Binance تكشف تفاصيل مقابلات التوظيف الوهمية واختراق أداة ذكاء اصطناعي في الهجوم

قالت Binance في النتائج الأولية التي نشرتها في 3 نوفمبر 2026، إن مقابلات توظيف وهمية وبرمجيات مطوّرين خبيثة واختراق أداة داخلية للذكاء الاصطناعي سبقت سرقة أصول رقمية بقيمة 6.34 مليار دولار تقريبًا في 29 أكتوبر 2026.

ستتحمل المنصة الأثر المالي بدلًا من تحميله للمستخدمين. وأفادت Binance بأنها خصصت أكثر من 100% من الأموال اللازمة لتغطية الخسارة، وأعادت توفير 98% من الأصول المتضررة من الرموز الرقمية حتى 31 أكتوبر 2026، وجمّدت أو اعترضت أصولًا بقيمة 2.85 مليار دولار تقريبًا، رهناً بالتسوية وتقلبات أسعار السوق. وهي تشتري الأصول المتبقية الأقل سيولة.

تصف صفحة إثبات الاحتياطيات المشار إليها لتأكيد إعادة توفير الأصول تغطية أصول المستخدمين المحتفظ بها بواقع 1:1. وتستخدم سجلات شجرة ميركل وإثباتات zk-SNARK ليتمكن المستخدمون من التحقق من إدراج أرصدتهم في تقرير الالتزامات.

لا تزال النتائج أولية. والتحقيق مستمر، والمراجعة المستقلة لم تُنجز بعد، كما تحجب Binance بعض التفاصيل التقنية تجنبًا لمساعدة الجهات الخبيثة على التخطيط لهجمات.

أشهر من الوصول إلى الأنظمة قبل الهجوم على المحفظة

في يونيو 2026، نزّل مهندس DevOps للمحافظ تثبيتًا معدّلًا من Homebrew أثناء محاولته تثبيت أداة شائعة لبرمجة الذكاء الاصطناعي عثر عليها عبر محرك بحث. ورصدت Binance النشاط غير المعتاد، واستبدلت الجهاز وغيّرت بيانات الاعتماد المرتبطة به، لكن دور المهندس وزملاءه في فريق البنية التحتية للمحافظ كانا قد انكشفا للمهاجم بالفعل.

في سبتمبر 2026، تواصل شخص ادعى أنه مدير مشروع مع مهندس برمجيات آخر عبر منصة شرعية للبحث عن وظائف. وأُجريت مقابلة عبر الفيديو مباشرة مع شخص زعم أنه ممثل للموارد البشرية، أعقبتها مقابلة ثانية في تطبيق شائع للدردشة الاجتماعية مع شخص ادعى أنه الرئيس التنفيذي لشركة وهمية. وقبيل انتهاء المقابلة الثانية، طُلب من المهندس تنزيل مهمة تتضمن مستودعًا برمجيًا خبيثًا على جهاز العمل. ونُفّذ الرمز البرمجي أثناء الإعداد.

استبدلت البرمجية الخبيثة أحد مكونات pyenv الشرعية بنسخة خبيثة، وتواصلت مع خادم يتحكم فيه المهاجم. وقالت Binance إن حماية الأجهزة الطرفية لم ترصد البرمجية الخبيثة من نوع «يوم الصفر» آنذاك، في حين اتخذ المهاجم خطوات لإخفاء النشاط وإزالة آثار الاختراق.

في 20 أكتوبر 2026، استخدم المهاجم جهاز المهندس الثاني المخترق وأداة داخلية للذكاء الاصطناعي لتوسيع نطاق سيطرته، فامتدت إلى مهندس DevOps الأصلي ومهندس آخر لبرمجيات المحافظ. وعُثر بعد ذلك على رمز صلاحية لنشر الحاويات في جهاز مهندس DevOps. وبين الساعة 17:15 و19:56 بالتوقيت العالمي المنسق في 29 أكتوبر، سجّل المهاجم الدخول إلى جهاز المهندس الثالث، واستخدم بيانات اعتماد سرقها من مهندس DevOps، ونشر حاوية وشغّل النص البرمجي الخبيث الذي أطلق الهجوم على المحفظة.

التفويضات على سلسلة الكتل صعّبت احتواء الهجوم

استغل المهاجم وصولًا غير مصرّح به إلى خدمة داخلية لتوقيع معاملات المحافظ، وبدأ معاملات خارج آلية السحب المعتادة لدى Binance. وبين الساعة 20:05 و20:09 بالتوقيت العالمي المنسق، أرسلت خمس محافظ ساخنة تابعة لـ Binance مقدار 233.46 مليون XRP إلى عنوان يتحكم فيه المهاجم. وجاءت تدفقات لاحقة من محافظ Solana وOptimism الساخنة، كما أرسلت محفظة ساخنة تابعة لـ Binance مقدار 18,270 Bitcoin إلى عنوان يتحكم فيه المهاجم.

كما استغل المهاجم آلية التفويض EIP-7702 في Ethereum، التي تتيح للحساب تفويض بعض صلاحيات التنفيذ إلى عقد ذكي من دون كشف مفتاحه الخاص. وعُدّلت قيمة nonce الخاصة بالحساب، وأُنشئت تفويضات خبيثة عبر 50 معاملة توقيع، ما منح عقدًا يتحكم فيه المهاجم صلاحيات تنفيذ جزئية على محفظة ساخنة تابعة لـ Binance. وأتاحت تلك التفويضات استمرار نقل الأصول بصورة مستقلة عن البنية التحتية للسحب لدى المنصة.

لذلك، لم يؤدِ تعليق عمليات السحب وإيقاف خدمات المحافظ الساخنة إلى إبطال الأذونات القائمة على سلسلة الكتل. وبما أن المحفظة تستخدم الحوسبة متعددة الأطراف، لم يكن هناك مفتاح خاص واحد يمكن إبطاله فورًا، ما استلزم إجراءً متخصصًا استغرق وقتًا إضافيًا. واكتملت على سلسلة الكتل، عند الساعة 23:56 بالتوقيت العالمي المنسق، آخر عملية تحويل غير مصرّح بها، وقدرها 2,961.9 Ether، بعد أن ظلت معلقة من قبل؛ ولم تُرصد أي تحويلات أخرى غير مصرّح بها بعد ذلك. وفي الساعة 00:10 بالتوقيت العالمي المنسق من 30 أكتوبر 2026، نفّذت Binance تفويضًا جديدًا من محفظتها الساخنة Binance14 إلى العنوان الصفري، فمسحت بذلك شيفرة التفويض الخبيثة.

إعادة بناء الأنظمة ونسبة منفصلة للهجوم إلى جهة من مكتب التحقيقات الفيدرالي

حتى 3 نوفمبر، كانت Binance قد أعادت بناء نظام المحفظة المتأثر في بيئة جديدة، وأعادت بناء أداة الذكاء الاصطناعي الداخلية المتأثرة وضوابط الوصول إليها. كما استبدلت الأجهزة المتأثرة، وألغت بيانات الاعتماد والرموز المرتبطة بها، وأكملت عمليات فحص معززة لأجهزة الموظفين، ووسّعت نطاق رصد الشذوذ السلوكي القائم على الذكاء الاصطناعي، وعزّزت ضوابط المخاطر الخاصة بخدمات المحافظ.

يجري الاستعانة بخبراء مستقلين في الأمن السيبراني من جهات خارجية للتحقق من النتائج والتوصية بتدابير إضافية. وتزيد Binance استثماراتها في الكشف المدعوم بالذكاء الاصطناعي، وحماية نقاط النهاية، وأمن بيئات التطوير، ومراقبة السلوك. كما تعمل على إنشاء صندوق لأبحاث الأمن ومبادرات موجّهة بالتعاون مع شركات الذكاء الاصطناعي والجهات الفاعلة في القطاع وشركات الأمن، مع التركيز على أمن الذكاء الاصطناعي في بيئات البلوك تشين.

وفي إشعار منفصل مؤرخ في 31 أكتوبر 2026، قال مكتب التحقيقات الفيدرالي إن جهات TraderTraitor التابعة لكوريا الشمالية هي المسؤولة، وإن المكتب وشريكيه، جهاز الخدمة السرية الأمريكي ووحدة التحقيقات الجنائية التابعة لمصلحة الضرائب الأمريكية (IRS-CI)، رصدوا تحويلها الأصول المسروقة في المقام الأول إلى إيثير، وإنه يُتوقع إجراء مزيد من عمليات غسل الأموال عبر خدمات التمويل اللامركزي وخدمات المبادلة الفورية. ودعت الوكالات مشغّلي العُقد، ومنصات التداول، وخدمات التمويل اللامركزي، وشركات تحليل البلوك تشين، وغيرهم من مزوّدي الأصول الافتراضية إلى حظر المعاملات التي تشمل العناوين المدرجة أو تنشأ عنها.

وتكشف الرواية عن مشكلة احتواء تتجاوز اكتشاف البرمجيات الخبيثة: فاستبدال الجهاز الأول المخترق لم ينهِ وصول المهاجم إلى فريق المحافظ، كما أن تعليق عمليات السحب لم يُلغِ الصلاحيات على السلسلة. ويصبح التحقيق المستقل الآن وسيلة للتحقق من إعادة Binance بناء سلسلة الاختراق، ومن مدى معالجة الضوابط المعاد بناؤها لها.