في الساعة 20:05 بتوقيت UTC من يوم 29 أكتوبر، وبعد إغلاق الأسواق الأمريكية بقليل، بدأ أحدهم في إخراج الأموال من Binance. ليس بضعة حسابات، وليس محفظة ساخنة واحدة. عشر شبكات بلوكتشين، واحدة تلو الأخرى، ومعظم الأموال خرجت خلال عشرين دقيقة تقريبًا.
وبحلول نهاية الأسبوع، كانت شركة تحليل البلوكتشين TRM Labs قد أحصت 6.36 مليار دولار مسروقة، ووصفتها بأنها أكبر سرقة عملات مشفرة في التاريخ، ما يعادل أربعة أمثال اختراق Bybit الذي بلغ 1.5 مليار دولار في فبراير 2025. وتقدير Binance نفسها يبلغ 6.3 مليار دولار، أي ما يقارب 4 في المئة من 144 مليار دولار كانت تحتفظ بها قبل الهجوم. وتنسب TRM السرقة إلى TraderTraitor، وحدة القرصنة النخبوية الكورية الشمالية، بثقة عالية. ولم توضح Binance هوية من كان وراءها.
وهنا الجزء الذي يجب أن يوقف أي مدير تقني في منتصف التمرير: لم يكن هناك تشفير مكسور.
حاسوب محمول واحد، وخدمة داخلية واحدة، وعشرون دقيقة
تشير النتائج الأولية إلى حاسوب محمول مخترق يعود لمهندس DevOps، وهو بالتحديد الشخص الذي يدير الأنظمة الداخلية. ومن ذلك الجهاز وصل المهاجم إلى خدمة داخلية واستعان بها لإرسال عمليات سحب غير مصرح بها. وتقول Binance إنها لم تجد دليلًا على تسرب مفاتيح خاصة بالمحافظ.
توقف عند هذه النقطة. التشفير صمد، أما معمارية الحفظ فلم تصمد. لم يكن على المهاجم كسر مفاتيح، بل كان يحتاج إلى نقطة وصول ذات صلاحيات تملك أصلًا سلطة تحريك الأموال، وإلى جلسة تبدو شرعية بما يكفي لاستخدامها.
هذه ليست مشكلة على شكل Binance، بل مشكلة في الشكل نفسه. كل مؤسسة تجمع بين أدوات داخلية وحركة أموال مبنية بالطريقة ذاتها: لوحة إدارة، وحساب خدمة، وخدمة توقيع، وواجهة برمجية للمدفوعات، وبوابة خزينة. وثيقة اعتماد واحدة، ونقطة وصول داخلية واحدة، وأموال على الجانب الآخر من الاستدعاء. إذا كان حاسوب محمول قادرًا على تحريك عملية سحب، فهو جزء من طبقة الحفظ لديك، أيًا كان ما يقوله مخطط المعمارية.
نافذة العشرين دقيقة هي العنوان الحقيقي
كانت جهود الاستعادة سريعة بالمعايير البشرية. تحركت Tether وCircle وRipple وWorld Liberty Financial وArbitrum Security Council خلال س��عات وجمّدت ما يقارب 2.7 مليار دولار، منها أكثر من 800 مليون دولار جمدتها Circle.
لكنها كانت ما تزال بطيئة جدًا. كان المهاجم يحتفظ سلفًا بنحو 18,270 بيتكوين وأكثر من 420,000 إيثيريوم، أي نحو 2.4 مليار دولار لا يستطيع أي مُصدر تجميدها. وبينما كان المدافعون في مكالمات، استوعب السوق الصدمة: تداول البيتكوين قرب 78,457 دولارًا في الصباح التالي، وصُفّيت مراكز مرفوعة بقيمة تتجاوز 1.5 مليار دولار خلال 24 ساعة.
عشرون دقيقة هي نافذة أتمتة، لا نافذة استجابة بشرية. وإذا كان مسار الاحتواء لديك يعتمد على أن يلاحظ شخص ما التنبيه، ويستيقظ، ويفتح الحاسوب، ويصل إلى قسم مكافحة الاحتيال لدى شريك، فأنت تقيس المخاطر بالمليارات لا بالدقائق. من هنا، يجب تصميم المسار من الكشف إلى الاحتواء ليعمل ��السرعة ذاتها التي يعمل بها المهاجم.
أضف الوكلاء الآن إلى السلسلة ذاتها
كل ما سبق يصف آلات تحمل وثائق اعتماد وتعمل دون إنسان في الحلقة. وهذا بالضبط ما تبدو عليه الطبقة التالية من الأتمتة المؤسسية.
وكلاء الذكاء الاصطناعي يحملون اليوم تصاريح OAuth ورموز خدمة ومفاتيح API وصلاحيات على قواعد البيانات. يطابقون المدفوعات، ويطلقون المبالغ المرتجعة، ويفتحون التذاكر، ويتواصلون مع المشتريات، وفي عدد متزايد من الخطط، يحركون الأموال. وكل واحد من هؤلاء الوكلاء حلقة إضافية في سلسلة الثقة، وكل واحد يعمل أسرع من المحلل الذي يراقب اللوحة. وقد رأينا نمط الفشل ذاته سابقًا: بوابات ذكاء اصطناعي تحوّلت إلى مخازن لوثائق الاعتماد، ومنصات وكلاء لا يستطيع سجل التدقيق فيها أ�� يحدد ما لمسه الوكيل، وتطبيقات نسخ احتياطي سحابية تسجل الدخول باسمها لدى مئات العملاء.
احتاج مهاجم Binance إلى حاسوب بشري، لأن الصلاحية كانت هناك في أكتوبر 2026. امنح الصلاحية ذاتها لوكيل يحمل رمزًا طويل الأجل وبلا تتبع للجلسات، وستكون قد أزلت الشيء الوحيد الذي جعل هذا الحادث قابلًا للنجاة: أن أحدًا لاحظ الأمر في النهاية.
الضوابط التي كانت ستغيّر النتيجة
لا شيء من هذا يتطلب تقنية غريبة، بل يتطلب قرارًا بأن الصلاحية مسألة تصميم، لا تفصيل إعداد.
-
افصل الموافقة عن التنفيذ. النظام الذي يقرر أن التحويل مشروع لا ينبغي أن يكون النظام القادر على تنفيذه. موافقة جماعية، خارج المسار، لكل ما يتجاوز حدًا محددًا.
-
اجعل وثائق الدخول قصيرة الأجل ومقيّدة. الرموز طويلة الأجل على أجهزة المطورين دعوات دائمة. المصادقة المرتبطة بالعتاد، ومدة صلاحية 15 دقيقة، وتحديد النطاق لكل خدمة، تحوّل حاسوبًا مسروقًا إلى مشكلة صغيرة وملفتة للنظر.
-
تعامل مع الخدمات الداخلية كما لو كانت مكشوفة للإنترنت. mTLS، وتوقيع لكل طلب، وحدود سرعة لكل قناة. عشر شبكات بلوكتشين خلال عشرين دقيقة يجب أن تصطدم بحد أقصى قبل أن تصبح عنوانًا إخباريًا بوقت طويل.
-
نبّه على السرعة، لا على المبالغ فقط. نماذج الاحتيال المضبوطة على تحويلات كبيرة منفردة تفوتها مجموعة تحويلات متوسطة. المعدل والتوزيع والربط بين ا��قنوات هي الإشارة هنا.
-
امنح كل وكيل هويته الخاصة. نطاق واحد، ومالك واحد، ومسار إلغاء واحد، ومفتاح إيقاف فعّال خلال ثوان. وسجّل ما لمسه، لا فقط ما قاله.
-
تدرّب على التجميد. من يتصل بـ Tether؟ ومن يتصل بـ Circle؟ ومن يوقّع الطلب في الساعة 03:00 بتوقيت الإمارات؟ دليل احتواء من صفحة واحدة يُختبر كل ربع سنة أنفع من لوحة تحكم أخرى.
-
حصّن نقاط الوصول التي تحمل الصلاحية. أداة EDR تنبّه فعلًا، وتسجيل الجلسات عند القفزات ذات الصلاحيات، وعدم ترك جلسات إدارية مفتوحة في متصفح.
ما يعنيه هذا للفرق في الخليج
دفعت الجهات التنظيمية في الإمارات وفي دول مجلس التعاون الخليجي المؤسسات المالية خلال عامين نحو أطر المرونة التشغيلية التي تفترض هذا السيناريو بالضبط: ن��طة وصول واحدة مخترقة، وهجوم آلي سريع، ونافذة احتواء قصيرة جدًا. وسيسأل مجالس الإدارة هذا السؤال هذا الأسبوع. والجواب السليم ليس وثيقة سياسات، بل مسار مُثبت من الكشف إلى الاحتواء، محسوب زمنيًا ومُختبَر.
في aratech نقضي معظم يومنا داخل هذه المشكلة: الهوية للبشر والوكلاء، والوصول محدود النطاق إلى أنظمة تحرك القيمة، ولوحات تحكم يمكن الوثوق بها بسرعة الآلة. سرقة Binance تذكير بأن المحيط لم يكن يومًا هو الجدار، بل هو سلسلة الأشياء التي سمحت لها بالتصرف نيابة عنك.
حاسوب محمول واحد. عشرون دقيقة. ستة مليارات دولار. كان القفل سليمًا، أما السلسلة فلا.
تريد اختبار سلسلة الثقة لديك؟ تنفّذ aratech مراجعات جاهزية للوكلاء والوصول ذي الصلاحيات لفرق التقنية المالية والخدمات اللوجستية والمنصات في الخليج.