كشفت منصة باينانس تفاصيل هجوم إلكتروني معقد استهدف بنيتها الأمنية في 29 أكتوبر الماضي. وأدى إلى تحويل أصول رقمية بقيمة تناهز 6.34 مليارات دولار إلى محافظ يتحكم فيها القراصنة.
وأظهر التحقيق الأولي الذي نشرته المنصة، الثلاثاء 3 نونبر 2026، أن المهاجمين اعتمدوا حملة منظمة امتدت لعدة أشهر. واستخدموا برمجيات خبيثة ومقابلات توظيف وهمية لاختراق أجهزة موظفين والوصول إلى أنظمة إدارة المحافظ الرقمية.
وفي المقابل، أكدت باينانس أنها عوضت 98 في المائة من الأصول المتضررة باستخدام أموالها الخاصة. بينما تواصل شراء الأصول المتبقية، التي يصعب الحصول عليها بسبب محدودية تداولها في الأسواق.
وأوضحت المنصة أن شركاءها ساعدوا في تجميد أو اعتراض أصول بقيمة تقارب 2.85 مليار دولار من إجمالي الأصول المتأثرة. وشددت على أنها ستتحمل الخسائر المالية المرتبطة بالحادث، دون تحميل المستخدمين تبعاتها.
باينانس تكشف تفاصيل اختراق بدأ قبل أشهر
أظهر التحقيق أن القراصنة بدأوا التحضير للعملية في يونيو 2026. وذلك عندما استهدفوا أحد مهندسي فريق تطوير وتشغيل المحافظ الرقمية.
واستغل المهاجمون رغبة المهندس في تثبيت أداة للبرمجة، لدفعه إلى تحميل نسخة معدلة من برنامج “هومبرو” (Homebrew)، المعروف باستخدامه بين المطورين.
واحتوت النسخة المحملة على برمجية خبيثة، مكنت المهاجمين من جمع معلومات عن الموظف وطبيعة عمله وزملائه داخل الفريق المسؤول عن البنية التحتية للمحافظ.
ورصدت فرق الأمن السيبراني في باينانس النشاط المشبوه، وعملت على استبدال الجهاز المتضرر وتغيير بيانات الاعتماد المرتبطة به. لكن المهاجمين كانوا قد حصلوا بالفعل على معلومات ساعدتهم في تحديد موظفين آخرين واستهدافهم لاحقا.
مقابلات توظيف وهمية لاختراق أجهزة الموظفين
انتقل القراصنة في شتنبر إلى مرحلة جديدة من الهجوم، بعدما تواصلوا مع مهندس برمجيات آخر عبر منصة موثوقة للبحث عن فرص العمل.
وانتحل أحد المهاجمين صفة مدير مشاريع في شركة وهمية، وعرض على الموظف إجراء مقابلة توظيف. ثم استعان بشخص آخر قدم نفسه باعتباره مسؤولا عن الموارد البشرية. قبل ترتيب مقابلة ثانية مع شخص ادعى أنه المدير التنفيذي للشركة.
ولكسب ثقة المهندس، أجرى المهاجمون معه مقابلة عبر الفيديو. وشاركوا معه حسابا على مواقع التواصل الاجتماعي يتضمن صورا ومقاطع فيديو شخصية.
وبعد بناء علاقة ثقة، طلبوا منه تحميل ملف يتضمن اختبارا تقنيا، باعتباره جزءا من إجراءات التوظيف. غير أن الملف احتوى على شيفرات خبيثة استهدفت جهاز العمل الخاص بالمهندس.
واستخدمت البرمجية تقنيات متقدمة للتمويه وتجاوز أنظمة الحماية، من خلال استبدال أحد مكونات أداة تطوير أصلية بنسخة خبيثة. كما مكن ذلك القراصنة من تنفيذ أوامر والتواصل مع خادم خارجي يتحكمون فيه.
وأشارت باينانس إلى أن أنظمة الحماية لم تتمكن من اكتشاف هذه البرمجية عند تنفيذها. بينما حاول المهاجمون إخفاء آثار الاختراق وتعقيد عملية رصده.
أداة ذكاء اصطناعي مهدت للسيطرة على أنظمة المحافظ
وفي 20 أكتوبر، استغل المهاجمون الجهاز المخترق للمهندس، إلى جانب أداة داخلية للذكاء الاصطناعي، للوصول إلى أجهزة مهندسين آخرين يعملون ضمن فريق المحافظ الرقمية.
وكشف التحقيق أن القراصنة تمكنوا خلال هذه المرحلة من الوصول إلى بيانات اعتماد وصلاحيات تسمح بنشر حاويات برمجية داخل الأنظمة المستهدفة.
وبعد تسعة أيام، استخدم المهاجمون هذه الصلاحيات لتشغيل شيفرة خبيثة والوصول إلى خدمة داخلية مسؤولة عن توقيع معاملات المحافظ الرقمية.
وأدى ذلك إلى تنفيذ تحويلات غير مصرح بها خارج المسار المعتاد لعمليات السحب، مستغلين ثغرات في آليات تفويض المعاملات وإدارة المحافظ الساخنة.
ووفق تقرير باينانس، بدأت التحويلات الكبيرة في 29 أكتوبر. وذلك عندما نقل المهاجمون نحو 233.46 مليون وحدة من عملة XRP من خمس محافظ ساخنة إلى عنوان يتحكمون فيه.
كما استولوا على كميات من عملات سولانا وأوبتيميزم، قبل تحويل نحو 18.270 وحدة من بيتكوين. واستمرت التحويلات غير المصرح بها إلى حين نجاح المنصة في إبطال التفويضات الخبيثة.
2.85 مليار دولار مجمدة والتحقيق لا يزال مستمرا
واجهت باينانس صعوبات تقنية في احتواء الهجوم، لأن إيقاف عمليات السحب وتعطيل خدمات المحافظ الساخنة لم يؤديا تلقائيا إلى إلغاء التفويضات المسجلة على شبكة البلوكشين.
واحتاجت فرقها إلى تنفيذ إجراءات تقنية متخصصة لإبطال الصلاحيات التي استغلها المهاجمون، قبل وقف التحويلات غير المصرح بها.
وفي حصيلتها الأولية، أعلنت المنصة تجميد أو اعتراض أصول بقيمة 2.85 مليار دولار، إلى جانب إعادة توفير 98 في المائة من الأصول المتضررة، اعتمادا على مواردها المالية.
كما أكدت إعادة بناء الأنظمة المتضررة وأداة الذكاء الاصطناعي الداخلية، واستبدال الأجهزة المعنية، وإلغاء بيانات الاعتماد والصلاحيات التي تعرضت للاختراق.
وفي سياق تحديد المسؤوليات، أعلن مكتب التحقيقات الفدرالي الأميركي (FBI) أن كوريا الشمالية تقف وراء الهجوم. لكن بيونغ يانغ رفضت الاتهامات، ووصفتها شقيقة الزعيم الكوري الشمالي كيم جونغ أون بأنها “عبثية”.
وتعتزم باينانس الاستعانة بخبراء مستقلين في الأمن السيبراني لمراجعة نتائج التحقيق وتقييم الإجراءات المتخذة. كما أعلنت توجهها إلى تعزيز الاستثمار في تقنيات الذكاء الاصطناعي المخصصة لرصد التهديدات، وتطوير حماية أجهزة الموظفين وبيئات العمل البرمجية.
ويعيد هذا الهجوم تسليط الضوء على مخاطر الهندسة الاجتماعية داخل شركات التكنولوجيا، بعدما استغل القراصنة إجراءات توظيف تبدو طبيعية لاختراق موظفين يمتلكون صلاحيات حساسة. كما يبرز أن تأمين الأصول الرقمية لا يقتصر على حماية الأنظمة التقنية، بل يشمل أيضا حماية العاملين وبيانات الدخول والصلاحيات الداخلية.
