FBI يحدد هوية قراصنة كوريين شماليين وراء سرقة 6.3 مليار دولار من Binance

أكد FBI أن قراصنة مدعومين من كوريا الشمالية يُعرفون باسم TraderTraitor كانوا مسؤولين عن هجوم سرقة عملات مشفرة بقيمة 6.3 مليار دولار من Binance، ما يجعله أكبر عملية سرقة للعملات المشفرة على الإطلاق.

وفي تنبيه أمني نُشر في 1 نوفمبر، نسبت الوكالة الهجوم إلى TraderTraitor، المعروف أيضاً باسم Lazarus Group وJade Sleet وAPT38، والمرتبط بعمليات سرقة متعددة للعملات المشفرة.

وقال FBI: «يُصدر مكتب التحقيقات الفيدرالي (FBI) معلومات تفيد بأن جمهورية كوريا الشعبية الديمقراطية (كوريا الشمالية) كانت مسؤولة عن سرقة أكثر من 6 مليارات دولار من الأصول الافتراضية من منصة تداول العملات المشفرة Binance، في أو حوالي 29 أكتوبر 2026».

وتأتي هذه النسبة الرسمية بعد نتائج سابقة لشركتي استخبارات blockchain، TRM Labs وChainalysis، اللتين ربطتا السرقة بالفعل بـ TraderTraitor.

وكانت Binance قد ربطت الاختراق في وقت سابق بحاسوب محمول لمهندس DevOps مخترق، ما سمح للمهاجمين بالوصول إلى حاوية خدمة وتقديم معاملات سحب غير مصرح بها.

وسرق المهاجمون ما يقرب من 6.36 مليار دولار من العملات المشفرة عبر عشر شبكات blockchain، مع تحويل معظم الأموال في 20 دقيقة فقط.

ولاحظ FBI أن TraderTraitor يحوّل الأصول المسروقة بشكل أساسي إلى Ethereum (ETH)، ويتوقع أن تُغسل لاحقاً عبر منصات التمويل اللامركزي (DeFi) وخدمات مبادلة العملات المشفرة الفورية.

ويحث FBI وU.S. Secret Service وIRS Criminal Investigation الآن منصات تداول العملات المشفرة ومشغلي blockchain ومقدمي خدمات الأصول الافتراضية الآخرين على حظر المعاملات المرتبطة بالعناوين التي استخدمها القراصنة لغسل الأموال المسروقة.

كما نشرت الوكالة قائمة تضم 628 عنواناً للعملات المشفرة مرتبطة بالسرقة، تشمل 608 عناوين Ethereum و19 عنوان Bitcoin وعنوان Solana واحد.

ولـ TraderTraitor تاريخ في استهداف شركات العملات المشفرة وموظفيها، إذ يرتبط القراصنة الكوريون الشماليون بعدة هجمات كبيرة لسرقة العملات المشفرة، منها سرقة 387.5 مليون دولار من Bitget في سبتمبر 2026، واختراق Drift بقيمة 280 مليون دولار في أبريل 2026، وسرقة 1.5 مليار دولار من Bybit في فبراير 2025، وسرقة 308 ملايين دولار من DMM Bitcoin في مايو 2024.

ومن التكتيكات التي يستخدمها قراصنة Lazarus الكوريون الشماليون حملة طويلة الأمد تُعرف باسم «Operation DreamJob»، حيث ينتحلون صفة مسؤولين عن التوظيف ويتواصلون مع مطوري البرامج وموظفي العملات المشفرة بعروض عمل وهمية لخداعهم وتثبيت برمجيات خبيثة.

وقد تضمن هجوما DMM وBybit اختراق حواسيب تابعة لموظفين أو مطورين لديهم صلاحية الوصول إلى البنية التحتية للعملات المشفرة.

وفي هجوم DMM Bitcoin، انتحل القراصنة صفة مسؤول توظيف على LinkedIn وخدعوا موظفاً في شركة محافظ العملات المشفرة Ginco لتشغيل شيفرة Python خبيثة متنكرة في هيئة اختبار توظيف أولي.

كما نشأت سرقة Bybit من حاسوب مطور في Safe{Wallet} تم اختراقه، ما سمح للقراصنة بالوصول إلى منصة المحفظة والتلاعب بطلب معاملة شرعية من موظف DMM، وتحويل 1.5 مليار دولار من العملات المشفرة إلى محافظ يسيطرون عليها.

وفي الآونة الأخيرة، تضمن هجوم Drift في أبريل 2026 عملية هندسة اجتماعية استمرت ستة أشهر، التقى فيها أفراد ينتحلون صفة ممثلين لشركة تداول عملات مشفرة بمساهمي Drift شخصياً في عدة مؤتمرات في القطاع.

وأمضى المهاجمون أشهراً في بناء العلاقات، ويُعتقد أنهم اخترقوا أجهزة الموظفين عبر مستودع شيفرة خبيث أو تطبيق TestFlight.

وفي بيان شاركته مع BleepingComputer، أعلنت Binance أنها تستعد لاستئناف المرحلة الأولى من عمليات السحب في 1 نوفمبر بين الساعة 06:00 و09:00 بالتوقيت العالمي المنسق، بينما تواصل العمل على استعادة الخدمات وتغطية الأصول المسروقة.

وأفادت المنصة بأنها غطت الآن نحو 95% من المبلغ المتأثر، ارتفاعاً من 90% في تحديثها السابق. وتتكون نسبة 5% المتبقية من رموز أقل سيولة تواصل Binance شراءها عبر قنوات السوق والتداول خارج البورصة.

كما ذكرت Binance أن أرصدة BTC وETH وUSDT وBNB وSOL وUSDC وXRP وUSD1 وRLUSD وZEC مغطاة بالكامل، وأن خدمات الإيداع لم تتأثر بالحادث.

وشددت Binance: «التزامنا لم يتغير: ستتحمل Binance الأثر المالي للأموال المسروقة. لن تُنقل هذه الخسائر إلى المستخدمين».

وأضافت: «استئناف عمليات السحب إنجاز كبير، لكن عملنا مستمر. سنواصل تعزيز ضماناتنا، وإكمال عملية الاسترداد، وتقديم التحديثات مع تقدم العمل».

المصدر: BleepingComputer