هجوم متعدد المراحل يطول محافظ المنصة.. تجميد نحو 3 مليارات دولار وتخصيص أكثر من 6.34 مليار للتغطية.. والتحقيقات تلاحق طريق الاختراق وهوية المنفذين
خلال نحو عشرين دقيقة، خرج معظم الأموال التي تتبعتها شركة التحقيقات «TRM Labs» في هجوم باينانس من محافظ المنصة إلى عناوين يسيطر عليها المهاجم. ومع انكشاف حجم الواقعة، أعلنت باينانس أن الأصول المتأثرة تُقدّر بنحو 6.3 مليار دولار، لتتحول ليلة الخميس 29 أكتوبر إلى اختبار قاسٍ لأمن واحدة من أهم منصات العملات المشفرة في العالم، وقدرتها على احتواء الخسائر واستعادة ثقة المستخدمين.
لم تعد القصة مجرد تحويلات مريبة وأرقام يطرحها متابعو البلوكشين. باينانس تتحدث الآن عن هجوم معقد، ونقاط اختراق متعددة، وتغطية كاملة للخسائر. لكن خلف هذه التأكيدات، تبقى أسئلة جوهرية: كيف وصل المهاجم إلى مسار تنفيذ التحويلات؟ وماذا تعني مليارات الدولارات المجمدة؟ وهل تخصيص الأموال للتعويض يكفي قبل عودة السحب ونشر نتائج التحقيق؟
تستند هذه القراءة الاستقصائية إلى بيانات باينانس المنشورة، وتقارير شركتي TRM Labs وElliptic، مع الفصل بين إفصاحات المنصة ونتائج التحليل المستقل، وما لم تحسمه التحقيقات بعد.
بدأت التحركات التي رصدتها TRM عند الساعة 20:05 بالتوقيت العالمي مساء الخميس، وشملت محافظ على عشر شبكات بلوكشين. وقدّرت الشركة قيمة الأصول الخارجة بنحو 6.36 مليار دولار، موضحة أن معظمها انتقل خلال نحو عشرين دقيقة، مع امتداد النشاط لاحقًا إلى محافظ وشبكات أخرى. وتكمن خطورة هذا التسلسل في اتساعه؛ فالواقعة تجاوزت تحويلًا منفردًا أو محفظة واحدة.
أما أول تفسير نشرته باينانس، فأشار إلى احتمال اختراق الحاسوب المحمول لأحد مهندسي التشغيل والبنية التحتية، بما أتاح الوصول إلى مكوّن داخلي وتقديم معاملات سحب غير مصرح بها. ثم تطورت الرواية مع إعلان اكتشاف نقاط اختراق إضافية، وتأكيد أن الهجوم لا يمكن اختزاله في جهاز واحد أو استخدام صلاحيات مهندس منفرد لتنفيذ التحويلات بضغطة واحدة.
وهنا تظهر فجوة التحقيق الأساسية: الحاسوب قد يكون مدخلًا، لكنه لا يشرح وحده كيف تحولت السيطرة الأولية إلى قدرة على تحريك أصول عبر محافظ متعددة. باينانس قالت إنها لم تجد دليلًا على تسريب المفاتيح الخاصة بالمحافظ، ولم تنسب المسؤولية إلى موظف بعينه. لذلك فإن تحميل شخص واحد مسؤولية الواقعة، أو الجزم بأن مفاتيح المحافظ سُرقت، يسبق الأدلة المنشورة.
وتطرح TRM تفسيرًا أوسع؛ إذ ترى أن نمط المعاملات يشير إلى احتمال اختراق البنية التي تعتمد عليها باينانس في توقيع تحويلات المحافظ الساخنة. وبالمعنى المبسط، قد يتمكن المهاجم من إساءة استخدام النظام الذي يجيز المعاملات دون استخراج المفاتيح نفسها. ويظل ذلك تقييم الشركة المتخصصة، وليس نتيجة نهائية أعلنتها باينانس بشأن السبب الجذري للحادث.
المليارات الثلاثة المجمّدة.. هل عادت بالفعل؟
أعلنت باينانس العمل مع الشركاء لتجميد نحو 3 مليارات دولار من الأصول المتأثرة. لكن التجميد والاسترداد مرحلتان مختلفتان؛ فالأصول المجمدة لا تزال، وفق تحديث الشركة، خاضعة لإجراءات الاسترداد والتحقق. وبالتالي، فإن وصف المبلغ بأنه «أموال عادت بالكامل إلى المنصة» لا تعكسه البيانات المنشورة حتى الآن.
وأظهر تحليل Elliptic أن طبيعة العملات لعبت دورًا حاسمًا في فرص الاحتواء؛ إذ يمكن لجهات إصدار بعض العملات المستقرة تجميدها، بينما لا توجد جهة إصدار مماثلة تستطيع تجميد بيتكوين أو إيثريوم بالطريقة نفسها. ورصدت الشركة تحويل أجزاء من العملات المستقرة إلى أصول أخرى، ما يوضح لماذا كان التدخل السريع مهمًا، ولماذا لا تتحول كل الأموال المسروقة تلقائيًا إلى أموال قابلة للتجميد.
وفي حساب الخسائر، يجب التمييز بين ثلاثة أرقام: قيمة الأصول التي تأثرت، وقيمة ما أمكن تجميده، وصافي الخسارة بعد الاسترداد. طرح 3 مليارات من 6.3 مليار ينتج فرقًا حسابيًا، لكنه لا يقدم وحده حصيلة مالية نهائية، ما دامت إجراءات الاسترداد والتقييم مستمرة.
من سيدفع الفاتورة؟
انتقلت باينانس من التعهد العام بحماية المستخدمين إلى الإعلان عن تخصيص أكثر من 6.34 مليار دولار من أموال الشركة لتغطية الخسائر، دون إدراج الأصول المجمدة ضمن هذا التخصيص. وقالت إن نحو 5 مليارات دولار متوافرة بالفعل في العملات نفسها التي تأثرت، بينما تعمل على شراء الباقي، البالغ نحو 1.34 مليار دولار، عبر السوق والتعاملات خارج المنصات.
هذه التفاصيل تكشف أن التغطية لا تتعلق بتوفير قيمة بالدولار فقط، بل بإعادة تكوين الأصول بالعملات المطلوبة. وقد أقرت الشركة بأن ضعف سيولة بعض العملات والوقت اللازم لتسوية الصفقات قد يطيل هذه العملية، مع التعهد بنشر تحديث لإثبات الاحتياطيات بعد المعالجة. وهذا تعهد معلن من المنصة، وليس تحققًا مستقلًا من اكتمال التنفيذ.
أموال آمنة.. لكن السحب معلّق
في أحدث تحديثات الخدمة التي جرت مراجعتها، قالت باينانس إن الإيداعات تعمل بصورة طبيعية، بينما ظل السحب متوقفًا لاستكمال تعزيز حماية الخدمة والعناوين المرتبطة بها. وأعلنت توقعًا للاستئناف خلال 48 ساعة من تحديثها، دون أن يكون ذلك إعلانًا بعودة الخدمة بالفعل.
وهنا يتحدد الاختبار العملي أمام المستخدم: التعهد بالحفاظ على رصيده يختلف عن قدرته الحالية على نقله. وقد يكون تعليق السحب إجراء احتواء ضروريًا، لكنه يجعل نجاح المعالجة مرتبطًا بعودة الخدمة بأمان، وإثبات توافر الأصول، وتقديم تفسير يمكن تقييمه لما حدث.
كوريا الشمالية في دائرة الاتهام.. ما الذي تثبته الأدلة؟
نسبت TRM الهجوم بدرجة ثقة عالية إلى «TraderTraitor»، التي وصفتها بأنها وحدة قرصنة مرتبطة بكوريا الشمالية. كما رجّحت Elliptic ضلوع جهات مرتبطة بالدولة نفسها، مستندة إلى أنماط تنفيذ وروابط في مسارات الأموال.
لكن Elliptic أوردت أيضًا أسبابًا للحذر: الاشتراك في بعض البنية المستخدمة لغسل الأموال قد يدل على وسيط يخدم أكثر من جهة، وليس بالضرورة على منفذ واحد. وأشارت إلى اختلافات في أسلوب تحريك الأموال، وإلى غياب إعلان حكومي يؤكد المسؤولية وقت نشر تحليلها. لذلك تظل النسبة تقييمًا استخباراتيًا متخصصًا، وليست حقيقة قضائية محسومة.
وتختلف التقديرات التفصيلية بين المصادر؛ فباينانس تعلن أثرًا بنحو 6.3 مليار دولار، وTRM تقدّر الأصول المتتبعة بنحو 6.36 مليار، بينما يضع تحليل Elliptic الرقم عند نحو 6.43 مليار. هذه تقديرات صادرة عن جهات مختلفة، ولا تمثل خسائر منفصلة يمكن جمعها.
ويبقى التقرير الفني المنتظر هو الوثيقة القادرة على الإجابة عن الأسئلة الأصعب: كيف انتقل المهاجم بين الأنظمة؟ وما الضوابط التي لم تمنع المعاملات؟ وكيف جرى التأكد من إغلاق نقاط الدخول كافة؟ باينانس تعهدت بنشر تفاصيل موثقة بعد انتهاء التحقيق، فيما لم تُعلن بعد المسار الكامل للهجوم.
لقد وضعت الواقعة باينانس أمام اختبارين متزامنين: استكمال تغطية الأصول المتأثرة، وتفسير الاختراق بما يكفي لإعادة بناء الثقة. وبين مليارات جرى تجميدها، وأموال خُصصت للتغطية، وسحب ينتظر الاستئناف، ستُقاس نتيجة المواجهة بما يتحقق فعليًا: أصول متاحة، وخدمة آمنة، وتحقيق يوضح كيف حدث الخلل وكيف مُنع تكراره.
الوقائع والأرقام وفق المصادر المتاحة يوم 30 أكتوبر 2026، وتظل قابلة للتحديث مع استمرار التحقيق والاسترداد.
