كوريا الشمالية... من السلاح النووي إلى سرقة العملات المشفرة

ويضع ذلك إجراءات العمل داخل المنصة تحت الاختبار. فاختراق جهاز موظف احتمال يفترض الاستعداد له، عبر الفصل بين الصلاحيات والتحقق المستقل من تفاصيل التحويلات ووضع حدود تستدعي مراجعة إضافية قبل سحب مبالغ كبيرة. ولذلك تمتد مراجعة الحادث إلى كيفية تجاوز المهاجمين هذه الإجراءات، وقدرة أنظمة المراقبة على اكتشاف المعاملات غير المعتادة وإيقافها قبل خروج الأموال.

ويشير تقرير لشركة "تي آر أم لابز" (TRM Labs)، وهي شركة أميركية متخصصة في تحليل بيانات شبكات الـ"بلوك تشين"، وتتبع معاملات العملات المشفرة، والكشف عن الجرائم المالية والأنشطة غير المشروعة المرتبطة بها، إلى أن التحضير للعملية بدأ قبل تنفيذها بنحو 36 ساعة على الأقل.

واستعداداً للهجوم، اختبر المهاجمون الشيفرة المستخدمة فيه على ثلاث محافظ قبل تثبيتها على إحدى محافظ "باينانس الساخنة". وعلى شبكة "إيثيريوم"، أرفقوا معاملة واحدة بـ50 تفويضا رقميا موقّعا مسبقا من المحفظة المستهدفة، لضمان صلاحية أحدها عند التنفيذ. أما على الشبكات التسع الأخرى، فنُفذت التحويلات عبر معاملات عادية موقّعة، في مؤشر الى احتمال اختراق البنية التحتية المسؤولة عن توقيع معاملات المحافظ الساخنة. وحسب "تي آر أم لابز"، استخدم المهاجمون خدمة "تورنايدو كاش" (Tornado Cash)، وهي خدمة لخلط العملات المشفرة، لتمويل محافظهم الرقمية قبل تنفيذ الاختراق.

وفي المقابل، تثير تساؤلات حول كفاءة أنظمة الحماية وإجراءات العمل في قطاع يدير مليارات الدولارات، بينما يستطيع مهاجمون تحريك جانب كبير من أمواله قبل اكتشاف العملية واحتوائها.

من المسؤول عما جرى؟

تشير التحقيقات والتحليلات الأولية إلى أن مجموعة "ترايدر ترايتور" (TraderTraitor)، المرتبطة بكوريا الشمالية، هي المسؤولة على الأرجح عن اختراق "باينانس"، إنما لم يصدر حتى الآن تأكيد رسمي من جهة حكومية أو من "باينانس" نفسها يحدد هوية المهاجمين. ونسبت شركة "تي آر أم لابز" الهجوم إلى هذه المجموعة بدرجة ثقة مرتفعة، استنادا إلى أدلة من معاملات الـ"بلوك تشين" ومعلومات استخباراتية خارج الشبكة. وتوصلت شركة "تشاين أناليسيس" (Chainalysis) إلى استنتاج مشابه. وقال مؤسسها المشارك ورئيسها التنفيذي جوناثان ليفين إن الشركة ترجّح مسؤولية مجموعة "ترايدر ترايتور" عن الاختراق، مستندة أيضا إلى روابط مع هجمات سابقة.

كيف تم احتواء الاختراق؟

ساعد التدخل السريع لشركات إصدار العملات المستقرة وشركاء "باينانس" في الحد من قدرة المهاجمين على التصرف في الأموال المسروقة. فقد جمدت شركتا "تيثر" و"سيركل" أكثر من 2.37 مليار دولار من عملتي "يو أس دي تي" (USDT) و"يو أس دي سي" (USDC)، قبل أن تعلن "باينانس" ارتفاع إجمالي الأصول المجمدة بالتعاون مع شركائها إلى نحو 3 مليارات دولار. 

وتستطيع الشركتان، باعتبارهما الجهتين المصدرتين لهاتين العملتين المرتبطتين بالدولار، حظر عناوين المحافظ ومنع تحريك الأرصدة الموجودة فيها. وبهذا يمكن تعطيل استخدام الأموال بعد انتقالها إلى المهاجمين، إلى حين اتخاذ الإجراءات القانونية اللازمة في شأنها. وتصبح سرعة التجميد حاسمة في تقليل العائد الذي يستطيع المهاجمون الاستفادة منه.

وقالت "باينانس" السبت (اليوم)، إنها تمكنت من تغطية 90 في المئة من قيمة الأصول المسروقة وأضافت المنصة، في بيان، أن النسبة المتبقية، البالغة 10 في المئة، تتكون من عملات رقمية أقل سيولة، مما قد يستغرق وقتا أطول لتأمين الكميات المطلوبة منها.

وأعلنت الخدمة السرية الأميركية أنها تعمل "على مدار الساعة" مع شركائها للمساعدة في تتبّع الأموال المسروقة من "باينانس".

وسبق أن ظهر أثر هذا التدخل في أكتوبر/تشرين الأول 2022، عندما استغل مهاجم ثغرة في جسر "بي أس سي توكن هاب" (BSC Token Hub) لنقل الأصول بين شبكتي "بي أن بي بيكون تشاين" (BNB Beacon Chain) و"بي أن بي سمارت تشاين" (BNB Smart Chain).

وتمكن من إصدار مليوني عملة "بي أن بي" (BNB) بصورة غير مشروعة، بلغت قيمتها آنذاك نحو 570 مليون دولار. لكن تعليق تشغيل الشبكة وتنسيق الجهود مع المدققين حدّا من انتقال الأموال، إذ تراوحت تقديرات الأصول التي تمكن المهاجم من إخراجها إلى شبكات أخرى بين 100 و127 مليون دولار. وتبرز الواقعتان أهمية القدرة على التدخل السريع بعد الاختراق، من دون أن تلغي الحاجة إلى معالجة الثغرات التقنية ومراجعة إجراءات الحماية التي سمحت بوقوعه 

من "باي بيت" إلى "باينانس"

قبل اختراق "باينانس"، تعرضت "باي بيت"، وهي ثاني أكبر منصة لتداول العملات المشفرة مقرها دبي، لسرقة 1.46 مليار دولار في فبراير/شباط 2025. وبدأت العملية باختراق جهاز مطور لدى شركة "سيف"، التي توفر برمجيات لإدارة المحافظ. ثم تلاعب المهاجمون بواجهة اعتماد التحويلات، فظهر لمسؤولي "باي بيت" أنهم يوافقون على معاملة اعتيادية، بينما كانت الموافقة تمنح المهاجمين السيطرة على الأموال.

وتكشف المقارنة اعتماد المهاجمين على الوصول إلى الأشخاص والأنظمة التي تدير الأصول. ففي "باي بيت" جاء الوصول عبر مورد تقني، بينما أشارت التحقيقات الأولية في "باينانس" إلى جهاز مهندس وخدمة داخلية لتنفيذ السحب. ولذلك ترتبط حماية الأموال بسلامة أجهزة الموظفين وبرمجيات الموردين وإجراءات اعتماد المعاملات، وهي حلقات يستطيع المهاجم البحث عن أضعفها للوصول إلى الأصول.

ويعكس الهجوم أسلوبا متكررا لدى القراصنة المرتبطين بكوريا الشمالية، يجمع بين خداع الموظفين للوصول إلى الأنظمة واستخدام طرق معقدة لغسل الأموال وإخفاء مسارها. كما تجمعت أموال مسروقة من "باي بيت" في عناوين محافظ تضم أموالا من هجمات سابقة مرتبطة بكوريا الشمالية، مما عزز الأدلة على مسؤوليتها عن العملية.

وأكد مكتب التحقيقات الفيديرالي الأمريكي مسؤولية كوريا الشمالية عن سرقة "باي بيت"، وحدد نشاط مجموعة "تريدر ترايتور" وراء العملية. وبذلك يأتي الهجوم الأخير ضمن نمط متكرر من استهداف مؤسسات تحتفظ بأصول ضخمة، مع اختلاف طرق الوصول إليها.

سرقات لتمويل برامج التسلح

يرتبط نشاط "تريدر ترايتور" بشبكة "لازاروس" الكورية الشمالية، التي يمتد سجلها إلى سرقة نحو 620 مليون دولار من شبكة "رونين" المرتبطة بلعبة "أكسي إنفينيتي" في 2022، ونحو 100 مليون دولار من جسر "هورايزون" في العام نفسه. كما نسبت السلطات الأميركية إلى "تريدر ترايتور" سرقة نحو 308 ملايين دولار من منصة "دي إم إم بيتكوين" اليابانية في مايو/أيار 2024.

وفي العملية اليابانية، انتحل أحد المهاجمين صفة مسؤول توظيف وتواصل مع موظف لدى شركة تقدم برمجيات للمحافظ. ثم أرسل إليه اختبارا وظيفيا يتضمن برنامجا خبيثا، واستغل الوصول إلى أنظمة الشركة للتلاعب بطلب تحويل أموال. ويكشف هذا الأسلوب اهتمام المجموعة بدراسة الموظفين واستغلال علاقات المؤسسات بمورديها للوصول إلى الأصول.

وبلغ إجمالي السرقات المنسوبة إلى قراصنة كوريا الشمالية نحو 6.75 مليارات دولار حتى نهاية 2025، بحسب تقديرات متخصصة، منها نحو 2.02 مليار دولار خلال 2025 وحدها.

وتظهر ضخامة العملية الأخيرة عند مقارنة أصول بنحو 6.3 مليارات دولار وهي قيمة العملية الأخيرة فقط، بالدخل القومي الإجمالي الاسمي لكوريا الشمالية المقدر بنحو 33.8 مليار دولار. فقد حرك المهاجمون خلال نحو عشرين دقيقة مبلغا يعادل قرابة خُمس الدخل القومي الإجمالي لكوريا الشمالية في عام كامل. وتوضح المقارنة حجم العملية، بينما يتوقف العائد المتاح للمهاجمين على الأموال التي تنجو من التجميد والاسترداد.

ولهذه الموارد أهمية تتجاوز تمويل عمليات القرصنة نفسها. ففي 10 مايو/أيار 2023، قالت آن نويبرغر، نائبة مستشار الأمن القومي الأميركي لشؤون الأمن السيبراني والتكنولوجيا الناشئة آنذاك، خلال فعالية نظمها مشروع الدراسات التنافسية الخاصة (SCSP)، إن كوريا الشمالية تموّل نحو نصف برنامجها الصاروخي من خلال سرقة العملات المشفرة والهجمات الإلكترونية. وفي الشهر نفسه، قال سكوت بيريير، مدير وكالة استخبارات الدفاع الأميركية آنذاك، أمام مجلس الشيوخ إن سرقة هذه الأموال ومحاولة تحويلها إلى عملات قابلة للاستخدام تساعد كوريا الشمالية في بناء قدراتها النووية.

من هنا، توفر هذه العمليات لبيونغ يانغ موارد خارج القنوات المصرفية التي تقيدها العقوبات. كما تصبح سرعة تجميد الأصول جزءا من الجهد لتقييد تمويل برامج التسلح، لأن فاعلية العقوبات تتأثر بقدرة النظام على تعويض موارده من خلال السرقات الإلكترونية.