كشفت منصة «باينانس» (Binance)،
إحدى أكبر منصات تداول العملات المشفرة في العالم،
عن تفاصيل هجوم إلكتروني واسع النطاق استهدف أنظمتها في 29 أكتوبر 2026،
وأسفر عن تحويل أصول رقمية تُقدر قيمتها بنحو 6.34 مليار دولار،
في واحدة من أكبر عمليات الاختراق التي شهدها قطاع العملات المشفرة.
وأوضحت المنصة، في تقرير أمني نشرته يوم 3 نوفمبر الجاري،
أن الهجوم لم يكن نتيجة اختراق مباشر أو عملية احتيال تقليدية،
بل جاء ضمن حملة إلكترونية معقدة استمرت عدة أشهر،
اعتمد منفذوها على الهندسة الاجتماعية والبرمجيات الخبيثة واستغلال أجهزة موظفين داخل الشركة،
قبل الوصول إلى الأنظمة المسؤولة عن إدارة المحافظ الرقمية والموافقة على المعاملات.
وأثار الكشف عن تفاصيل الواقعة اهتمامًا واسعًا في الأوساط التقنية والمالية،
خصوصًا بعد ظهور مؤشرات على استخدام برامج تثبيت مزيفة استهدفت أجهزة تعمل بنظام macOS،
إلى جانب استغلال مقابلات توظيف وهمية للوصول إلى موظفين يمتلكون صلاحيات مرتبطة بالبنية التحتية للمحافظ الرقمية.
كيف بدأت عملية الاختراق عبر أجهزة ماك؟
وفقًا للتحقيق الأولي الذي نشرته باينانس،
تعود إحدى أولى مراحل الهجوم إلى يونيو 2026،
عندما قام أحد مهندسي الشركة بتنزيل نسخة معدلة وخبيثة من أداة تثبيت برمجية أثناء محاولته إعداد أداة متخصصة في برمجة تطبيقات الذكاء الاصطناعي.
وأدى البرنامج الضار إلى كشف معلومات تتعلق بطبيعة عمل الموظف والفريق الذي ينتمي إليه،
وهو ما ساعد المهاجمين على التعرف على الأشخاص المرتبطين بإدارة المحافظ الرقمية والأنظمة الداخلية الحساسة.
ورغم أن فريق الأمن في باينانس رصد نشاطًا غير طبيعي واتخذ إجراءات لمعالجة المشكلة،
فإن المعلومات التي حصل عليها المهاجمون خلال المرحلة الأولى ساعدتهم على مواصلة التخطيط للهجوم واستهداف موظفين آخرين.
وأشارت تقارير تقنية إلى أن مسارات الملفات المستخدمة في البرمجية الخبيثة تتوافق مع بيئة Homebrew الشائعة على أجهزة ماك،
وهو ما يرجح أن أحد الأجهزة المستهدفة كان يعمل بنظام macOS،
رغم أن باينانس لم تصف جميع الأجهزة المتأثرة رسميًا بأنها أجهزة ماك.
مقابلات توظيف وهمية لاختراق موظفي المنصة
ولم يتوقف الهجوم عند استخدام البرامج المزيفة،
إذ انتقل المهاجمون خلال سبتمبر إلى أسلوب أكثر تعقيدًا،
تمثل في استهداف مهندس آخر من خلال عرض عمل وهمي عبر منصة توظيف حقيقية.
وبحسب رواية باينانس،
تواصل شخص انتحل صفة مسؤول في شركة غير حقيقية مع الموظف،
وأجرى معه مقابلات توظيف أولية،
قبل أن يطلب منه في مرحلة لاحقة تنزيل ملف يحتوي على مهمة برمجية يفترض تنفيذها ضمن إجراءات التقييم الوظيفي.
لكن الملف احتوى على شيفرات خبيثة استُخدمت لاختراق جهاز الموظف وفتح قناة اتصال مع خوادم يتحكم فيها المهاجمون،
مع الاعتماد على أساليب متقدمة لإخفاء النشاط الضار وتجاوز أدوات الحماية الأمنية.
وتوضح هذه الطريقة كيف يمكن استغلال الثقة المهنية وإجراءات التوظيف المعتادة كوسيلة للوصول إلى أنظمة الشركات،
خصوصًا عندما يتعامل الموظفون مع ملفات أو أدوات برمجية مقدمة من جهات لم يتم التحقق من هويتها بصورة كافية.
استغلال أداة ذكاء اصطناعي للوصول إلى المحافظ الرقمية
ومن أخطر مراحل العملية،
وفق التقرير، استخدام المهاجمين أداة ذكاء اصطناعي داخلية تابعة للشركة في 20 أكتوبر،
بعدما تمكنوا من السيطرة على أحد الأجهزة المخترقة.
واستُخدمت هذه الخطوة للوصول إلى أنظمة وموارد مرتبطة بمهندسين آخرين يعملون في تطوير البنية التحتية للمحافظ،
كما تمكن المهاجمون من الاستفادة من بيانات اعتماد وصلاحيات داخلية للوصول إلى عمليات نشر الأنظمة وإدارة التوقيعات الرقمية.
وفي 29 أكتوبر، استغل المهاجمون الصلاحيات التي حصلوا عليها لتنفيذ معاملات غير مصرح بها،
مستفيدين من آلية متقدمة لتفويض تنفيذ المعاملات على المحافظ الرقمية،
ما سمح بتحريك كميات كبيرة من العملات المشفرة خارج إجراءات السحب المعتادة للمنصة.
وبحسب التفاصيل المنشورة،
جرى نقل نحو 233.46 مليون وحدة من عملة XRP من خمس محافظ متصلة بالإنترنت خلال أربع دقائق،
قبل أن تمتد التحويلات غير المصرح بها إلى أصول رقمية أخرى.
باينانس تكشف حجم الأصول المتأثرة وخطة تعويض المستخدمين
وقدرت باينانس قيمة الأصول الرقمية التي تأثرت بالحادث بنحو 6.34 مليار دولار،
لكنها أكدت أن هذا الرقم يمثل قيمة الأصول التي شملها الهجوم، وليس بالضرورة صافي الخسائر النهائية بعد عمليات التجميد والاسترداد.
وأعلنت المنصة أنها تمكنت من تجميد أو اعتراض أصول تُقدر قيمتها بنحو 2.85 مليار دولار،
وفق التحديث المنشور في 3 نوفمبر،
مع استمرار العمل على تتبع التحويلات والتعاون مع الجهات المختصة وشركات تحليل البلوك تشين.
وأكدت باينانس أنها ستتحمل الأثر المالي للحادث ولن تنقله إلى العملاء،
موضحة أنها خصصت احتياطيات تتجاوز قيمة الأموال اللازمة لتغطية الأصول المتأثرة.
وأضافت أن نحو 98% من الأصول الرمزية المتضررة كانت قد أُعيد توفيرها بحلول 31 أكتوبر،
مع استمرار العمل على شراء الأصول المتبقية الأقل سيولة.
كما أعلنت الشركة اتخاذ إجراءات أمنية إضافية،
شملت إعادة بناء بعض الأنظمة المتأثرة في بيئة جديدة،
ومراجعة صلاحيات الوصول والتوقيع على المعاملات،
وتعطيل بيانات الاعتماد المرتبطة بالأجهزة والحسابات التي تعرضت للاختراق.
اتهامات لمجموعة قرصنة كورية شمالية والتحقيقات مستمرة
وفي تطور مرتبط بالحادث،
نسب مكتب التحقيقات الفيدرالي الأمريكي الهجوم إلى مجموعة قرصنة مرتبطة بكوريا الشمالية،
بينما رفضت بيونغ يانغ الاتهامات ووصفتها بأنها غير صحيحة.
ولا تزال التحقيقات جارية لتحديد جميع الجهات والأفراد المشاركين في العملية،
وتتبع مسار الأصول الرقمية التي جرى تحويلها،
وتقييم نقاط الضعف التي سمحت للمهاجمين بالوصول إلى الأنظمة الداخلية.
وتعكس الواقعة تصاعد المخاطر الأمنية التي تواجه منصات تداول العملات المشفرة،
إذ لم تعد الهجمات تعتمد فقط على استغلال الثغرات التقنية المباشرة،
بل أصبحت تستهدف العنصر البشري وسلاسل توريد البرمجيات والأدوات الداخلية،
بما في ذلك تطبيقات الذكاء الاصطناعي.
وتضع حادثة باينانس شركات التكنولوجيا والخدمات المالية أمام تحدٍ جديد يتعلق بتأمين أجهزة الموظفين والتحقق من مصادر البرامج المستخدمة،
إلى جانب تشديد الرقابة على صلاحيات الوصول إلى المحافظ الرقمية.
كما تبرز أهمية الحذر من عروض التوظيف والملفات البرمجية غير الموثوقة،
حتى عندما تبدو جزءًا من إجراءات مهنية طبيعية.
