في 29 أكتوبر 2026، استنزف مهاجم حوالي 6.15 مليار دولار من بينانس خلال 31 دقيقة، وهي واحدة من أكبر عمليات السرقة في تاريخ العملات الرقمية، أو بالأحرى في تاريخ الإنترنت.
وضعت بينانس الخسائر أولا عند 6.3 مليار دولار؛ أما تتبع شركة تحليلات البلوك تشين BitOK فيضعها عند 6.15 مليار دولار عبر تسعة سلاسل بلوكشين.
لم يسرق المهاجم مفاتيح بينانس الخاصة أبدا. بدلا من ذلك، جعل أنظمة بينانس نفسها توافق على السرقة. يتبع هذا الدليل عملية السرقة بالترتيب ويشرح كل مصطلح تقني على طول الطريق. جميع الأوقات بتوقيت UTC.
الأساسيات: كيف تحرك البورصة الأموال
المحافظ الساخنة هي محافظ عبر الإنترنت في البورصة، تبقى متصلة حتى تخرج السحوبات بسرعة.
توقيع. يجب الموافقة على كل تحويل باستخدام مفتاح المحفظة الخاص، وهو رقم سري. تستخدم البورصات أنظمة آلية لتوقيع آلاف المدفوعات يوميا.
النونسيات هي عداد المعاملات لمحفظة إيثيريوم. العدد الإضافي للمحفظة المشغولة يرتفع باستمرار.
العملات القابلة للتجميد. مصدرو العملات المستقرة مثل Tether (USDT) وCircle (USDC) يمكنهم تجميد العناوين. لا أحد يمكنه تجميد العملات الأصلية مثل BTC أو ETH أو TRX.
28 أكتوبر: التحضير قبل الاختراق
كل معاملة بلوكشين تكلف رسوما صغيرة. لتمويل محافظهم دون ترك أثر، استخدم المهاجم Tornado Cash، وهو "مزج" يجمع عملات العديد من المستخدمين بحيث لا يمكن ربط السحوبات بالودائع.
ستة سحوبات نقدية من تورنادو مولت محفظة المشغل واثنين من المساعدين.
29 أكتوبر، 02:28–16:47 بتوقيت UTC: بروفتان
قبل أن يلمس بينانس، تدرب المهاجم على محافظه الخاصة، كما قد يختبر اللص مفتاح قفل على بابه الأمامي أولا.
كانت الأداة عقدا ذكيا: برنامج يعمل على إيثيريوم ويفعل بالضبط ما يقوله الكود. تم بناء هذا البرنامج لتفريغ أي محفظة تمنحه إذنا للتصرف نيابة عن المحفظة. (ميزة EIP-7702 في إيثيريوم تسمح بهذا النوع من الأصوات؛ المزيد عن ذلك لاحقا.)
- 02:28 — ينشر المهاجم نسخة تجريبية من برنامج التصريف.
- 13:51–14:24 — أول بروفة. يضعون كميات صغيرة من USDT و USDC في محافظتين من محافظهم، ويمنحون برنامج الاختبار الإذن عليها، ويفعلون ذلك. يتم تفريغ كلا المحفظتين. تعمل الأداة.
- 15:59 — ينشرون النسخة النهائية، التي استخدمت لاحقا على بينانس.
- 16:20–16:47 — البروفة الثانية، مع تكرار الاختبار مع النسخة النهائية.
النسخة النهائية كان لها قوة إضافية: يمكنها جعل المحفظة تفعل أي شيء، وليس فقط إرسال الرموز. في تلك الليلة، سمح لها ذلك بطلب محفظة بينانس لإصدار 823 مليون دولار أمريكي. أداة مصممة بهذا الشكل تشير إلى أن المهاجم كان يعرف بالفعل كيف تم إعداد محافظ بينانس.
"كان الفرق بين النسختين حاسما. تضمن العقد الرئيسي وظيفة يمكنها تنفيذ مكالمات عشوائية نيابة عن محفظة كانت قد فوضت لها السيطرة. استخدم المهاجم تلك الوظيفة لاحقا لسحب 823 مليون دولار أمريكي من محفظة ذكية لبينانس،" أوضحت BitOK.
29 أكتوبر، 20:04 بتوقيت UTC: استنزاف ال 31 دقيقة
من الساعة 20:04:52 إلى 20:35:53، قام المهاجم بتفريغ محافظ بينانس الساخنة على XRP Ledger وSolana وBitcoin وEthereum وTron وBase وOptimism وArbitrum وAvalanche. شملت الغنيمة:
- 18,270.2 بيتكوين،
- 197,540 روث
- 2.49 مليار طن أمريكي،
- 823 مليون دولار أمريكي،
- 233.46 مليون XRP,
- 970,522 SOL وعشرات الرموز الأخرى.
كل عملية تحويل كانت موقعة من قبل محافظ بينانس الخاصة. اكتشفت BitOK هذه التحويلات من عاداتهم: الرسوم أعلى بمرتين إلى 2.7 مرة من المعتاد، صيغ معاملات لا يستخدمها برنامج الدفع في Binance، وعلى إيثيريوم، تحويلات وهمية بين مدفوعات العملاء الحقيقية.
قام المهاجم باختراق حاسوب مهندس DevOps، ثم استخدم حاوية خدمة (برنامج مغلف يعمل داخل أنظمة بينانس) لتقديم أوامر سحب مزيفة.
20:20 بتوقيت UTC: خدعة ال 50 مفتاحا
كانت هذه أذكى خطوة في الليلة. كان الهدف محفظة إيثيريوم نشطة تدعى بينانس 14.
الخطة. باستخدام EIP-7702، يمكن للمحفظة توقيع إبلاغ، يسمى التفويض، يسمح للعقد الذكي بالتصرف نيابة عنها. إذا وقعت بينانس 14 عقدا يذكر اسم المهاجم، سيسيطر المهاجم على المحفظة.
المشكلة. الإيصال لا يعمل إلا إذا كان يحمل رقم المعاملة الحالي للمحفظة، وهو رقم غير محدد. بينانس 14 كان يدفع للعملاء باستمرار، لذا كان هذا الرقم يتغير باستمرار. الإيصال الذي يحتوي على رقم خاطئ يتم تجاهله ببساطة.
الحيلة. عند الساعة 20:20:59، جعل المهاجم نظام توقيع بينانس يوقع 50 ورقة في نفس الوقت، كل منها يحمل رقما مختلفا. فكر في الأمر كأنك تحاول استخدام 50 مفتاحا على قفل في نفس اللحظة: يكفي مفتاح واحد فقط أن يناسب. واحد يجب أن يناسب. الآن بدأت بينانس 14 تأخذ الأوامر من عقد المهاجم، لكنها استمرت في العمل بشكل طبيعي، لذا استمر تدفق المال.
المكافأة. بعد دقائق، أدت معاملة واحدة إلى تفريغ 65 رمزا مختلفا بقيمة تزيد قيمتها عن 2.2 مليار دولار، بما في ذلك 1.615 مليار دولار أمريكي و167,464 إيثور. في الساعة 20:41 و20:59، أجبر العقد أيضا على إرسال محفظة بينانس أخرى بمبلغ 823 مليون دولار أمريكي.
بينانس 16. تم سرقة محفظة ساخنة ثانية ببساطة. تم تزويد نظام بينانس بتسعة تحويلات وهمية، وقعها وأرسلها مع مدفوعات عملاء حقيقية. كانت تحمل 28,005.6 إيث و55.7 مليون USDT.
20:30–21:14 بالتوقيت العالمي: سباق العملات غير القابلة للتجميد
على إيثيريوم، غادرت 500 مليون USDT العنوان الرئيسي خلال ست دقائق. بين الساعة 20:34 و21:09، قام المهاجم بتبديل 435 مليون USDT إلى ETH عبر Uniswap، وهي منصة لامركزية تدار بالكود. كما أودع 60 مليون USDT في Aave، وهو بروتوكول إقراض، واقترضوا 19,762 ETH مقابلها، تاركين الضمان القابل للتجميد خلفهم.
على ترون، خرج 612.7 مليون USDT من محفظة Binance-Hot 7. في 16 مبادلة على SunSwap، البورصة اللامركزية الرئيسية لترون، حول المهاجم 234 مليون USDT إلى 638.2 مليون TRX.
سباق التجميد
لتجميد USDT، كانت Tether بحاجة إلى ثلاث موافقات من محفظتها متعددة التواقيع، وهو إعداد يتطلب عدة توقيعات. استغرق كل تجميد حتى دقيقتين و36 ثانية، وكانت الطلبات المعلقة مرئية على السلسلة. كان المهاجم يرى التجميد قادما ويتحرك أولا: فقد تحركت المحافظ بقيمة 130 مليون USDT قبل 48 ثانية فقط من تجميدها. لكن في أحد العناوين تردد المهاجم وخسر ما يقرب من 175 مليون USDT.
كل ال 823 مليون دولار USDC لا تزال موجودة في عنوان واحد وكانت مجمدة في معاملة واحدة.
| مجمد بواسطة تيثر وسيركل | المبلغ |
|---|---|
| إيثيريوم USDT | 1.38 مليار دولار |
| إيثيريوم USDC | 823 مليون دولار |
| ترون USDT | 378.7 مليون دولار |
| انهيار الانهيار USDt | 8.4 مليون دولار |
| المجموع | 2.59 مليار دولار |
قام مصدرون آخرون بتجميد USD1 وXAUt وPAXG وwBETH وFDUSD، بينما أحرق مصدر BEAM 984 مليون رمز مسروق. صادر مجلس الأمن التابع ل Arbitrum، وهو هيئة طوارئ مكونة من 12 عضوا، 8,426 إيثان و74.56 مليون روب مسروق.
تم تجميد أو حرق أو مصادرة حوالي 2.79 مليار دولار إجمالا. ومع ذلك، كان 669 مليون وحدة USDT قد أصبحت بالفعل ETH وTRX.
21:43–00:10 بتوقيت UTC: المحفظة التي استمرت في السرقة
كان بينانس 14 لا يزال تحت سيطرة المهاجم.
- 21:43:59 — شحن Binance الروتيني يرسل 200 مليون USDT إلى Binance 14. بعد اثنتي عشرة ثانية، يجري العقد الحساب. تهبط USDT في عنوان مجمد بالفعل، لكن ما يقرب من 370 إيثان تهرب.
- 22:39 — اكتساح آخر يأخذ 128.49 إيثريف.
- 23:56 — 2,961.91 تم مسح ETH بعد دقيقة من وصوله.
- 00:10:35، 30 أكتوبر — ألغى بينانس أخيرا عملية التسليم.
احتفظ المهاجم بالمحفظة لما يقرب من أربع ساعات.
أين ذهبت قيمة 18,270 بيتكوين
في الساعة 20:20:06، تم نقل 11 معاملة بقيمة 18,270.2 بيتكوين من محفظة ساخنة على بينانس، مع دفع ضعف الرسوم المعتادة. تم تقسيم العملات على 19 عنوانا، 17 منها تحمل 1,000 بيتكوين لكل منها. حتى 30 أكتوبر، لم تتحرك أي منها. دفتر الحسابات العام للبيتكوين يحافظ على قابلية التتبع، لكن لا أحد يستطيع تجميدها.
30 أكتوبر، 04:02: اتصال بيتجيت
أكبر اكتشاف لبيتOK: سرقة أموال بينانس وصلت إلى نفس عنوان إيثيريوم الذي كان يجمع بالفعل عائدات اختراق بيتجيت في سبتمبر 2026.
قام المهاجم بنقل TRX و USDT عبر بروتوكول THORChain، وهو بروتوكول يتبادل العملات عبر البلوكشين، وتلقى ETH عند 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7.
كان هذا العنوان قد تلقى بالفعل ETH مرتبط باختراق Bitget. جاء من عناوين بيتكوين في قائمة محافظ المهاجمين المنشورة لدى Bitget، والتي كانت نشطة منذ 23 أكتوبر، وبدأت باسم ZEC، وهي عملة لم تسرق من بينانس.
بحلول الساعة 06:20، كانت قد أخذت ثمانية مدفوعات مرتبطة ب Bitget (349.46 ETH) وخمس مدفوعات مرتبطة بBinance (13.63 ETH)، ثم أرسلت الأموال المختلطة إلى محافظ جديدة. العنوان المشترك وحده لا يحدد من يقف وراء أي من الاختراقين.
هل كانت كوريا الشمالية؟
كلا الهجومين تضمنيا اقتحام أنظمة داخلية دون سرقة مفاتيح خاصة، وألقت Bitget باللوم على كوريا الشمالية في اختراقها. تشير BitOK أيضا إلى خصائص تربطها بمجموعات الكورية الشمالية: التدريبات، تمويل Tornado Cash، تبادل فوري للرموز القابلة للتجميد، والتحضير خلال ساعات العمل UTC+9.
"العنوان المشترك الجديد للغسيل هو دليل أقوى على التداخل التشغيلي من التشابه في التكتيكات فقط. تقيم BitOK أن السرقتين قد تكونان مرتبطتين بنفس المجموعة الكورية الشمالية وأن مشغلا واحدا كان يسيطر على تدفقات الغسيل المرصودة. قالت BitOK إن هذا يبقى نسبا تحليليا، وليس دليلا على الهوية الحقيقية لكل مشارك.
رد بينانس
أوقفت بينانس عمليات السحب من محافظ بيتكوين وترون الساخنة حوالي الساعة 20:36، بينما استمرت الإيداعات. تعهدت بتغطية جميع خسائر العملاء من صندوق الطوارئ SAFU ومواردها الخاصة.
في جميع أنحاء السوق، تم تصفية 1.58 مليار دولار من المراكز المروعة خلال 24 ساعة، وفقا لموقع كوينغلاس.
ماذا يحمل المهاجمون الآن؟
حتى الساعة 06:20 من 30 أكتوبر، ربطت BitOK المهاجم ب:
- 197,460 روث
- 18,270.2 بيتكوين،
- 233.46 مليون XRP,
- حوالي 970,500 سول،
- 675.9 مليون TRX,
- و1.61 مليون AVAX.
كانت قيمة ETH وBTC وXRP وSOL وحدها تقدر قيمتها حوالي 2.95 مليار دولار.
استولى المهاجمون على النظام الذي يوقع على سحب بينانس. شاركت BitOK دروسا يمكن تعلمها من اختراق بينانس لصناعة العملات الرقمية.
"حادثة بينانس تظهر لماذا أمان المفاتيح الخاصة وحدها غير كاف. تحتاج البورصات أيضا إلى ضوابط على سلطة التوقيع، وحماية ضد تعليمات السحب المشبوهة، وإلغاء الأذونات المخترقة بسرعة، والمراقبة المستمرة لتحركات الأصول عبر الشبكات."
