04.11.2026 11:33
شاركت بورصة العملات المشفرة باينانس أول تقرير تحقيق بشأن الهجوم الذي وقع في 29 أكتوبر/تشرين الأول وبلغت قيمته نحو 6.34 مليار دولار. ووفقًا للتقرير، فقد حمّل المهاجمون، بعد تحضير استمر أشهرًا، برنامجًا خبيثًا على حاسوب مهندس عبر مقابلة عمل وهمية، ثم استغلوا أداة ذكاء اصطناعي داخل الشركة للوصول إلى أنظمة المحافظ.
يشير تقرير البورصة إلى أن السرقة التي وقعت في 29 أكتوبر لم تحدث عبر خرق أمني واحد. فقد تتابعت محاولات خداع الموظفين، والبرمجيات الخبيثة، وبيانات الاعتماد المسروقة. وأكدت Binance أن التحقيق مستمر وأن النتائج ستُفحص بشكل إضافي من قبل خبراء مستقلين.
اختراق حاسوب عبر مقابلة عمل مزيفة
استهدفت المحاولة الأولى في يونيو مهندسًا يعمل في البنية التحتية للمحفظة. فبينما كان المهندس يبحث عن أداة برمجة بالذكاء الاصطناعي لتثبيتها، نزّل ملف تثبيت Homebrew معدلًا. وعندما اكتشف فريق الأمن الحالة غير الطبيعية، استبدل الحاسوب وجدد بيانات الاعتماد ذات الصلة. لكن بحسب Binance، كان المهاجم قد تعرف على مهام الموظف ومعلومات عن زملائه في الفريق نفسه.
وفي سبتمبر، تم التواصل مع مهندس برمجيات آخر عبر منصة بحث عن عمل حقيقية. وانتحل أشخاص صفة مديرين في شركة وهمية وأجروا مع الموظف مقابلة من مرحلتين. وشارك ممثل الموارد البشرية في المقابلة الأولى حسابًا على وسائل التواصل الاجتماعي يحتوي على صور وفيديوهات شخصية لكسب الثقة.
وفي نهاية المقابلة الثانية، طُلب من المهندس تنزيل واجب برمجي على حاسوب العمل. وأثناء التثبيت، عدّل كود خبيث أحد مكونات أداة تطوير شرعية على الحاسوب. وأبلغت الشركة أن البرمجيات الخبيثة لم تكتشفها أدوات الأمان الموجودة على الجهاز في ذلك الوقت، وأنها أخفت أنشطتها ومحت آثارها.
واستفاد المهاجم في 20 أكتوبر من الحاسوب الذي سيطر عليه ومن أداة ذكاء اصطناعي داخل الشركة للوصول إلى جهازي مهندسين في فريق المحفظة. وكان في أحد هذين الجهازين بيانات تفويض تُستخدم لتشغيل برمجيات على النظام.
وبعد تسعة أيام، استُخدمت بيانات الاعتماد هذه لتشغيل نص برمجي خبيث. وبذلك وصل المهاجم إلى الخدمة الداخلية التي توقّع معاملات المحفظة، وبدأ تحويلات خارج عملية السحب العادية. وبحسب التقرير، تقدم الاختراق الذي بدأ من أجهزة الموظفين إلى مرحلة نقل الأصول عبر الاستخدام المشترك لصلاحيات في أنظمة مختلفة.
إيقاف عمليات السحب لم يوقف التحويلات فورًا
لم يكن إيقاف Binance لعمليات السحب كافيًا لمنع جميع التحويلات غير المصرح بها على Ethereum. فقد منح المهاجم عبر ميزة EIP-7702 عقدًا ذكيًا تحت سيطرته صلاحية تنفيذ معاملات باسم إحدى محافظ البورصة الساخنة.
وبما أن هذه الصلاحية سارية مباشرة على الشبكة، فإنها لم تزل بإغلاق خدمات السحب العادية. واضطرت البورصة إلى تنفيذ معاملات إضافية لإلغاء الصلاحية. ونظرًا لأن بنية المحفظة توزع صلاحية التوقيع على أكثر من طرف، لم يكن هناك مفتاح خاص واحد يمكن استخدامه فورًا للإلغاء. كما أن إعداد الفريق لإجراء إلغاء خاص أدى إلى إطالة مدة التدخل.
وذكر التقرير أن آخر تحويل غير مصرح به كان معاملة بنحو 2,962 ETH سبق إرسالها إلى الشبكة وبقيت معلقة. وأوضحت Binance أن التفويض الخبيث في المحفظة المعنية تم تنظيفه لاحقًا.
وأبلغت البورصة أنها أغلقت نقاط الدخول المستخدمة في الهجوم، وأعادت بناء نظام المحفظة المتأثر في بيئة جديدة، وجددت أداة الذكاء الاصطناعي الداخلية مع ضوابط الوصول. كما استُبدلت الأجهزة المخترقة، وأُلغيت بيانات اعتماد الموظفين المعنيين، وأُجريت عمليات فحص أمني إضافية على أجهزة الموظفين.
وستطلب Binance من خبراء أمن سيبراني مستقلين فحص الحادثة بشكل شامل والتحقق من النتائج الأولية. وأعلنت الشركة أيضًا أنها ستزيد الاستثمارات في حماية بيئات المطورين واكتشاف السلوكيات غير الطبيعية، وأنها تعمل على صندوق بحث يركز على أمن الذكاء الاصطناعي.