بين الساعة 20:04 و23:56 بتوقيت UTC في 29 أكتوبر 2026، غادر نحو 6.3 مليار دولار من الأصول الرقمية محافظ بينانس الساخنة ولم تعد. ووفقًا لشركة تحليلات البلوكتشين Bitquery، امتدت هذه التدفقات الخارجة عبر تسع إلى عشر سلاسل كتل منفصلة. وقدّرت TRM Labs الرقم بنحو 6.36 مليار دولار، مشيرةً إلى أن معظمه تحرّك خلال نحو عشرين دقيقة، بدءًا من الساعة 20:05 بتوقيت UTC.
وجاءت اللحظة الأكثر أهمية على الإطلاق عند الساعة 20:20:59 بتوقيت UTC. إذ تتبّعت شركة الأمن Blockaid معاملة واحدة على إيثريوم تضمّنت خمسين تفويضًا مما يُعرف بتفويضات EIP-7702، استهدفت جميعها المحفظة المعروفة للعامة باسم Binance 14. فشل تسعة وأربعون منها، ونجح تفويض واحد. وقد منح ذلك التفويض الواحد السيطرة على المحفظة لعقد ذكي يسيطر عليه المهاجم، والذي قام بعدها بسحب 167,464 إيثريوم (ETH) و1.6 مليار USDT. كما وقّعت محفظة ساخنة ثانية لبينانس على إيثريوم، بشكل منفصل، تسع تحويلات بقيمة 174 مليون دولار مباشرةً إلى المهاجم. وعلى إيثريوم وحدها، أظهرت بيانات Etherscan خروج نحو 2.8 مليار دولار، تألفت من 195,470 ETH و1.615 مليار USDT و780 مليون USDC وأكثر من ستين عملة أخرى.
وللمقارنة: كانت أكبر سرقة عملات رقمية مسجَّلة سابقًا هي اختراق Bybit في فبراير 2025، بقيمة نحو 1.5 مليار دولار. أي أن هذه السرقة أكبر منها بنحو أربعة أضعاف. ونشر مؤسس بينانس، تشانغبنغ تشاو، على منصة X عند الساعة 21:15 بتوقيت UTC أن الأمر يبدو بالفعل كاختراق، في حين كانت الأموال لا تزال تتحرك.
نستعرض في هذا المقال كيفية عمل المحفظة الساخنة لمنصة التداول فعليًا، وماهية EIP-7702 ولماذا حوّل التوقيع إلى مفتاح رئيسي يفتح كل الأبواب، وكيف تندرج اختراق حاسوب محمول لأحد المهندسين ضمن الصورة الكاملة، ولماذا تغيّرت رواية بينانس نفسها للأحداث، وكيف جُمِّد نحو 3 مليارات دولار أثناء تحرّكها، وما الذي يترتب على هذه الحادثة بالنسبة إلى جدوى الاحتفاظ بالأصول على منصات تداول مركزية.
المحافظ الساخنة والمحافظ الباردة: لماذا تحتفظ المنصات بكليهما
تحتفظ منصة تداول العملات الرقمية بأصول العملاء ضمن فئتين عريضتين.
- المحافظ الباردة هي وسائط تخزين تُحفظ فيها المفاتيح الخاصة -السلاسل السرية التي تُخوِّل تنفيذ المعاملة- دون اتصال بالإنترنت. ويتطلب نقل الأموال منها إجراءً ماديًا ومتعمّدًا، وغالبًا ما يشارك فيه أكثر من شخص. وهي آمنة لكنها بطيئة.
- المحافظ الساخنة متصلة بالإنترنت وببرمجيات المنصة نفسها. وهي موجودة لكي تصل العملات في غضون دقائق لا ساعات عندما ينقر العميل على زر السحب. فهي بمثابة صندوق النقد، لا الخزنة.
وهذه المفاضلة بنيوية وليست خطأً. فالمنصة التي لا تملك محفظة ساخنة لا يمكنها العمل. أما المنصة التي تملك محفظة ساخنة فلديها نظام متصل بالإنترنت ومخوَّل، بحكم التصميم، بتوقيع المعاملات التي تنقل أموال العملاء. وقد استهدفت كثير من أكبر سرقات منصات التداول هذه النقطة الحساسة تحديدًا، وإن لم يكن ذلك ينطبق على جميعها: فسرقة Bybit البالغة 1.5 مليار دولار في فبراير 2025 استنزفت محفظة باردة متعددة التوقيعات على إيثريوم أثناء تحويل مجدوَل، عبر واجهة توقيع تم التلاعب بها.
وتستحق النسب هنا التوقف عندها. إذ أشارت بيانات DefiLlama إلى أن محافظ بينانس العلنية كانت تحمل نحو 145 مليار دولار قبل الاختراق، أي أن السرقة مثّلت نحو 4.4 بالمئة من الإجمالي. وهو رقم مدمِّر بالقيمة المطلقة، لكنه قابل للتحمّل بالقيمة النسبية، وهذا بالضبط ما يفسّر استمرار نموذج المحفظة الساخنة.
ما هو EIP-7702، بعبارات بسيطة
كانت شبكة إيثريوم تاريخيًا تضم نوعين من الحسابات. الحساب المملوك خارجيًا هو محفظة بسيطة يتحكم فيها مفتاح خاص: يمكنها الاحتفاظ بالأصول وإرسالها، ولا شيء غير ذلك. أما حساب العقد الذكي فهو جزء من الشيفرة البرمجية يمكنه الاحتفاظ بالأصول واتباع تعليمات مبرمجة، لكن ليس له مفتاح خاص به.
ويأتي EIP-7702، الذي أُدخل ضمن ترقية Pectra لإيثريوم، ليطمس هذا الخط الفاصل. فهو يتيح لمحفظة عادية يتحكم فيها مفتاح خاص أن تفوّض مؤقتًا تنفيذ عملياتها إلى شيفرة عقد ذكي، وذلك بتوقيع رسالة تفويض. وبذلك تقول المحفظة فعليًا: لأغراض هذه المعاملة، عاملوني وكأنني أُشغِّل هذا البرنامج.
والهدف من ذلك هو راحة المستخدم. فالتفويض يتيح ميزات مثل تجميع عدة إجراءات في معاملة واحدة، أو السماح لطرف ثالث بدفع رسوم الغاز نيابةً عن المستخدم، من دون إجبار الناس على الانتقال إلى عنوان محفظة جديد تمامًا. وهو تحسين حقيقي في سهولة الاستخدام.
لكن الخطر هو الصورة المعكوسة للفائدة. فتفويض EIP-7702 ليس تحويلًا، بل هو منح للسيطرة. فإذا وافق أحدهم على التفويض الخاطئ، فإن الموقِّع لم يفقد عملة واحدة لحظة التوقيع؛ بل سلّم مفاتيح السيارة لغريب يمكنه أن يقودها بعيدًا لاحقًا.
وهذا بالضبط ما حدث. فالتفويض الناجح فوّض محفظة بينانس الساخنة لما وصفته Elliptic بأنه عقد تجريف (sweeper contract)، وهو برنامج صُمِّم لغرض واحد: تجريف كل ما تحمله المحفظة في عملية واحدة. وكانت المعاملة التي أفرغت المحفظة، من منظور البلوكتشين، معاملة صحيحة تمامًا. وانتهى الأمر بموقع Etherscan إلى وسم عنواني الوجهة باسم Binance Hot Wallet Exploiter وBinance Hot Wallet Exploiter 2، مع إضافة وسم Exploit، لأنه لم يكن هناك، على مستوى البروتوكول، أي معنى يفيد بأن شيئًا قد سار بشكل خاطئ.
الباب البشري
لا بد أن يكون التفويض الصحيح موقَّعًا من جهة ما. وعند الساعة 02:23 بتوقيت UTC في 30 أكتوبر، أعلنت بينانس عن نتيجة أولية: أتاح حاسوب محمول مخترَق تابع لمهندس DevOps للمهاجم الوصول إلى حاوية خدمة (service container) وتقديم معاملات سحب غير مصرَّح بها. ومهندس DevOps هو الشخص المسؤول عن صيانة البنية التحتية التي تشغّل أنظمة منصة التداول؛ أما حاوية الخدمة فهي بيئة برمجية معزولة يعمل داخلها أحد تلك الأنظمة.
والأهم من ذلك أن بينانس قالت إنها لم تعثر على أي دليل على تسرّب مفتاح خاص لأي محفظة. وقال الرئيس التنفيذي لشركة Blockaid، إيدو بن ناتان، إن الأدلة تشير إلى اختراق بنية تحتية للتوقيع وليس إلى تسرّب مفتاح، وعقد مقارنة مع اختراق Bybit في فبراير 2025.
وهذا التمييز أهم مما يبدو عليه. فالمفتاح المسروق هو سرقة لسرّ ما. أما خط أنابيب التوقيع المخترَق فهو تخريب لعملية مشروعة: النظام لا يزال يحتفظ بأسراره، لكنه أُقنِع باستخدامها لمصلحة المهاجم. ومن الخارج، على سلسلة الكتل، لا يمكن التمييز بين الحالتين. فكلتاهما تُنتجان توقيعات صحيحة تمامًا.
ولم يُنشر بعد الآلية الدقيقة التي تحوّل بها الوصول إلى الحاسوب المحمول إلى تفويض EIP-7702 موقَّع، ومن الخطأ التكهن بها.
حيث تتباين الروايات
ولم تبق رواية بينانس ثابتة. فبعد أن أشارت في البداية إلى الحاسوب المحمول، قالت الشركة لاحقًا إن الحادثة ناجمة عن عوامل متعددة وإن تحقيقها المستمر كشف عن نقاط اختراق إضافية. وصرّح الرئيس التنفيذي المشارك ريتشارد تنغ، الذي خلف تشانغبنغ تشاو في نوفمبر 2023، بأن المهاجم لم يستخدم مجرد صلاحيات مهندس واحد، وأن الأمر لم يكن إجراءً واحدًا بنقرة واحدة. وقال تنغ أيضًا إن التحقيق لم ينسب المسؤولية إلى أي فرد بعينه.
وكان المحققون الخارجيون أسرع في تحديد الجهة المسؤولة. فقد عزت TRM Labs السرقة إلى TraderTraitor، وهي وحدة قرصنة مدعومة من الدولة الكورية الشمالية تُعرف أيضًا باسم Lazarus Group وAPT38. ولم تربط بينانس نفسها الحادثة بأي مجموعة قرصنة أو جهة تهديد في بياناتها الرسمية.
وهذا التباين طبيعي لا مريب. فشركات استخبارات البلوكتشين تعزو المسؤولية استنادًا إلى موازنة الأنماط الظاهرة على السلسلة وخارجها، وتنشر نتائجها بسرعة. أما المنصة الخاضعة لتدقيق قانوني وتنظيمي فلا تعزو إلا ما يمكنها إثباته. ومن الجدير بالذكر أنه في المصادر المتاحة، لم يُؤكَّد أي إسناد رسمي من جهات إنفاذ القانون؛ فالربط بكوريا الشمالية يستند إلى تحليلات شركات خاصة.
التجميد: المركزية الهادئة للعملات الرقمية
جُمِّد نحو 3 مليارات دولار من الأموال المسروقة، أي ما يقارب نصف الإجمالي، على السلسلة. وقال الرئيس التنفيذي لشركة Tether إن أكثر من 1.567 مليار USDT جرى تجميدها. كما جمّدت Circle، مُصدِرة USDC، وWorld Liberty Financial المدعومة من ترامب، حيازات من العملات المستقرة.
وهذا أمر يستحق التمعّن فيه. فالعملة المستقرة المربوطة بالدولار هي التزام على مُصدِرها، ويحتفظ المُصدِر بالقدرة التقنية على إدراج عنوان في القائمة السوداء، ما يجعل الرموز المحتفَظ بها فيه عديمة الأثر. ويظل الأصل موجودًا على سلسلة الكتل، لكنه ببساطة يتوقف عن كونه قابلًا للاسترداد أو التحويل.
وهكذا فإن أكبر عامل مخفِّف في أكبر سرقة عملات رقمية في التاريخ لم يكن التشفير ولا اللامركزية ولا عدم القابلية للتغيير، بل كان عددًا قليلًا من الشركات الخاصة تمارس سيطرة إدارية على رموزها الخاصة. أما عملة ETH المسروقة، التي ليس لها مُصدِر، فلم يكن بالإمكان تجميدها بالطريقة نفسها. والدرس العملي هو أنه كلما زادت مركزية الأصل الرقمي، زادت إمكانية استرداده بعد السرقة، وزاد اعتماد حامليه، في كل الأوقات الأخرى، على تقدير المُصدِر.
من يتحمّل الخسارة
قالت بينانس إنها ستغطّي جميع الخسائر باستخدام صندوقها لتأمين أصول المستخدمين، المعروف باسم SAFU، وهو احتياطي يبلغ نحو 1 مليار دولار بعملة البيتكوين، إضافةً إلى أموال الشركة. وSAFU هو صندوق تأمين خصصته بينانس لمثل هذا الحدث بالضبط. وبنحو 1 مليار دولار مقابل خسارة إجمالية قدرها 6.3 مليار دولار، فإنه يغطّي جزءًا فقط، فيما يأتي الباقي من الميزانية العمومية الخاصة بالشركة، ومن الأموال المجمَّدة التي تُستعاد إذا نجحت جهود الاسترداد.
وعلى الصعيد التشغيلي، علّقت بينانس الإيداعات والسحوبات، وألغت تفويض العنوان المتأثر، واستعانت بجهات إنفاذ القانون وشركاء في استخبارات البلوكتشين. وتوقّعت استئناف السحوبات في غضون نحو 48 ساعة، وهو ما وُصف لاحقًا بأنه في المسار الصحيح خلال 45 ساعة من آخر تحديث لها، وذلك بعد إجراء تجديد أمني شامل لخدمة السحب.
وتعليق السحوبات هو اللحظة التي تتحول فيها منصة التداول إلى مسألة ائتمانية. إذ يكتشف العملاء الذين ظنّوا أنهم يملكون أصولًا أنهم في الواقع يملكون مطالبة تجاه شركة، وتتوقف قيمة تلك المطالبة على مدى قدرة الشركة على استيعاب الفجوة.
ماذا يعني ذلك بالنسبة إلى منصات التداول المركزية
تترتب على ذلك ثلاث تبعات مزعجة.
- ميزات البروتوكول الجديدة توسّع نطاق الهجوم بطرق لم تسعّرها المؤسسات بعد. فـEIP-7702 تصميم معقول يخدم مستخدمين حقيقيين. لكنه أيضًا يحوّل التوقيع إلى نقل للسيطرة، ما يرفع المخاطر في أي مسار توقيع يتعرّض للاختراق.
- تظل الحلقة الأضعف بشرية وتشغيلية. فلم يتطلب هذا الهجوم كسر أي تشفير. بل تطلّب الوصول إلى الآلية التي تستخدم التشفير بشكل مشروع.
- أصبح الحجم بحد ذاته عامل خطر. فالمنصة التي تحمل نحو 145 مليار دولار في محافظ ظاهرة هي هدف يستحق أشهرًا من التحضير من قِبل خصم يمتلك موارد وافرة، بما في ذلك خصم مدعوم من دولة.
غير أن الحجة المضادة هي أن النظام صمد. فقد ظلّت بينانس قادرة على الوفاء بالتزاماتها، وجرى تجميد نحو نصف الأموال، ومن المتوقع أن تُستأنف السحوبات في غضون جدول زمني يُقاس بالأيام، مع تأكيد المنصة أنها لا تزال في المسار الصحيح لاستئنافها في غضون نحو 45 ساعة من آخر تحديث لها، بعد أن علّقتها عند نحو الساعة 22:15 بتوقيت UTC في 29 أكتوبر. وهذه نتيجة مختلفة جوهريًا عن إخفاقات منصات التداول في التاريخ المبكر للعملات الرقمية.
أبرز الاستنتاجات للمستثمرين
- غادر نحو 6.3 مليار دولار محافظ بينانس الساخنة في 29 أكتوبر 2026 عبر تسع إلى عشر سلاسل كتل، أي نحو أربعة أضعاف اختراق Bybit البالغ 1.5 مليار دولار في فبراير 2025.
- فوّض تفويض واحد ناجح من نوع EIP-7702 عند الساعة 20:20:59 بتوقيت UTC، من أصل خمسين محاولة في معاملة واحدة، محفظة بينانس الساخنة إلى عقد تجريف يسيطر عليه المهاجم.
- أفادت بينانس بعدم وجود أي دليل على تسرّب مفتاح خاص، مشيرةً بدلًا من ذلك إلى اختراق بنية تحتية للتوقيع تم الوصول إليها عبر حاسوب محمول لمهندس DevOps، ولاحقًا عبر نقاط اختراق إضافية.
- جُمِّد نحو 3 مليارات دولار، وهو إجمالي يشمل عملات مستقرة جمّدها المُصدِرون Tether وCircle وWorld Liberty Financial، ما يبرز أن قابلية الاسترداد في عالم العملات الرقمية تعتمد على السيطرة المركزية للمُصدِر.
- التزمت بينانس بتغطية الخسائر من احتياطي SAFU البالغ نحو 1 مليار دولار إضافةً إلى أموال الشركة، وقد شكّلت السرقة نحو 4.4 بالمئة من حيازاتها الظاهرة للعلن.
- ويستند إسناد الحادثة إلى وحدة TraderTraitor الكورية الشمالية إلى شركات استخبارات خاصة، وليس إلى بينانس أو إلى بيانات رسمية مؤكَّدة من جهات إنفاذ القانون في التقارير المتاحة.
الخلاصة
واللافت في هذا الاختراق هو مدى ضآلة ما كان منه إخفاقًا في تقنية البلوكتشين. فكل معاملة كانت صحيحة. وكل توقيع كان سليمًا. وعمل السجل تمامًا كما صُمِّم له، وهذه هي المشكلة بالضبط: فالنظام المصمَّم لتنفيذ التعليمات من دون تمييز سينفّذ تعليمات اللص بالقدر نفسه من اللامبالاة الذي يبديه تجاه تعليمات العميل.
وما أوقف النزيف لم يكن الشيفرة البرمجية بل الأطراف المقابلة. فقد جمّدت Tether رموزها، وجمّدت Circle رموزها، وتعهّدت بينانس بميزانيتها العمومية الخاصة. والبنية التي حدّت من الضرر كانت تلك الطبقة المركزية التقديرية الخاصة بالشركات، وهي بالضبط ما صُمِّمت العملات الرقمية أصلًا للالتفاف حولها. فالاحتفاظ بالأصول على منصة تداول كان دومًا رهانًا على مؤسسة لا على بروتوكول. ولم يغيّر اختراق أكتوبر 2026 من ذلك شيئًا. بل جعل هذا الرهان واضحًا للعيان، وأظهر كلفته حين يحين موعد استحقاقه.
