اختراق حصون باينانس أسرار سرقة الملايين

في عالم المال الرقمي، حيث تتحرك المليارات عبر خوارزميات صامتة لا تنام، كانت منصة باينانس تبدو لسنوات طويلة أشبه بقلعة حصينة تحرسها أعقد شفرات التعمية في التاريخ الحديث، غير أن هذا الحصن العملاق تعرض لهزتين تاريخيتين كشفتا الوجه الخفي لحرب العقول في الفضاء السيبراني، وأزاحتا الستار عن تفاصيل مذهلة لعمليتي سطو رقمي لم تُستخدم فيهما الأقنعة أو الأسلحة النارية، بل سطور برمجية خبيثة وصبر استراتيجي طويل الأمد جعل من هاتين الواقعتين مادة دسمة لأعقد التحقيقات الجنائية الرقمية في العالم.

بدأت الفصول الأولى للقصة في 7 مايو عام 2019، وتحديداً عند الساعة 5:17 مساءً بتوقيت غرينتش، حين دوت صفارات الإنذار الصامتة في غرف المراقبة الأمنية للمنصة بعد تسجيل معاملة واحدة غير اعتيادية عند الكتلة رقم 575,012 على شبكة البيتكوين، إذ لم تكن تلك المعاملة مجرد تحويل عادي، بل كانت نزيفاً مباشراً لمحفظة المنصة الساخنة المتصلة بالإنترنت، خرجت عبرها 7,074 عملة بيتكوين في لحظة واحدة، وهو ما كان يعادل حينها أكثر من 40 مليون دولار أمريكي، لتقفز بعدها تساؤلات المحققين حول الكيفية التي تمكن بها المهاجمون من تجاوز جدران الحماية المتعددة دون إثارة انتباه أنظمة إدارة المخاطر إلا بعد فوات الأوان وخروج الأموال فعلياً إلى الشبكة العامة.

كشفت التحقيقات الجنائية المعمقة التي أجرتها فرق الأمن السيبراني بالتعاون مع شركات تتبع سلاسل الكتل مثل تشين أناليسيس وسايفر تريس أن العملية لم تكن وليدة الصدفة، بل كانت ثمرة أشهر طويلة من العمل الاستخباراتي الدقيق الذي نفذته مجموعة قرصنة محترفة تقاطعت بصماتها التقنية مع مجموعات الجريمة المنظمة العابرة للحدود، وعلى رأسها مجموعة لازاروس الكورية الشمالية الشهيرة باستهداف البنى التحتية المالية، حيث اعتمد المهاجمون استراتيجية المركب المتراكم عبر الجمع بين التصيد الاحتيالي الموجه والبرمجيات الخبيثة وهندسة الخداع الاجتماعي، فزرعوا فيروسات متطورة في أجهزة عدد من المستخدمين ذوي الملاءة المالية العالية، وتمكنوا بصبر بالغ من سرقة مفاتيح واجهات برمجة التطبيقات الخاصة بالتداول الآلي، إلى جانب رموز المصادقة الثنائية ومعلومات الجلسات النشطة، وبدلاً من سحب الأموال فرادى وإثارة ريبة النظام، انتظر القراصنة في الظل حتى جمعوا غنائمهم من المفاتيح الرقمية، ثم أصدروا أوامر سحب متزامنة ومبرمجة بدقة متناهية في أجزاء من الثانية، مما خدع الخوارزميات الأمنية وجعلها تصنف العملية ضمن النشاط الطبيعي قبل أن تكتشف أن المحفظة الساخنة قد أُفرغت من محتواها الذي كان يمثل نحو 2% من إجمالي احتياطيات البيتكوين لدى المنصة.

في تلك الليلة العصيبة، وبينما كان العالم يترقب مصير المنصة الأكبر عالمياً، دارت في الكواليس نقاشات سرية بالغة الحساسية لم يخرج معظمها إلى العلن إلا لاحقاً، إذ طرح تشانغبينغ زاو، المؤسس والرئيس التنفيذي للمنصة، بالتشاور مع نخبة من مطوري شبكة البيتكوين البارزين مثل جيريمي روبن، فكرة غير مسبوقة تمثلت في إعادة هيكلة سلسلة كتل البيتكوين أو ما يُعرف تقنياً بإعادة التنظيم، وكانت الخطة تقضي بإقناع كبار المعدنين في العالم بتجاهل الكتلة التي تضمنت المعاملة المسروقة وبناء سلسلة بديلة مقابل منحهم جزءاً من الأموال المستردة كعمولات مجزية، وهو إجراء كان كفيلاً بإلغاء السرقة وكأنها لم تكن، غير أن النقاشات المحتدمة التي استمرت حتى ساعات الفجر الأولى انتهت بتراجع إدارة المنصة عن هذا الخيار الجذري بعد أن أدركت أن التلاعب بتاريخ المعاملات سيهدم الركيزة الأساسية التي قامت عليها العملات المشفرة، وهي عدم قابلية السجلات للتغيير، فاتجهت المنصة فوراً إلى تفعيل صندوق حماية الأصول الآمنة للمستخدمين، وهو صندوق طوارئ كانت قد أسسته قبل الحادثة بعام واحد عبر اقتطاع 10% من رسوم التداول، لتعوض جميع المتضervين بالكامل من أموالها الخاصة، بينما واصل المحققون مطاردة القراصنة الذين عمدوا إلى تفتيت المبلغ المسروق إلى مئات المحافظ الفرعية وتمريره عبر خلاط العملات الشهير تشيب ميكسر لطمس الأثر الجنائي، قبل أن يُغلق ذلك الخلاط لاحقاً في عملية دولية مشتركة قادتها الشرطة الأوروبية ومكتب التحقيقات الفيدرالي.

لم تكن حادثة عام 2019 سوى فصل أول، إذ شهدت ليلة 6 أكتوبر عام 2022 الهجوم الأخطر والأضخم في تاريخ منظومة باينانس، وهو هجوم لم يستهدف هذه المرة محافظ المستخدمين أو كلمات مرورهم، بل ضرب في الصميم البنية التحتية للجسر الرابط بين شبكتي المنصة، والمعروف باسم مركز رموز سلسلة باينانس الذكية، حيث استيقظ مهندسو الشبكة على كارثة رقمية تجاوزت قيمتها 570 مليون دولار، ولكن المفارقة الصادمة التي كشفتها التحقيقات الأولية هي أن السارق لم ينهب عملات موجودة سلفاً، بل استغل ثغرة رياضية خفية لطباعة 2,000,000 عملة من عملة المنصة الأساسية من العدم وتحويلها مباشرة إلى محفظته الخاصة في معاملتين متتاليتين، كل واحدة منهما بقيمة 1,000,000 عملة.

أظهرت التقارير الفنية المفصلة الصادرة عن شركات التدقيق الأمني مثل سلو ميست وهالبورن أن المنفذ كان خبيراً متمرساً في علم التعمية وهندسة العقود الذكية، إذ اكتشف خللاً دقيقاً في الطريقة التي يتحقق بها الجسر الرقمي من إثباتات شجرة ميركل، وتحديداً في مكتبة التحقق البرمجية المستندة إلى بنية كوزموس وتندرمنت، فاستعان المهاجم بمعاملة قديمة وشرعية مسجلة في أكتوبر عام 2020 عند الكتلة رقم 110,217,401، ثم قام بحقن بيانات مزيفة في ذيل تلك المعاملة الشرعية مستغلاً حقيقة أن خوارزمية التحقق كانت تكتفي بفحص المسار الأولي للإثبات وتتجاهل التدقيق في الحمولات الإضافية الملحقة به، وبفضل هذه الخدعة البرمجية البارعة، اقتنع العقد الذكي للجسر بأن المهاجم يمتلك رصيداً ضخماً محجوزاً على السلسلة الأم، فقام فوراً بصك 2,000,000 عملة جديدة وإرسالها إلى عنوانه الرقمي دون وجود أي غطاء مالي حقيقي لها.

فور استلام الغنيمة الهائلة، بدأ المهاجم سباقاً محموماً مع الزمن لغسل الأموال وتهريبها خارج نطاق سيطرة المنصة قبل اكتشاف الثغرة، فاتجه في الدقائق الأولى إلى بروتوكول فينوس للتمويل اللامركزي، وأودع فيه 900,000 عملة كضمان مالی ليقترض مقابلها نحو 147 مليون دولار من العملات المستقرة، ثم شرع في توزيع السيولة المتبقية عبر جسور رقمية متعددة مثل ستارغيت وملتي تشين لتهريبها إلى شبكات أخرى كإيثيريوم وأربيتروم وبوليغون وفانتوم وأفالانش، غير أن يقظة غرف العمليات واستجابتها السريعة قلبت الطاولة على المهاجم في مشهد درامي نادر الحدوث في عالم الشبكات اللامركزية.

في غضون ساعات قليلة من رصد الخلل، اتخذت إدارة المنصة ومطورو الشبكة قراراً استثنائياً غير مسبوق، إذ تواصلوا بشكل عاجل مع 26 مدققاً موزعين حول العالم يمثلون العصب المشغل للشبكة، وأصدروا أمراً جماعياً بإيقاف سلسلة باينانس الذكية عن العمل بشكل كامل ومؤقت، ما أدى إلى شل حركة المعاملات وتجميد الشبكة في اللحظة الحاسمة، وكانت نتيجة هذه الضربة الاستباقية احتجاز أكثر من 430 مليون دولار من العملات المسروقة داخل محفظة المخترق نفسه، حيث تحولت تلك الملايين بلمح البصر إلى أرقام حبيسة لا يمكن تحريكها أو التصرف فيها، بينما تضافرت جهود شركات العملات المستقرة والمنصات المركزية لملاحقة المبالغ التي نجح المهاجم في تهريبها عبر الجسور قبل الإغلاق، والتي قُدرت بنحو 127 مليون دولار، فبادرت شركة تيثر فوراً إلى إدراج عناوين السارق في القائمة السوداء وتجميد ملايين الدولارات من عملتها المستقرة على شبكة إيثيريوم، وحذت حذوها منصات التداول الكبرى التي أغلقت كافة المنافذ أمام المحافظ المشبوهة.

استكمالاً لعملية استرجاع الأموال وتطهير الشبكة من آثار العدوان، أطلق المطورون تحديثاً برمجياً طارئاً عُرف باسم انقسام موران الصلب، جرى بموجبه تعديل الكود المصدري للشبكة لإدراج عناوين المهاجم في قائمة الحظر الدائم وإغلاق الثغرة البرمجية في نظام التحقق من الإثباتات، ولكن بقيت معضلة كبرى تتمثل في 900,000 عملة المحتجزة كضمان داخل بروتوكول فينوس، إذ كان بيعها في السوق المفتوحة لتسديد القروض سيؤدي إلى انهيار سعري كارثي، وهنا تدخلت المنصة عبر آلية الحوكمة، فطُرح مقترح عاجل للتصويت منح باينانس الحق الحصري في تصفية ذلك الضمان الضخم تدريجياً وبأمان تام بعيداً عن تقلبات السوق، مع ضخ سيولة نقدية لتغطية الديون المعدومة داخل البروتوكول، بالتزامن مع استخدام آلية الحرق التلقائي لإعدام العملات المزيفة التي طُبعت ليلة الاختراق، لتنتهي بذلك فصول أعقد عملية سطو واسترداد في تاريخ الأصول الرقمية دون أن يفقد مستخدم واحد فلساً من مدخراته، تاركة وراءها دروساً قاسية أعادت صياغة معايير الأمن السيبراني في هندسة الجسور المالية الحديثة.

وراء البيانات الرسمية التي أعلنتها منصة باينانس في أعقاب عمليتي اختراق عامي 2019 و2022، تقبع ملفات استخباراتية وتقنية ظلت طي الكتمان لسنوات في أروقة غرف العمليات المغلقة ومكاتب التحقيقات الفيدرالية، وهي تفاصيل تكشف أن ما ظهر للعلن لم يكن سوى قمة جبل الجليد في حرب أشباح حقيقية دارت رحاها في الخفاء.

أولى هذه الأسرار الخفية تعود إلى ما قبل سرقة مايو 2019 بنحو 14 شهراً، وتحديداً في مارس وليوليو من عام 2018، حين تعرضت المنصة لما يُسمى في الأوساط الأمنية بالبروفة الصامتة، ففي تلك الفترة تمكنت مجموعة مجهولة من زرع برمجيات تجسس وسرقة مفاتيح واجهات برمجة التطبيقات الخاصة بعدد من المتداولين، لكن بدلاً من سحب الأموال مباشرة، لجأ القراصنة إلى حيلة تداول وهمية، إذ فتحوا محافظ خاصة بهم واشتروا كميات ضخمة من عملات رقمية مغمورة مثل فياكوين وسيسكوين، ثم استخدموا حسابات الضحايا المخترقة لشراء تلك العملات بأسعار فلكية في ثوانٍ معدودة لرفع قيمتها اصطناعياً بآلاف الأضعاف وتحقيق أرباح فورية، وحين حاولوا سحب الأرباح، انطلقت صافرات الإنذار الآلية في المنصة وجُمّدت حساباتهم قبل خروج دولار واحد، غير أن الكارثة الحقيقية تمثلت في أن العقول المدبرة لهجوم عام 2019 درست هذا الفشل بدقة متناهية، وأدركت أن خوارزميات باينانس حساسة للغاية تجاه تقلبات الأسعار داخل السوق، لكنها تعاني من نقطة عمياء إذا ما جرى تنفيذ عمليات سحب مباشرة ومتزامنة من المحفظة الساخنة دون المرور بمنصات التداول الداخلي، وهو الدرس الذي مكنهم من تنفيذ ضربتهم الكبرى لاحقاً بنجاح تام.

لم تتوقف خيوط المؤامرة في عام 2019 عند حدود السرقة المالية، بل أعقبتها بعد أسابيع قليلة حادثة ابتزاز غامضة هزت أركان الإدارة العليا للمنصة، إذ ظهر شخص يلقب نفسه باسم غارديان إم، وتبعه حساب آخر يحمل اسم بناتوف بلاتون، وتواصل مع إدارة باينانس سراً مطالباً بفدية قدرها 300 عملة بيتكوين مقابل عدم نشر قاعدة بيانات سرية تضم 10,000 صورة لوثائق هوية وجوازات سفر عائدة لمستخدمي المنصة وهم يحملون أوراقاً مكتوباً عليها اسم باينانس وتاريخ اليوم، وعلى الرغم من أن المنصة أعلنت لاحقاً أن تلك الوثائق سُرقت من شركة وساطة خارجية كانت تتولى تدقيق الهويات في مطلع عام 2018، إلا أن المحققين الجنائيين ربطوا في تقاريرهم غير المعلنة بين هذه التسريبات وبين هجوم مايو، حيث رجحوا أن القراصنة استخدموا تلك القائمة المسربة لتحديد هويات كبار الأثرياء وأصحاب الحسابات الضخمة بدقة جراحية، مما سهل عليهم استهدافهم برسائل تصيد شخصية متقنة منحتهم مفاتيح الدخول إلى المحفظة الساخنة.

أما السر الأكبر المتعلق بهوية منفذي هجوم 2019 ومصير الأموال، فقد ظل مدفوناً داخل خوادم مشفرة حتى 15 مارس عام 2023، حين نفذت الشرطة الجنائية الفيدرالية الألمانية بالتعاون مع مكتب التحقيقات الفيدرالي الأمريكي عملية دهم دولية أسفرت عن مصادرة خوادم خلاط العملات الشهير تشيب ميكسر، ووضع اليد على 7 تيرابايت من البيانات السرية التي كان يديرها عبقري التعمية الفيتنامي مينه كوك نغوين، الحاصل على دكتوراه في الهندسة الإلكترونية، فبعد فك تشفير الصندوق الأسود للخلاط، صُدم المحققون حين اكتشفوا أن الـ 40 مليون دولار المسروقة من باينانس قد جرى غسلها في نفس القنوات والمحافظ الرقمية التي استُخدمت لغسل أموال سرقتها مجموعة لازاروس الكورية الشمالية من جسر رونين وهارموني، والأدهى من ذلك أن السجلات أظهرت تقاطعاً مالياً مع محافظ تابعة للوحدة العسكرية الروسية رقم 26165، المعروفة استخباراتياً باسم فانسي بير، مما كشف عن وجود سوق سوداء مشتركة لتبييض الأموال تجمع بين أخطر أجهزة الاستخبارات السيبرانية في العالم.

وفيما يخص الاختراق التاريخي لجسر باينانس في أكتوبر عام 2022، فإن أعظم أسراره لم يكن في المبلغ المسروق، بل في الكارثة العالمية التي كادت أن تقع لولا غرفة عمليات سرية شُكّلت في الظلام، فبينما كان العالم يتابع أخبار تجميد شبكة باينانس، اكتشف الباحث الأمني الشهير المعروف بالاسم الحركي سامكسون، بالتعاون مع كبير مهندسي شبكة كوزموس إيثان بوخمان، أن الثغرة التي استغلها السارق لطباعة 2,000,000 عملة لم تكن خطأً برمجياً خاصاً بباينانس وحدها، بل كانت عيباً قاتلاً في مكتبة برمجية أساسية تعتمد عليها عشرات الشبكات والمشاريع الكبرى المبنية على بنية كوزموس حول العالم، وفي لحظة رعب صامت، أدرك المهندسون أن أي قرصان يقرأ كود عملية باينانس سيتمكن فوراً من استنساخ الهجوم وسرقة مليارات الدولارات من شبكات أخرى، فجرى إنشاء غرفة طوارئ مشفرة عبر تطبيقات تواصل عالية السرية ضمت كبار مطوري الشبكات العالمية، وعملوا في سباق محموم لمدة 72 ساعة متواصلة تحت تعتيم إعلامي مطلق لترقيع وتحديث عشرات السلاسل الرقمية في العالم قبل أن يُكشف السر التقني للثغرة التي سُجلت لاحقاً تحت الرمز الدولي للثغرات الحرجة.

ومن التفاصيل الخفية الطريفة والمثيرة في آن واحد خلال ليلة هجوم 2022، أن السارق، رغم عبقريته الفائقة في الرياضيات والتعمية، ارتكب خطأً ساذجاً في الأمن التشغيلي قبل بدء الهجوم بساعات، إذ قام بتمويل محفظته الفارغة بمبلغ 100 عملة باينانس لدفع رسوم المعاملات الأولية عبر منصة تحويل فوري تُدعى تشينج ناو، معتقداً أنها لا تحتفظ بسجلات المستخدمين، غير أن المنصة كانت تسجل البصمات الرقمية للأجهزة وعناوين الاتصال، وهو الخيط الخفي الذي سُلم لاحقاً لجهات إنفاذ القانون الدولية، كما كشفت تحليلات الكتل أن السارق تعرض هو نفسه للسرقة أثناء هروبه، إذ التقطت خوارزميات التداول الآلي فائقة السرعة، المعروفة ببوتات القيمة القابلة للاستخراج، تحركاته العشوائية أثناء محاولته تبديل العملات المسروقة بأسعار غير متوازنة في المنصات اللامركزية، فقامت تلك الروبوتات الآلية باقتناص ملايين الدولارات من بين يديه في أجزاء من الثانية دون أن تدري أنها تسرق من سارق.

الفصل الأخير من الأسرار الخفية دارت أحداثه بعد الهجوم بـ 8 أشهر كاملة، وتحديداً في يونيو من عام 2023، حين تحولت 900,000 عملة التي تركها المهاجم كضمان داخل بروتوكول فينوس إلى قنبلة موقوتة تهدد بتدمير سوق العملات المشفرة بالكامل، فقد كانت العقود الذكية مبرمجة لتصفية ذلك الضمان تلقائياً وبيعه في السوق المفتوحة إذا هبط سعر عملة باينانس إلى 220 دولاراً، وعندما علمت صناديق التحوط والمضاربون الكبار في وول ستريت وآسيا بهذا السعر السري، شنوا هجوماً مضاربياً شرساً عبر عمليات بيع مكشوفة لدفع سعر العملة نحو الهاوية وتفجير القنبلة لتحقيق أرباح خيالية من الانهيار، وفي ليلة 11 يونيو، هبط السعر بالفعل ليلمس حاجز 220 دولاراً، لكن الكارثة لم تقع؛ إذ تبين أن فريق باينانس كان قد أعد كميناً مضاداً في الخفاء عبر تعديل برمجي أتاح لمحفظة خاصة وممولة سراً بأكثر من 60 مليون دولار من العملات المستقرة أن تتدخل في جزء من الثانية لابتلاع القرض بالكامل وتسديد ديون السارق خارج السوق المفتوحة، لتُحبط بذلك أكبر عملية تلاعب مالي استهدفت استغلال مخلفات الجريمة الرقمية الأكبر في التاريخ.