أدت استجابة منسقة شاركت فيها جهات إصدار العملات المستقرة ووكالات إنفاذ القانون الأمريكية وشركات تحليل البلوكشين والشبكات ومنصات التداول إلى تجميد أو مصادرة ما يقرب من 2.8 مليار إلى 3 مليارات دولار من الأصول المشفرة المرتبطة بسرقة بينانس المبلغ عنها بقيمة 6.3 مليار دولار في غضون أيام من الهجوم، وفقاً لشركتي Chainalysis وElliptic.
تركزت الاستجابة على العملات المستقرة، حيث يمكن لجهات الإصدار إدراج العناوين في القائمة السوداء وإيقاف التحويلات. جمّدت Tether أكثر من 1.567 مليار USDT، بينما حجبت Circle نحو 823 مليون دولار من USDC، ما وضع أكثر من 2.3 مليار دولار من حيازات العملات المستقرة المسروقة خارج متناول المهاجم. وقالت Elliptic إن المبلغ المجمّد أو المصادر الذي تحققت منه بلغ نحو 2.85 مليار دولار، مقابل خسائر إجمالية مقدّرة بـ 6.43 مليار دولار.
يعكس حجم التدخل كيف تعتمد جهود الاسترداد بشكل متزايد على التنسيق السريع عبر البلوكشين العامة بدلاً من الضوابط الداخلية لشركة واحدة. وكان الكثير من العملات المشفرة المسروقة المتبقية يتكون من أصول مثل ETH وBTC، التي تفتقر إلى جهة إصدار قادرة على تجميد الأرصدة مباشرة.
تحرّكت جهات إصدار العملات المستقرة في غضون دقائق
شكّل إجراء Tether أكبر حصة من الأصول المجمّدة. حجبت الشركة تحويلات شملت أكثر من 1.567 مليار USDT بعد وصول الأموال إلى ما حددته عمليات تتبع البلوكشين باعتباره محفظة المهاجم الرئيسية على إيثيريوم. وأشارت التقارير الأولية إلى تجميد نحو 1.18 مليار USDT، تلاه بعد 17 دقيقة إجراء ثانٍ طال أربعة عناوين مرتبطة بالمهاجم.
جمّدت Circle أكثر من 800 مليون دولار من USDC المرتبطة بالحادثة نفسها، ليصل الإجمالي المبلغ عنه إلى نحو 823 مليون دولار. وجاء إجراء USDC بعد أول تجميد من Tether بنحو ثلاث دقائق، وجرى بالتنسيق مع إنفاذ القانون، وفقاً للمواد المقدمة.
معاً، غطّى تجميد USDT وUSDC نحو 94% من العملات المستقرة المحددة ضمن الأصول المسروقة، والمركّزة إلى حد كبير على إيثيريوم وTRON. وتُظهر النتيجة الحدود العملية التي تواجه المهاجمين الذين يسرقون عملات مستقرة صادرة مركزياً: فقد يتحكمون بالمفاتيح الخاصة، لكن قابلية النقل يمكن أن تختفي بمجرد أن تدرج جهة الإصدار محفظة في القائمة السوداء.
مكتب التحقيقات الفيدرالي ينسب العملية إلى TraderTraitor
نسبت وحدة الجرائم الإلكترونية في مكتب التحقيقات الفيدرالي السرقة إلى مجموعة كورية شمالية تعمل تحت اسم TraderTraitor في إشعار عام بتاريخ 31 أكتوبر. وحدد المكتب أكثر من 600 عنوان إيثيريوم، ونحو 20 عنوان بيتكوين، وعنواناً واحداً على Solana، على أنها مرتبطة بالنشاط.
بعد الإعلان عن نسب الهجوم، دعت FBI وU.S. Secret Service وIRS Criminal Investigation مزوّدي البنية التحتية وشركات العملات المشفرة إلى حظر المعاملات المرتبطة بالمحافظ المدرجة وأي عناوين ذات صلة. وشمل الطلب عُقد THORChain، ومشغلي الاستدعاء الإجرائي عن بُعد (RPC)، وخدمات المبادلة الفورية، وبروتوكولات DeFi، وشركات تحليل البلوكتشين، ومزوّدي خدمات الأصول الافتراضية.
قالت U.S. Secret Service إنها تواصلت مع المشاركين في القطاع خلال دقائق من الحادث. وأضافت أن مدعين اتحاديين في واشنطن العاصمة والمنطقة الوسطى من كاليفورنيا شاركوا إلى جانب مكونات وزارة العدل.
اعتمدت عمليات القرصنة الكورية الشمالية مراراً على عمليات مبادلة سريعة للأصول، ومعاملات الجسور، وعدد كبير من المحافظ المنشأة حديثاً لإعاقة التتبع. وفي هذه الحالة، يبدو أن سرعة عمليات التجميد الأولى حالت دون تحرك نسبة كبيرة من رصيد العملة المستقرة عبر تلك العملية.
توسّع التتبع من مئات المحافظ إلى آلافها
جمعت شركات استخبارات البلوكتشين Elliptic وChainalysis وTRM Labs وSlowMist بيانات العناوين وراقبت حركة الأصول المسروقة. ونشرت Elliptic قائمة سوداء قابلة للتنزيل نمت من مئات العناوين إلى آلاف، ثم إلى عشرات الآلاف لاحقاً، مع تتبع المحققين للمعاملات عبر محافظ جديدة.
أفادت Chainalysis بأن نحو 2.8 مليار دولار جُمّدت بحلول الساعة 11:30 صباحاً بالتوقيت الشرقي في 3 نوفمبر. وقالت الشركة إن المحققين شاركوا خيوطاً مع شركاء في القطاع لتحديد الأصول وحظرها، محذرين من أن استخدام المهاجم لآلاف العناوين قد يتوسع إلى عشرات الآلاف خلال الأسابيع التالية.
قالت TRM Labs إنها تثق بدرجة عالية في نسب الهجوم إلى TraderTraitor، مستشهدة بأنماط قارنتها بخروقات Bybit عام 2025 وقضية KelpDAO في أبريل 2026. ووصفت SlowMist سلسلة هجوم تضمنت EIP-7702، وهو معيار إيثريوم قد يسمح لحساب مملوك خارجياً باستخدام شيفرة عقد ذكي مؤقتاً. وبحسب SlowMist، تدرب المهاجم لساعات قبل استخدام التقنية في سرقة جماعية استهدفت رموز المحافظ الساخنة.
من شأن الهجوم المذكور أن يُصنّف أكبر سرقة عملات مشفرة مسجلة، متجاوزاً بأكثر من أربعة أضعاف مبلغ 1.5 مليار دولار تقريباً الذي سُرق من Bybit في فبراير 2025. كما تُظهر المقارنة مدى اتساع التحدي التشغيلي عندما يبدأ المهاجمون بمليارات الدولارات موزعة على عدة سلاسل وأنواع أصول.
استخدمت الشبكات صلاحيات الحوكمة الطارئة
استخدمت Arbitrum وOptimism تدابير طارئة تقودها الحوكمة لنقل الرموز من عناوين يسيطر عليها المهاجم إلى محافظ تجميد. نقل مجلس الأمن لدى Arbitrum حوالي 8,426 ETH ونحو 74.56 مليون ARB في 30 أكتوبر، وهي أصول قُدّرت بنحو 30.5 مليون دولار في المواد المقدمة.
حرّكت حوكمة Optimism نحو 44 مليون OP، بقيمة تقارب 5 ملايين دولار. بلغ إجمالي هذه التدخلات نحو 35 مليون دولار، وتُظهر أن بعض شبكات الطبقة الثانية يمكنها التصرف بشكل أكثر مباشرة من شبكات الطبقة الأساسية عندما تسمح هياكل الحوكمة بضوابط طارئة.
جمّدت World Liberty Financial بشكل منفصل أصولًا مرتبطة بالهجوم، بما في ذلك نحو 27 مليون دولار من USD1 وما قيمته حوالي 2 مليون دولار من WLFI. وقالت المنظمة إنها تخطط للعمل مع BitGo على التعامل مع الأصول المتأثرة.
يمكن لمثل هذه التدابير الحفاظ على الأصول أثناء سرقة نشطة، لكنها تضع أيضًا سلطة الطوارئ في أيدي مجالس الأمن أو ناخبي الحوكمة أو جهات إصدار الرموز. وقد أصبحت هذه المقايضة أكثر وضوحًا مع تصميم الشبكات لدفاعات ضد الاستغلالات واسعة النطاق.
احتوت بروتوكولات DeFi الأموال المقترضة
استخدم المهاجم أيضًا أموالًا مسروقة في التمويل اللامركزي قبل تطبيق قيود على مستوى البروتوكول. أظهرت بيانات على السلسلة إيداع نحو 60 مليون USDT في Aave V3، تلاه اقتراض نحو 19,762 WETH، بقيمة تقارب 44.6 مليون دولار في ذلك الوقت.
استجابت Aave بإيقاف الإيداعات والاقتراضات الجديدة عبر مئات من احتياطيات الأسواق التي تديرها DAO على V3 وV4. وظلت عمليات السحب والسداد والتصفية متاحة، مما سمح للمستخدمين بتقليص المراكز والحفاظ على صحة الأسواق القائمة مع وقف التعرض الجديد المرتبط بضمانات مخترقة.
شاركت أيضًا منصات مركزية من بينها OKX وCoinbase وBybit في تدابير تهدف إلى اعتراض التحويلات من محافظ مخترقة. وتمثل الأصول التي لا تزال قابلة للحركة مسار استرداد أكثر صعوبة، لا سيما إذا وصلت إلى مكاتب التداول خارج البورصة أو خدمات الخلط أو منافذ الخروج من البورصات قبل تحديدها.
ذُكر أن المهاجم لا يزال يسيطر على نحو 420,000 ETH و18,270 BTC، وهي بقيمة تقارب 2.4 مليار دولار وفق المواد المقدمة. وعلى عكس USDT وUSDC والرموز الخاضعة للحوكمة، لا يمكن لمُصدر الرموز تجميد Bitcoin وEther. وسيعتمد استردادهما على التتبع أو مصادرة الأصول أو تحديد نقطة تدخل فيها الأموال إلى خدمة خاضعة للتنظيم تكون راغبة أو ملزمة بالتحرك.
تعرّف على كيفية حماية منصات التداول للأموال بعد الاختراقات الكبرى في هذا الدليل التفصيلي للاسترداد.
إخلاء المسؤولية: يُقدَّم المحتوى الموجود في هذه الصفحة لأغراض معلوماتية عامة فقط، ولا يمثل آراء Toobit أو نصائحها المالية. لا نقدم أي ضمانات بشأن دقة أو اكتمال هذه المعلومات، ولا نتحمل المسؤولية عن أي أخطاء أو سهو أو نتائج تنجم عن استخدامها. ينطوي الاستثمار في الأصول الرقمية على مخاطر؛ ويجب على المستخدمين تقييم وضعهم المالي والمخاطر المعنية بشكل مستقل. لمزيد من التفاصيل، يُرجى الرجوع إلى شروط الخدمة و الإفصاح عن المخاطر.
