل البلوك تشين لتتبع الأموال، على أن تنشر تقريراً تقنياً كاملاً وإثبات احتياطيات محدثاً بعد استكمال المعالجة.
وحتى صدور التقرير الرسمي، يبقى السؤال الأبرز هو كيفية انتقال المهاجم من اختراق جهاز داخل بيئة العمل إلى تمرير معاملات صالحة وموقعة عبر محافظ وشبكات متعددة، وهي الإجابة التي ستحدد طبيعة الثغرة وحجم التغييرات الأمنية المطلوبة لمنع تكرار الحادثة.
الرجاء الانتظار ...