ينسب مكتب التحقيقات الفيدرالي بشكل رسمي إلى قراصنة مدعومين من الدولة الكورية الشمالية عملية سرقة العملات المشفرة القياسية التي تعرضت لها منصة بينانس. وتطلب الوكالة من صناعة العملات المشفرة مساعدتها في منع غسل الأموال المسروقة.
وقع الهجوم في 29 أكتوبر. قام القراصنة بإفراغ محافظ بينانس الساخنة، وهي محافظ رقمية متصلة بالإنترنت، عبر سلاسل الكتل المتعددة، ونقلوا الجزء الأكبر من الأموال في أقل من 20 دقيقة. تقدر بينانس حجم الخسارة بحوالي 6.3 مليار دولار، مما يجعلها أكبر سرقة لعملات مشفرة يتم تسجيلها على الإطلاق.
في الساعات التي تلت الهجوم، ربطت شركتا تحليل سلسلة الكتل TRM Labs وChainalysis الهجوم بمجموعة TraderTraitor الكورية الشمالية. كانت بينانس قد أشارت في البداية إلى أن الاختراق ربما بدأ من خلال كمبيوتر محمول مخترق لمهندس DevOps، وتعهدت بتغطية كامل الخسائر.
نسبة رسمية من مكتب التحقيقات الفيدرالي
أصدر مكتب التحقيقات الفيدرالي إنذاره في 31 أكتوبر، أي بعد يومين من السرقة. جاء في بيان الوكالة: «لاحظ مكتب التحقيقات الفيدرالي، مع شركاء من الخدمة السرية الأمريكية (USSS) والتحقيقات الجنائية في مصلحة الضرائب (IRS-CI)، أن جهات فاعلة تابعة لـTraderTraitor تقوم بتحويل الأصول المسروقة بشكل رئيسي إلى إيثيريوم (ETH). ومن المتوقع أن يتم غسل هذه الأصول لاحقًا عن طريق تحويلها عبر خدمات التمويل اللامركزي (DeFi) ومنصات التبادل الفوري، استعدادًا لمراحل الغسل اللاحقة».
يسرد الإنذار 608 عنوان إيثيريوم، و19 عنوان بيتكوين، وعنوان Solana واحدًا تحتفظ حاليًا، أو كانت تحتفظ، بعائدات السرقة. بالتعاون مع الخدمة السرية ومصلحة الضرائب، يطلب مكتب التحقيقات الفيدرالي من مشغلي عقد THORChain وعقد RPC، ومنصات التبادل الفوري، وخدمات DeFi، وشركات تحليل سلسلة الكتل رفض المعاملات المرتبطة بهذه العناوين. كانت الوكالة قد نسبت بالفعل إلى نفس المجموعة سرقة 1.5 مليار دولار التي تعرضت لها Bybit في فبراير 2025.
بينانس تتحدث عن هجوم أوسع من مجرد كمبيوتر واحد
قامت بينانس منذ ذلك الحين بتوضيح نتائج تحقيقاتها الأولية. وفي بيان، قال المدير العام المشارك ريتشارد تينغ: «اقترح تحقيقنا الأولي أن حادثة الأمن قد تتضمن كمبيوترًا محمولًا مخترقًا، لكن تحقيقنا اللاحق كشف عن نقاط اختراق إضافية». ووصف هجومًا معقدًا، «لم يتم تنفيذه بواسطة شخص واحد»، وأشار إلى أن المهاجم استخدم خاصية تفويض إيثيريوم، EIP-7702، والتي «لم تمر عبر ضوابط الموافقة المعتادة لدينا». لم تفصل بينانس بعد نقاط الاختراق الإضافية هذه ووعدت بتحليل تقني بعد انتهاء الحادثة بمجرد التحقق من الوقائع. وفقًا لريتشارد تينغ، قام المهاجم أيضًا بنشر آلية للتدمير الذاتي محت أدواته وآثاره، مما يعقد التحقيق. استؤنفت عمليات السحب على مراحل بدءًا من 1 نوفمبر، بدءًا بشبكة البيتكوين. وفي صباح يوم الأحد، أشارت المنصة إلى أنها عالجت حوالي 4.6 مليار دولار من عمليات السحب ومليار دولار من الإيداعات. وتؤكد أنها استبدلت حوالي 95٪ من المبلغ المسروق بأموالها الخاصة وتشتري باقي الرموز، الأقل سيولة، من السوق ومن خلال التعاملات المباشرة.
غسل أموال يبدو آليًا
تقدر شركة Elliptic حجم السرقة بـ 6.43 مليار دولار موزعة على 11 سلسلة كتل، منها 2.85 مليار دولار تم تجميدها أو مصادرتها على السلسلة. وفقًا لأحدث بياناتها، لا يزال المهاجم يتحكم بحوالي 3.25 مليار دولار من الأصول التي لا يمكن لأي مصدر تجميدها، موزعة على أكثر من 800 عنوان، بما في ذلك حوالي 584,000 ETH، و18,327 BTC، و233 مليون XRP. وتشير Elliptic إلى أن عملية الغسل «لا تنام»، على عكس أنماط العمل البشرية التي لوحظت أثناء سرقة Bybit.
استمرت المحفظة الرئيسية التي توزع الأموال على Tron في إجراء تحويلات كل ساعة لأكثر من يوم. وعندما رفض جسر بين السلاسل الإيداعات، قام النظام بإعادة توجيه الأموال إلى نفس الوجهة عبر محافظ تم إنشاؤها حديثًا. وفي نهاية أكتوبر، كان حوالي 196 مليون دولار قد انتقلت من هذه المحفظة إلى حوالي أربعين… إلى حوالي 200 محفظة أخرى، حيث شكلت THORChain المسار الرئيسي للخروج، بقيمة حوالي 31 مليون دولار. لا تستطيع Elliptic تحديد ما إذا كان التشغيل الآلي يعتمد على وكلاء ذكاء اصطناعي أو نصوص برمجية تقليدية، وتتوقع استمرار عملية الغسل على مدى عدة أشهر، كما حدث بعد سرقة Bybit. من جانبها، تلاحظ Chainalysis أنماط غسل أموال تشير إلى التشغيل الآلي، بما في ذلك آلاف المعاملات في وقت قصير والعديد من العناوين الحديثة التي كان أول تحويل لها بقيمة 1 TRX بالضبط.
