اختراق ضخم يستهدف محافظ العملات الرقمية ويعيد تسليط الضوء على مخاطر الأمن السيبراني
كشفت منصة بينانس عن تفاصيل اختراق إلكتروني قالت إن منفذيه استخدموا مقابلات توظيف وهمية وبرمجيات خبيثة للوصول إلى أنظمة مرتبطة بمحافظ رقمية.
أعادت تفاصيل عملية اختراق إلكتروني واسعة النطاق استهدفت أصولًا رقمية إلى الواجهة مخاطر الهجمات التي تعتمد على خداع الموظفين بدلًا من محاولة اختراق الأنظمة التقنية بصورة مباشرة، بعدما أعلنت منصة بينانس أن المهاجمين استخدموا مقابلات توظيف وهمية وبرمجيات خبيثة للوصول إلى أجهزة ومعلومات مرتبطة بفريق تطوير المحافظ.
وقالت المنصة إن تحقيقها الداخلي كشف عن عملية معقدة تضمنت أكثر من مرحلة، بدأت باستهداف موظفين عبر أدوات برمجية تم التلاعب بها، ثم استغلال المعلومات التي جرى الوصول إليها لتنفيذ عمليات تحويل غير مصرح بها.
ووفق التفاصيل التي نشرتها تقارير في 4 نوفمبر 2026، تحدثت الشركة عن خسائر تقدر بنحو 6.3 مليار دولار، وهو رقم ضخم يستدعي التعامل مع تفاصيل الواقعة باعتبارها ادعاءات ونتائج تحقيق أعلنتها المنصة، لا باعتبارها حكمًا قضائيًا نهائيًا بشأن جميع المسؤوليات.
كيف بدأت عملية الاختراق؟
بحسب رواية الشركة، تعود إحدى مراحل الهجوم إلى يونيو، عندما قام أحد المطورين بتنزيل أداة تعرضت للتلاعب، وهو ما أتاح للمهاجمين الوصول إلى معلومات مرتبطة ببيئة العمل.
وأوضحت المنصة أنها رصدت الواقعة واستبدلت الجهاز المتأثر، لكن المعلومات التي تعرضت للاختراق كانت قد كشفت تفاصيل تخص فريق تطوير المحافظ.
وفي مرحلة لاحقة، استُخدمت مقابلات توظيف وهمية لاستهداف مهندس آخر، إذ جرى إقناعه بتنزيل برمجيات أو أدوات مرتبطة بعملية التوظيف، قبل أن يتضح أنها تحتوي على تعليمات ضارة.
وتشير هذه الطريقة إلى أسلوب يعتمد على استغلال الثقة المهنية؛ فالموظف الذي يتلقى دعوة لمقابلة عمل أو يتعامل مع جهة تبدو وكأنها شركة توظيف قد لا يتوقع أن تكون الملفات التي يتلقاها وسيلة لاختراق جهازه.
وبعد الوصول إلى أجهزة مرتبطة بالعمل، تمكن المهاجمون وفق رواية المنصة من استغلال بيانات اعتماد داخلية للوصول إلى أنظمة أخرى.
لماذا تمثل مقابلات التوظيف الوهمية خطرًا؟
أصبحت عمليات التوظيف الرقمية جزءًا أساسيًا من عمل شركات التكنولوجيا، حيث يتبادل المرشحون والموظفون ملفات وسيرًا ذاتية وروابط وأدوات اختبار خلال مراحل المقابلات.
وقد يستغل المهاجمون هذه البيئة لإرسال ملفات تبدو مرتبطة بمهام التوظيف، لكنها تحتوي على برمجيات خبيثة أو روابط تؤدي إلى مواقع مصممة لجمع بيانات الدخول.
وتكمن خطورة هذه الأساليب في أنها تستهدف العنصر البشري، الذي قد يمنح المهاجم فرصة للدخول إلى شبكة الشركة دون الحاجة إلى كسر أنظمة الحماية مباشرة.
ولهذا تتجه المؤسسات إلى تشديد إجراءات التحقق من جهات التوظيف، وتقييد تنزيل البرامج غير المعتمدة، وتدريب الموظفين على التعامل مع الملفات والروابط غير الموثوقة.
كما أن استخدام أجهزة منفصلة للمهام الحساسة، وتطبيق المصادقة متعددة العوامل، ومراقبة الأنشطة غير المعتادة، يمكن أن يقلل من فرص انتقال الهجوم من جهاز واحد إلى أنظمة أخرى.
كيف استُخدمت المعلومات للوصول إلى المحافظ؟
ذكرت بينانس أن المهاجمين تمكنوا من استغلال معلومات وبيانات اعتماد مرتبطة بفريق تطوير المحافظ، قبل تنفيذ عمليات تحويل للأصول الرقمية.
وتحدثت التقارير عن نقل نحو 233.46 مليون وحدة من عملة XRP من خمس محافظ متصلة بالإنترنت خلال دقائق، مع استمرار عمليات سحب وتحويل لاحقة لفترة أطول.
وتعرف المحافظ المتصلة بالإنترنت باسم المحافظ الساخنة، وهي تستخدم لتسهيل الوصول السريع إلى الأصول الرقمية وإجراء المعاملات، لكنها قد تكون أكثر عرضة للمخاطر السيبرانية مقارنة بالمحافظ غير المتصلة بالشبكة.
ولا يعني ذلك أن المحافظ الساخنة غير آمنة بطبيعتها، بل إن مستوى الحماية يعتمد على طريقة إدارة المفاتيح الخاصة، وآليات الموافقة على المعاملات، ومراقبة التحويلات، والفصل بين الصلاحيات.
ما الإجراءات التي أعلنتها المنصة؟
قالت بينانس إنها تمكنت من تجميد أصول تقدر بنحو 2.85 مليار دولار، وأعلنت أنها ستعوض العملاء المتضررين.
وتبرز أهمية هذه الخطوة في أن الاستجابة السريعة قد تساعد على الحد من الخسائر، خاصة في بيئة العملات الرقمية التي يمكن أن تنتقل فيها الأصول بين محافظ متعددة خلال وقت قصير.
لكن تجميد الأصول لا يعني بالضرورة استعادة جميع الأموال، لأن بعض التحويلات قد تمر عبر خدمات أو منصات مختلفة، وقد تتطلب عملية التتبع تعاونًا بين جهات متعددة.
كما أن تعويض العملاء يمثل جانبًا منفصلًا عن تحديد المسؤوليات الجنائية أو المدنية، إذ يمكن للشركة اتخاذ إجراءات مالية لحماية المستخدمين بالتوازي مع التحقيق في الواقعة.
اتهامات بشأن جهة الاختراق
أشارت تقارير إلى أن مكتب التحقيقات الفيدرالي الأمريكي نسب الهجوم إلى مجموعة قرصنة كورية شمالية، وهي اتهامات لا تقر بها بيونج يانج.
ويجب التمييز هنا بين التقييمات الاستخباراتية أو الاتهامات التي تعلنها السلطات وبين الأحكام القضائية التي تثبت مسؤولية أشخاص أو جهات محددة.
وتتطلب عمليات الاختراق الدولية تحقيقات تقنية معقدة، تشمل تتبع عناوين المحافظ وتحليل البرمجيات الخبيثة وفحص البنية الرقمية التي استخدمها المهاجمون.
كما أن إسناد الهجوم إلى جهة بعينها قد يعتمد على أنماط تقنية وسلوكيات سبق رصدها في عمليات أخرى، لكن نشر نتائج التحقيقات التفصيلية يظل ضروريًا لفهم مدى قوة الأدلة.
ماذا تعني الواقعة لمستخدمي العملات الرقمية؟
تؤكد الواقعة أن حماية الأصول الرقمية لا تتعلق فقط بقوة كلمات المرور أو أمن المحافظ، بل تشمل أيضًا أمن الموظفين والأجهزة والبرمجيات وسلاسل التوريد التقنية.
فقد يكون النظام الأساسي محميًا بإجراءات متقدمة، لكن اختراق جهاز موظف يمتلك صلاحيات واسعة قد يفتح طريقًا إلى أجزاء حساسة من البنية الرقمية.
ولهذا ينبغي للشركات أن تراجع صلاحيات الوصول بصورة دورية، وتمنح الموظفين الحد الأدنى اللازم لأداء مهامهم، وتفصل بين الأنظمة الحساسة والبيئات المستخدمة في العمل اليومي.
كما يحتاج المستخدمون إلى الحذر من الرسائل التي تطلب تنزيل برامج أو مشاركة بيانات الدخول، وعدم الاحتفاظ بمبالغ كبيرة في محافظ متصلة بالإنترنت دون ضرورة.
الأمن السيبراني لم يعد مسألة تقنية فقط
توضح هذه الحادثة أن الهجمات الرقمية الحديثة أصبحت تعتمد على الجمع بين الخداع البشري والبرمجيات الخبيثة واستغلال الصلاحيات الداخلية.
وبالنسبة لشركات العملات الرقمية، فإن حماية الأصول تتطلب خططًا متكاملة تشمل الموظفين والموردين والأنظمة والعمليات المالية.
أما بالنسبة للمستخدمين، فإن حجم الخسائر المعلن يذكر بأهمية اختيار المنصات التي توفر آليات حماية واضحة، ومتابعة إجراءات الأمان، وعدم التعامل مع أي طلب غير موثوق لتنزيل البرامج أو الكشف عن بيانات الحساب.
