EN
أصدرت بينانس تقريراً أولياً عن الحادث في الثالث من نوفمبر يفصل حملة معقدة متعددة المراحل أدت إلى سرقة 6.3 مليار دولار من محافظها الساخنة في 29 أكتوبر. وعزت المنصة الاختراق إلى قراصنة ترعاهم الدولة الكورية الشمالية، وهو استنتاج أيده مكتب التحقيقات الاتحادي الذي ربط العملية بمجموعة «تريدرترايتور» المرتبطة بمجموعة «لازاروس». ووصف الرئيس التنفيذي المشارك ريتشارد تينغ الهجوم بأنه جهد استمر أشهراً يجمع بين الهندسة الاجتماعية والبرمجيات الخبيثة واستغلال الأنظمة الداخلية، وليس فشلاً منعزلاً. وقد جمدت الشركة أو اعترضت نحو 2.85 مليار دولار من الأصول منذ ذلك الحين، وأعادت تعبئة 98% من الرموز المتضررة باستخدام احتياطياتها.
بدأت العملية في يونيو 2026 حين قام مهندس برمجيات بتنزيل نسخة معدلة من أداة برمجة ذكاء اصطناعي شهيرة بعد النقر على إعلان إلكتروني ضار، بحسب تقييم بينانس. ورغم أن فرق الأمن رصدت البرمجية الخبيثة واستبدلت الجهاز المتأثر مع بيانات الاعتماد ذات الصلة، إلا أن المهاجمين حصلوا على تفاصيل مهمة حول دور المهندس وزملائه في فريق إدارة المحافظ. وقد ساعدت هذه المعلومات في تحديد الأهداف اللاحقة، كما جاء في التقرير. وأشارت بينانس إلى أنها رصدت 57 تهديداً إلكترونياً مشتبهاً في ارتباطه بكوريا الشمالية خلال 2026، كثير منها يعتمد أساليب تجنيد مماثلة.
وفي سبتمبر تواصل شخص مع مهندس آخر عبر منصة بحث عن وظائف مشروعة كان ملفه يسرد خبرته في بينانس، على ما ذكرت المنصة. وانتحل الشخص صفة مدير مشروع ونظم مقابلات، بدءاً بممثل للموارد البشرية شارك محتوى شخصياً من وسائل التواصل الاجتماعي تضمن صوراً ومقاطع فيديو لبناء المصداقية. وخلال مناقشة لاحقة قدمت على أنها اجتماع مع الرئيس التنفيذي لشركة وهمية، طُلب من المهندس تنزيل ما وُصف بأنه مهمة برمجية لكنه احتوى برمجية خبيثة مخفية مصممة للالتفاف على أنظمة الكشف. واستخدم الرمز الضار تقنيات تعمية متطورة وأقام اتصالاً بخوادم يسيطر عليها المهاجمون.
واستغل المهاجمون الجهاز الذي تم اختراقه في سبتمبر مع أداة ذكاء اصطناعي داخلية في 20 أكتوبر للسيطرة على أنظمة مهندسي محافظ إضافيين، كما أوضح جيمي سو كبير مسؤولي الأمن في بينانس خلال إحاطة إعلامية. وحصلوا على رموز أذون النشر وبيانات اعتماد مسروقة مكّنتهم من الوصول العميق إلى بنية توقيع المحافظ. وقالت المنصة إن البرمجية الخبيثة استبدلت مكونات تطوير شرعية لتنفيذ أوامر عن بعد دون اكتشاف. وبنيت هذه المرحلة مباشرة على المعلومات المستقاة من الاختراق الأول في يونيو.
وفي 29 أكتوبر نشر المهاجمون نصاً برمجياً ضاراً مستخدمين بيانات الاعتماد المسروقة، فصرفوا ما يعادل 6.3 مليار دولار من الأصول الرقمية في نحو 20 دقيقة قبل توزيع الأموال عبر شبكات عالمية، وفقاً للجدول الزمني الوارد في تقرير بينانس. وقد أعادت المنصة بناء الأنظمة المتضررة وعززت الضوابط، وكلفت بمراجعة أمنية سيبرانية مستقلة لتقييم الثغرات المتبقية. وقال تينغ على إكس إن سرعة التنسيق في الاستجابة لهذا الحادث لا تقارن بالقطاع المالي التقليدي.
وتستهدف حملات هندسة اجتماعية مماثلة مرتبطة بجهات كورية شمالية قطاع العملات المشفرة منذ سنوات، إذ أصابت عملية معروفة باسم «مقابلة معدية» أكثر من 30 ألف جهاز وأثرت على 7 آلاف محفظة بين ديسمبر 2025 ويوليو 2026، كما وثق باحثو أمن البلوكتشين. ونصحت بينانس موظفيها في المناصب غير العامة بعدم الاحتفاظ بملفات شخصية على منصات التواصل المهني. وأكدت المنصة أنها ستتحمل التأثير المالي الكامل وتواصل التعاون مع السلطات الأمنية في جهود استعادة الأصول.
