كشفت Binance في تقريرها الأولي عن حادثة 29 أكتوبر 2026 أن الهجوم الذي أصاب أصولاً تقدرها بنحو 6.34 مليار دولار كان حملة متعددة المراحل، لا اختراقاً منفرداً ولا هجوم تصيد بسيطاً. وقالت المنصة في التقرير، المنشور في 3 نوفمبر 2026، إن المهاجمين جمعوا بين مقابلات توظيف وهمية وبرمجيات خبيثة وأداة ذكاء اصطناعي داخلية مخترقة واختراق أجهزة وطريقة متقدمة لتفويض المعاملات.
وبحسب Binance، بدأت الحملة في يونيو 2026 حين نزل مهندس في فريق تشغيل المحافظ (Wallet DevOps) نسخة معدلة من مثبت Homebrew بعد أن بحث في أحد محركات البحث عن أداة برمجة بالذكاء الاصطناعي. ورصد فريق الأمن الشذوذ فاستبدل الجهاز وغير بيانات الاعتماد المرتبطة به، لكن دور المهندس وزملائه في فريق بنية المحافظ كان قد انكشف للمهاجم.
وفي سبتمبر تواصل شخص ينتحل صفة مدير مشروع، عبر منصة توظيف مشروعة، مع مهندس برمجيات آخر كان ملفه على المنصة يذكر خبرته في Binance. وأجرى معه مسؤول موارد بشرية مزعوم مقابلة بالفيديو شارك فيها المحاور حساباً اجتماعياً يضم صوراً ومقاطع شخصية ليكسب ثقته، وهو أسلوب وصفته Binance بأنه أكثر تقدماً وخداعاً مما شهدته سابقاً. ثم جرت مقابلة ثانية عبر تطبيق دردشة اجتماعي مع من ادعى أنه الرئيس التنفيذي لشركة وهمية.
وفي نهاية المقابلة الثانية طلب من المهندس تنزيل “تكليف” على حاسوب عمله، وهو مستودع برمجي نفذ كوداً خبيثاً أثناء الإعداد. وقالت Binance إن البرمجية استخدمت تقنيات تعمية وإخفاء، منها استبدال مكون مشروع من أداة تطوير بنسخة خبيثة، وإنها من نوع يوم الصفر فلم ترصدها أدوات حماية الأجهزة وقتها.
وفي 20 أكتوبر استخدم المهاجم حاسوب هذا المهندس وأداة ذكاء اصطناعي داخلية للوصول إلى حاسوب مهندس تشغيل المحافظ الذي أصيب في يونيو وحاسوب مهندس برمجيات ثالث، ووجد على حاسوب الأول رمز صلاحية لنشر الحاويات. وفي 29 أكتوبر، بين الساعة 17:15 و19:56، دخل حاسوب المهندس الثالث ببيانات الاعتماد المسروقة من الأول، ونشر حاوية، وشغل سكربتاً أطلق الهجوم عبر وصول غير مصرح به إلى خدمة توقيع المحافظ الداخلية، لبدء معاملات خارج مسار السحب المعتاد.
وبدأت التحويلات بين 20:05 و20:09 بتوقيت UTC، ثم استغل المهاجم آلية EIP-7702 في Ethereum لمنح عقد ذكي يتحكم فيه صلاحيات تنفيذ جزئية على إحدى المحافظ الساخنة. ولم يوقف تعليق السحب هذه التفويضات لأنها قائمة على السلسلة، ولم يكن في المحفظة مفتاح واحد يلغيها لأنها تعتمد الحوسبة متعددة الأطراف (MPC)، فنفذ الفريق إجراء خاصاً أنهى التفويض عند 00:10 بتوقيت UTC في 30 أكتوبر.
وقدرت Binance الأصول المتأثرة بنحو 6.34 مليار دولار، بلغت المجمدة أو المعترضة منها نحو 2.85 مليار دولار، وقالت إنها ستتحمل الخسارة وإن 98% من الأصول المتأثرة عوضت حتى 31 أكتوبر. ويختلف هذا الرقم عن تقدير شركة Elliptic البالغ 6.43 مليار دولار لما حول إلى المهاجم وقت السرقة، دون 169 مليون دولار خرجت بعد تعليق السحب، وعن تقدير TRM Labs البالغ نحو 6.36 مليار دولار بأسعار وقت النقل، وتصف TRM الحادثة بأنها أكبر سرقة عملات مشفرة مسجلة.
وأوردت Binance أن أحدث معلومات مكتب التحقيقات الفيدرالي الأمريكي (FBI) تشير إلى مسؤولية كوريا الشمالية، وهو ما عرضه مقالنا السابق، وأن فريقها رصد ومنع 57 حالة تهديد مشتبهاً بارتباطها بكوريا الشمالية منذ بداية 2026. وأعادت بناء نظام المحافظ المتأثر والأداة الداخلية، واستبدلت الأجهزة، وعززت ضوابط المحافظ، وتستعين بجهات مستقلة لمراجعة النتائج. وتصف تقريرها بأنه أولي، وتقول إن التحقيق مستمر وإن بعض تفاصيله التقنية ستبقى سرية.
