رجوع

2026/11/02

أكبر سرقة عملات مشفرة لم تبدأ على البلوكتشين بل على حاسوب محمول واحد: دروس من Binance

بدأت سرقة Binance من حاسوب محمول مخترق لمهندس DevOps، لا من كسر التشفير. ما المؤكد وما غير المؤكد، وخمسة فحوصات لأنظمتك.

في 29 أكتوبر 2026، استنزف مهاجمون المحافظ الساخنة لمنصة Binance على عشر سلاسل بلوكتشين على الأقل خلال بضع ساعات. وتقدّر Binance حجم الضرر بنحو 6.3 مليار دولار، ما يجعلها بشكل شبه مؤكد أكبر سرقة في تاريخ العملات المشفرة. ولم يكن التشفير هو ما أخفق. فبحسب النتائج الأولية لـ Binance، بدأ الهجوم من حاسوب محمول واحد مخترق يعود إلى أحد مهندسي DevOps.

ولهذا تتجاوز أهمية هذه الحادثة منصات تداول العملات المشفرة بكثير. فلدى كل مؤسسة أشخاص وأجهزة وأنظمة قادرة على الموافقة على إجراءات حساسة: عمليات النشر في بيئة الإنتاج، والمدفوعات، والتوقيع، والوصول المميّز إلى السحابة. يميّز هذا المقال بين ما تأكّد وما لا يزال أوليًا، ويشرح لماذا قد تكون نقطة نهاية مميّزة مخترقة أخطر من مفتاح مسروق، ويعرض خمسة فحوصات يمكنك إجراؤها على بيئتك الخاصة.

أبرز النقاط

  • يشير التحقيق الأولي لـ Binance إلى أن حاسوبًا محمولًا مخترقًا لمهندس DevOps كان نقطة الدخول، وتقول Binance إنها لم تعثر على أي دليل على تسريب المفاتيح الخاصة للمحافظ. وكلتا النتيجتين أولية.
  • المهاجم الذي يسيطر على الأنظمة التي تطلب التوقيعات وتوافق عليها لا يحتاج إلى سرقة المفاتيح.
  • ينسب FBI وعدد من شركات تحليل البلوكتشين السرقة إلى مجموعة TraderTraitor الكورية الشمالية، بينما لم تسمِّ Binance نفسها أي مهاجم.
  • أهم الدفاعات هي تلك التي تحمي الأشخاص ونقاط النهاية ومسارات الموافقة المحيطة بالمفاتيح، لا المفاتيح وحدها.
  • ينطبق النمط ذاته على وحدات التحكم السحابية وSSH ومسارات CI/CD ووكلاء الذكاء الاصطناعي القادرين على التصرف في بيئة الإنتاج.

ماذا حدث، وما الذي لا يزال أوليًا

تفيد شركة تحليل البلوكتشين TRM Labs بأن الأموال بدأت تخرج من محافظ Binance نحو الساعة 20:05 بتوقيت UTC يوم 29 أكتوبر، وأن معظم القيمة نُقل في غضون 20 دقيقة تقريبًا. وفي بيانها الأولي الذي نقله موقع BleepingComputer، قالت Binance إن الحادثة قد تتعلق بحاسوب محمول مخترق لمهندس DevOps، وصل المهاجم من خلاله إلى حاوية خدمة وقدّم معاملات سحب غير مصرّح بها. وقد علّقت Binance عمليات السحب، وألغت التفويض المتأثر، وبدأت العمل مع جهات إنفاذ القانون.

ومنذ ذلك الحين، قالت Binance إن تحقيقها “كشف عن نقاط اختراق إضافية”. وقال الرئيس التنفيذي المشارك Richard Teng إن الهجوم لم يكن نتيجة صلاحيات مهندس واحد، وإنه، وفق ما نقلته Elliptic، “لم يمر عبر ضوابط الموافقة المعتادة لدينا”. ووعدت Binance بتقرير مفصّل لما بعد الحادثة، لم يكن قد نُشر حتى وقت كتابة هذا المقال (2 نوفمبر).

البندالوضع حتى وقت كتابة المقال
المبلغ المتأثرنحو 6.3 مليار دولار وفق تقدير Binance، فيما تشير شركات التحليل إلى ما بين 6.36 و6.43 مليار دولار، بحسب المنهجية والأسعار المعتمدة.
نقطة الدخولأوليًا: حاسوب محمول مخترق لمهندس DevOps. وقد أعلنت Binance لاحقًا عن نقاط اختراق إضافية.
تسريب المفاتيح الخاصةتقول Binance إنها لم تعثر على أي دليل على تسريب المفاتيح الخاصة للمحافظ. ولا يزال التحقيق جاريًا.
الجهة المنفذةنسب FBI السرقة في 31 أكتوبر إلى مجموعة TraderTraitor الكورية الشمالية، بما يتوافق مع TRM Labs وChainalysis وElliptic. ولم تسمِّ Binance أي مهاجم.
الأموال المجمّدةالأرقام غير نهائية. تشير Binance إلى تجميد حركة نحو 3 مليارات دولار، وكانت Elliptic قد تحققت حتى 1 نوفمبر من تجميد أو ضبط نحو 2.85 مليار دولار على السلسلة، معظمها من العملات المستقرة.
التأثير على العملاءتقول Binance إنها ستتحمل الخسارة وإن أموال المستخدمين آمنة. وبدأت إعادة فتح عمليات السحب على مراحل في 1 نوفمبر.

التجميد لا يعني الاسترداد. فبإمكان مُصدري العملات المستقرة مثل Tether وCircle تجميد الرموز التي يصدرونها، لكن البيتكوين وXRP وغيرها من الأصول الأصلية لا يمكن تجميدها بهذه الطريقة، ولا يزال جزء كبير من القيمة المسروقة قيد الغسل.

لماذا قد تكون نقطة نهاية مميّزة مخترقة أخطر من مفتاح مسروق

المفتاح الخاص المسروق مشكلة خطيرة، لكنها مشكلة واحدة ومفهومة جيدًا: بدّل المفتاح فتفقد النسخة المسروقة معظم قيمتها. أما المهاجم الذي يسيطر على جهاز مهندس يتمتع بصلاحيات مميّزة فهو في موقع مختلف. إذ يمكنه استخدام الأنظمة التي تطلب التوقيعات بصورة مشروعة، واستدعاء الخدمات الداخلية ببيانات اعتماد صالحة، وإرسال معاملات تبدو كأنها عمليات اعتيادية.

والأدلة على السلسلة تتسق مع هذه الصورة. فقد قدّرت TRM Labs أن النمط الملحوظ عبر سلاسل كثيرة “يشير إلى اختراق البنية التحتية لتوقيع المحافظ الساخنة لدى Binance”، أي أن المهاجم تمكّن من جعل أنظمة Binance نفسها توقّع معاملات يختارها هو. وعلى Ethereum، وجدت شركة الأمن Blockaid أن إحدى المحافظ الساخنة وقّعت دفعة من تفويضات EIP-7702 سلّمت السيطرة على المحفظة إلى العقد التابع للمهاجم. ولم يتأكد بعد كيف حُصل على تلك التوقيعات، وسنتناول هذه الآلية في مقال لاحق منفصل.

هذا ليس جديدًا. ففي سرقة Bybit في فبراير 2025، التي نسبها FBI أيضًا إلى TraderTraitor، اخترق المهاجمون جهاز أحد المطورين لدى مزوّد محافظ، وتلاعبوا بالمعاملة التي وافق عليها الموقّعون في Bybit. وفي الحالتين، نفّذت المفاتيح بالضبط ما طُلب منها. أما السؤال الحقيقي فكان: من الذي يطلب؟

خمسة فحوصات دفاعية

1. افصل الأجهزة ذات الصلاحيات المميّزة عن العمل اليومي

ينبغي ألا يكون الجهاز المستخدم للموافقة على تغييرات الإنتاج أو توقيع المعاملات أو إدارة البنية التحتية هو نفسه الجهاز المستخدم للبريد الإلكتروني والدردشة والتصفح وتثبيت أدوات التطوير. استخدم محطات عمل إدارية مخصصة ومحصّنة أو أسطح مكتب افتراضية معزولة، من دون حسابات شخصية ومع قائمة قصيرة من البرمجيات المعتمدة. وقد لجأت TraderTraitor مرارًا إلى عروض عمل مزيفة واختبارات برمجة خبيثة للوصول إلى أجهزة المطورين؛ والجهاز المنفصل يُبقي هذا النوع من الاختراق بعيدًا عن مسار الموافقة.

2. اشترط أكثر من شخص، وأضف عامل الوقت

لا ينبغي لأي شخص أو جهاز أو حساب خدمة بمفرده أن يتمكن من نقل مبالغ كبيرة أو تغيير بيئة الإنتاج. اشترط موافقة أشخاص يستخدمون أجهزة منفصلة، وحدّد سقوفًا للقيمة لكل معاملة ولكل فترة زمنية، وأضف مهلة تأخير (timelock) للعمليات الكبيرة أو غير المعتادة. فحتى تأخير لبضع دقائق يمنح أنظمة المراقبة والأشخاص فرصة للتصرف.

نصيحة: تحقق من أن الموافقين يرون ما يوافقون عليه فعلًا. ففي حالة Bybit، وافق الموقّعون على معاملة جرى التلاعب بمحتواها الحقيقي. ينبغي أن تعرض شاشة الموافقة الإجراء والوجهة والمبلغ بدقة، على أن تُولَّد بمعزل عن النظام الذي قدّم الطلب.

3. حصّن نقاط النهاية وراقبها

شغّل EDR على كل جهاز ذي صلاحيات مميّزة، وتأكد من أن هناك من يراجع تنبيهاته على مدار الساعة. حافظ على تحديث الأنظمة بالتصحيحات، وامنع البرمجيات غير الموقّعة أو غير المعتمدة، واستخدم MFA مقاومًا للتصيّد مثل مفاتيح الأمان المادية، وقيّد مدة صلاحية الجلسات الإدارية والرموز المميزة. وتعامل مع أدوات التطوير، بما فيها الحزم وإضافات بيئات التطوير المتكاملة (IDE) ومساعدي البرمجة بالذكاء الاصطناعي، بوصفها جزءًا من سطح الهجوم.

4. اكتشف الحالات الشاذة وكن قادرًا على التجميد بسرعة

انتقلت أموال Binance في غضون دقائق. حدّد شكل الوضع الطبيعي لأكثر عملياتك حساسية، مثل الأحجام والوجهات وأوقات اليوم ومعدلات التوقيع، وأطلق تنبيهات فورية عند أي انحراف. وجهّز آلية إيقاف طارئ قادرة على تعليق عمليات السحب أو النشر أو التوقيع في ثوانٍ، وحدّد مسبقًا من يحق له تفعيلها، وتدرّب على استخدامها.

5. دقّق في من وما يمكنه استدعاء التوقيع والوصول إلى الإنتاج

أعدّ قائمة بكل شخص وحساب خدمة وحاوية ومسار وكل مفتاح API يمكنه طلب توقيع أو الموافقة على دفعة أو تغيير بيئة الإنتاج. وتحقق لكل منها مما إذا كان لا يزال بحاجة إلى ذلك الوصول، وما إذا كان نطاق الوصول ضيقًا قدر الإمكان، وما إذا كان استخدامه يُسجَّل في مكان لا يستطيع المهاجم محوه. وألغِ الصلاحيات الدائمة حيثما أمكن، واستخدم بدلًا منها الوصول في الوقت المناسب (just-in-time).

دروس للسحابة وSSH وCI/CD وعمليات الذكاء الاصطناعي في المؤسسات

معظم المؤسسات لا تدير محافظ عملات مشفرة ساخنة، لكن لديها جميعًا ما يعادلها: بيانات اعتماد وأنظمة قادرة على التصرف بصلاحيات.

  • السحابة: الحاسوب المحمول لمسؤول النظام الذي يحوي جلسة نشطة في وحدة التحكم أو بيانات اعتماد CLI مخزّنة مؤقتًا لا يقل قيمة عن حساب الجذر (root). استخدم بيانات اعتماد قصيرة الأجل، وجلسات مرتبطة بالجهاز، وسير عمل للموافقة على الإجراءات التدميرية أو عالية التأثير.
  • SSH: المفاتيح طويلة الأجل المخزّنة على أجهزة المهندسين تمنح المهاجم وصولًا مباشرًا إلى الخوادم. فضّل شهادات SSH قصيرة الأجل تُصدر لكل جلسة، وسجّل كل جلسة ذات صلاحيات مميّزة مركزيًا.
  • CI/CD: كثيرًا ما تحتفظ المسارات ببيانات اعتماد النشر والتوقيع. احمِ تعريفات المسارات باشتراطات المراجعة، وافصل بيانات اعتماد البناء عن بيانات اعتماد الإصدار، واشترط الموافقة على الإصدارات إلى بيئة الإنتاج.
  • العمليات المعتمدة على الذكاء الاصطناعي: وكلاء الذكاء الاصطناعي القادرون على تنفيذ الأوامر أو فتح طلبات السحب (pull requests) أو استدعاء API الإنتاج هم هويات جديدة ذات صلاحيات مميّزة. امنحهم بيانات اعتماد خاصة بهم بنطاق ضيق، وأبقِ على خطوة موافقة بشرية للإجراءات الحساسة، وسجّل ما يقومون به.

نصيحة: نفّذ تمرين محاكاة نظريًا (tabletop) حول سؤال واحد: “لو اختُرق الحاسوب المحمول لهذا المهندس اختراقًا كاملًا الليلة، فما الذي يمكن للمهاجم فعله قبل أن يلاحظ أحد؟” وستكشف الإجابة المواضع التي تعتمد فيها مسارات الموافقة لديك على جهاز واحد.

ما الذي ينبغي متابعته لاحقًا

من المتوقع أن يؤكد تقرير Binance لما بعد الحادثة فرضية الحاسوب المحمول أو يعدّلها، وأن يوضح كيف حُصل على التوقيعات، وأن يبيّن الضوابط التي جرى تجاوزها. وحتى ذلك الحين، تعامل مع السبب الجذري على أنه أولي. ولا تتوقف الدروس الدفاعية الواردة أعلاه على التفاصيل النهائية: فأيًّا كان المسار الدقيق، فقد وصل المهاجم إلى الأنظمة القادرة على تفويض إجراءات حساسة.

كيف يمكن لـ LOGIQ أن تساعد

تساعد LOGIQ المؤسسات على مراجعة الوصول المميّز عبر خوادم Linux والبيئات السحابية ومسارات CI/CD، وعلى تصميم ضوابط للموافقة والمراقبة تلائم الطريقة التي تعمل بها فرقها فعليًا. وإذا أردت نظرة ثانية على من وما يمكنه التصرف بصلاحيات في بيئتك، تواصل معنا.

المصادر