نجحت شركات متخصصة في تتبع العملات المشفرة في تجميد نحو 3 مليارات دولار من الأموال المسروقة من «Binance»، فيما لا تزال مليارات أخرى تتحرك بين شبكات رقمية مختلفة، في محاولة لإبعادها عن متناول المحققين. وبينما تتسابق شركات التتبع والجهات الأمنية لتعقب الأموال، يحاول القراصنة تغيير مساراتها قبل الوصول إليها.

لكن تجميد الأموال المسروقة لا يعني بالضرورة أن أصحابها استعادوها، كما أن اختراق منصة تداول لا يعني حتما أن عملاءها سيفقدون أموالهم، إذ قد تنجح جهود التتبع في وقف نقل الأصول أو التصرف فيها، فيما تستطيع المنصات الاستعانة بالتأمين أو صناديق الطوارئ أو مواردها المالية لتغطية الخسائر وتعويض المتضررين.

وفي حالة Binance، تعهدت الشركة بتحمل الخسائر وأكدت أن أموال المستخدمين آمنة، مستندة إلى مواردها المالية وصندوق الطوارئ SAFU الذي تبلغ قيمته نحو مليار دولار، ويمكن الاستعانة به لتغطية الخسائر عند الحاجة.

لكن امتلاك المنصة احتياطيات مالية لا يعني أن العملاء سيحصلون على أموالهم سريعا، وهو ما تكشفه تجربة منصة التداول النيوزيلندية Cryptopia، التي اضطرت إلى التصفية بعد تعرضها للاختراق في عام 2019 وسرقة عملات رقمية بقيمة تقارب 30 مليون دولار نيوزيلندي، واستغرقت إجراءات التصفية سنوات قبل أن تبدأ أولى عمليات توزيع الأموال على المتضررين في عام 2024.

كيف حدث اختراق Binance

بدأت القصة من حاسوب أحد مهندسي أكبر منصة لتداول العملات المشفرة في العالم، إذ تشير التحقيقات الأولية إلى أن اختراقه أتاح للمهاجمين الوصول إلى نظام داخلي وإرسال طلبات سحب غير مصرح بها. ومع أن «Binance» أكدت أنها ستتحمل الخسائر وأن أموال المستخدمين آمنة، فإن تحديد المسؤولين عن الهجوم واستعادة الأموال التي لم تنجح جهود التجميد في الوصول إليها لا يزالان من أبرز التحديات.

كشفت التحقيقات الأولية التي أعلنتها «Binance» أن المهاجمين استخدموا حاسوب أحد مهندسي الشركة مدخلا إلى أنظمتها، وتمكنوا من خلاله من الوصول إلى حاوية خدمات، وهي بيئة تشغيل داخل النظام، ثم إرسال معاملات سحب لم تأذن بها المنصة.

ولم تعثر الشركة على دليل يشير إلى تسرب المفاتيح الخاصة بالمحافظ الرقمية، التي تتيح التحكم في الأصول الموجودة بها، كما لم تنسب الهجوم إلى شخص بعينه حتى الآن.

ووصف الرئيس التنفيذي المشارك لـ«Binance»، ريتشارد تنغ، الاختراق بأنه لم يكن عملية تتم «بنقرة واحدة»، وإنما هجوما معقدا مر بعدة مراحل. وهو ما يفسر تركيز التحقيق على الطريقة التي انتقل بها المهاجمون من حاسوب المهندس إلى النظام الداخلي، ثم استغلوا إمكانية الوصول لتنفيذ عمليات السحب.

وعقب اكتشاف العملية، أوقفت المنصة الإيداعات والسحوبات مؤقتا لإجراء فحوص أمنية، وإتاحة المجال لشركائها المتخصصين لتعقب الأموال. وأعلنت أنها بدأت استرداد الأصول المتأثرة، مع استمرار التعاون مع شركات تحليل سلاسل الكتل وجهات إنفاذ القانون.

3 مليارات دولار خارج قبضة القراصنة

كان تجميد نحو 3 مليارات دولار من الأموال المسروقة أبرز نتائج التحرك الأولي لشركات تتبع العملات المشفرة، وهو ما يعادل نصف المبلغ المسروق تقريبا. غير أن تجميد الأصول لا يعني بالضرورة استعادتها نهائيا، خصوصا مع استمرار انتقال الأموال عبر شبكات رقمية مختلفة.

ورصدت شركة «Chainalysis» لتحليل العملات الرقمية، تحركات للأصول المسروقة بين عدة شبكات بلوكتشين، من بينها بيتكوين وإيثيريوم، في مؤشر على اتساع نطاق الملاحقة وصعوبة تتبع الأموال بعد انتقالها بين هذه الشبكات.

وتعهدت «Binance» بتغطية جميع الخسائر من أموال الشركة وصندوق مخصص للطوارئ، مؤكدة أن «أموال المستخدمين آمنة». كما توقعت استئناف خدمات السحب بحلول صباح الأحد، بعد انتهاء الفحوص الأمنية وجهود تتبع الأصول.

شبهات كورية شمالية وسجل من السرقات

لم تتوقف التحقيقات عند تحديد نقطة الاختراق، إذ بدأت شركات متخصصة في تحليل المعاملات الرقمية تتبع الجهة المحتملة وراء الهجوم. وتلاقت تقديرات 3 شركات عند الاشتباه في وحدة قرصنة كورية شمالية.

ونسبت «TRM Labs»، وهي شركة لتحليل العملات الرقمية، العملية إلى وحدة قرصنة كورية شمالية متقدمة، استنادا إلى معلومات مستمدة من النشاط الرقمي وخارجه. كما توصلت Pangolin Intelligence، ومقرها سنغافورة، إلى التقدير نفسه بعد تحليل حركة الأموال ومقارنتها بحوادث سابقة.

أما Chainalysis فأعلنت امتلاكها ثقة عالية في مسؤولية كوريا الشمالية، مع استمرار مراقبة انتقال الأصول المسروقة. وتظل هذه الاتهامات تقديرات صادرة عن شركات التتبع، ولم تعلن التحقيقات مسؤولية جهة بعينها رسميا. وكانت شبكة CNN قد تواصلت مع بعثة كوريا الشمالية لدى الأمم المتحدة للتعليق، فيما سبق لبيونج يانج نفي اتهامات مماثلة.

ويستند الاشتباه إلى سجل من الهجمات السابقة المنسوبة إلى قراصنة كوريين شماليين، من بينها سرقة نحو 1.5 مليار دولار من منصة Bybit، وهي إحدى أكبر عمليات الاختراق السابقة في قطاع العملات المشفرة. ويمثل هذا النوع من العمليات، بحسب مسؤولين أميركيين وكوريين جنوبيين حاليين وسابقين، مصدرا مهما للإيرادات بالنسبة إلى النظام الكوري الشمالي الخاضع للعقوبات.

معركة تمتد إلى الجهات الأمنية

تجاوزت جهود استعادة الأموال شركات تحليل البيانات، بعدما أعلن مكتب التحقيقات الفيدرالي الأميركي علمه بالاختراق وتعاونه مع شركاء حكوميين وخواص لتحديد نطاق الهجوم وتقييم آثاره وتنسيق إجراءات التحقيق.

كما أكدت الخدمة السرية الأميركية أن محققيها يعملون على مدار الساعة مع شركاء من القطاع الخاص، بينهم شركة «سيركل»، المطورة للعملة المستقرة USDC، لتعقب الأموال المسروقة وتجميدها واستعادتها. وتشمل جهودها التنسيق مع مكتب المدعي العام الأميركي في مقاطعة كولومبيا وجهات أمنية أخرى لتحديد المسؤولين عن الهجوم ومحاسبتهم.

وتكمن صعوبة هذه المهمة في أن الوصول إلى الأموال لا يضمن استردادها، فقد تلجأ الجهات المسؤولة عن الاختراق إلى شبكات متخصصة في غسل الأموال لإخفاء مصدر الأصول وتغيير مساراتها. وحذر محلل في Pangolin Intelligence من احتمال لجوء القراصنة إلى هذه الشبكات، معتبرا أن «لعبة القط والفأر لم تبدأ إلا للتو».

وتكشف الواقعة أيضا عن طبيعة المخاطر التي تواجه منصات العملات المشفرة، إذ تحتفظ هذه المنصات عادة بالأصول الرقمية نيابة عن مستخدميها، خلافا لمنصات تداول الأسهم، ما يجعلها أكثر عرضة للاختراق والسرقة، خصوصا في ظل محدودية الرقابة التنظيمية على القطاع الناشئ.

وامتدت تداعيات الاختراق إلى التداولات، إذ تراجعت أسعار بيتكوين وإيثيريوم عقب الإعلان عنه، قبل أن تستعيدا جزءا من خسائرهما، مع استمرار تداولهما على انخفاض تراوح بين 2 و3% ظهر الجمعة في هونج كونج.

نجحت شركات التتبع حتى الآن في تجميد نصف الأموال المسروقة تقريبا، فيما تعهدت «Binance» بتغطية خسائر المستخدمين من مواردها وصندوق الطوارئ. أما بقية الأموال، فما زالت تتحرك خارج نطاق التجميد، في معركة يتوقف جانب مهم منها على قدرة المحققين على الوصول إليها قبل أن تتمكن شبكات غسل الأموال من إخفاء مساراتها.