كشف موقع Coin Edition أن كيانا غير معروف مقره الاتحاد الأوروبي ربما تعرض لخسارة تتجاوز 106 ملايين دولار، بعد أن سحب مهاجم مزعوم الأموال من عدة منصات تداول مركزية للعملات الرقمية، وأبلغ المحقق في سلاسل الكتل ZachXBT عن عملية السرقة المشتبه بها يوم 2 نوفمبر، موضحا أن المهاجم نقل الأصول المسروقة عبر عدة عملات رقمية وخدمات تبادل فوري.
وتبقى هوية الكيان الأوروبي المتضرر مجهولة حتى لحظة نشر التقرير، فيما تتواصل جهود التتبع والتحقيق، ولم يتمكن المحققون حتى الآن من تحديد المنصات المركزية المتأثرة بشكل قاطع، ولا الطريقة التي استخدمها المهاجم للوصول إلى الحسابات، كما لم تصدر أي جهة متضررة أو منصة تداول تأكيدا مستقلا للخسائر المبلغ عنها، ما يجعل تفاصيل الحادثة غير مكتملة، وتبقى الأرقام المعلنة في إطار الاشتباه إلى حين ظهور معلومات رسمية إضافية.
مسار الأموال المسروقة عبر خدمات التبادل الفوري
وأفاد الموقع بأن المهاجم المشتبه به سحب الأموال بعملتي USDC وUSDT، ثم حول أجزاء منها إلى عملة إيثريوم ETH، وتعد العملات المستقرة من الأدوات الأكثر استخداما في عمليات النقل السريع للأموال بين المنصات، لأنها تحافظ على قيمة ثابتة نسبيا مقابل الدولار.
واستعان المهاجم بمنصتي التبادل الفوري WellWallet وKyrrex لنقل الأصول بين شبكات مختلفة، وتسمح خدمات التبادل الفوري بتحويل الأصول من عملة إلى أخرى ومن شبكة إلى أخرى خلال وقت قصير، وحدد ZachXBT كذلك خدمة Wagyu بوصفها طرفا شارك في تحويل جزء من الأموال إلى عملة مونيرو Monero بالرمز XMR.
ونتيجة لذلك، تصبح عملية تتبع هذه الأصول المحولة أصعب بكثير، لأن مونيرو تخفي تفاصيل المعاملات، وتمكن المحقق من رصد 11 عنوانا على شبكة إيثريوم ETH مرتبطة بعملية السرقة المشتبه بها، وتشكل هذه العناوين نقطة انطلاق أساسية أمام المحققين لمتابعة حركة الأموال على السلسلة.
كما أظهر مخطط للمعاملات تحركات كبيرة شملت نحو 2.64 مليون USDC و2200 ETH، ورغم ذلك، لم يكشف التقرير عن أسماء المنصات المركزية التي جرت منها عمليات السحب، ويظهر ذلك تنوع الأدوات التي استخدمت في تحريك الأموال عبر شبكات مختلفة.
موقف ZachXBT من تورط Lazarus Group
وأشار الموقع إلى أن ZachXBT أعرب عن ثقة قوية بأن مجموعة Lazarus Group التابعة لكوريا الشمالية لم تقف وراء الهجوم، إلا أنه لم يكشف عن الأدلة المحددة التي استند إليها في هذا التقييم. ويعد هذا الاستبعاد نقطة مهمة في مسار التحقيق، إذ يترك هوية الجهة المنفذة مفتوحة أمام احتمالات أخرى حتى الآن، ولأن الأدلة لم تعلن، يبقى التقييم قائما على تقدير المحقق وحده إلى حين نشر تفاصيل إضافية تدعمه.
ومن جهة أخرى، ما زالت العناصر الأساسية للقضية غير محسومة، فلا الكيان المتضرر معروف، ولا المنصات المركزية التي سحبت منها الأموال، ولا الأسلوب الذي استخدمه المهاجم للوصول إلى الحسابات، لذلك تعتمد الصورة الحالية على ما رصده ZachXBT من حركة الأموال على السلسلة، ومن بينها العناوين الأحد عشر المرتبطة بالسرقة والمخطط الذي يوضح مسار الأصول بين الشبكات والخدمات المختلفة، وهو ما يجعل أي نسبة للهجوم إلى جهة بعينها سابقة لأوانها.
ارتباط الحادثة باختراق Binance وغياب التأكيد الرسمي
وذكر الموقع أن الحادثة تأتي بعد اختراق المحفظة الساخنة لمنصة Binance في 29 أكتوبر، والذي نسبته شركة TRM Labs إلى قراصنة من كوريا الشمالية، وتعد المحافظ الساخنة من أكثر نقاط الضعف حساسية في المنصات، لأنها متصلة بالإنترنت وتستخدم في تنفيذ عمليات السحب والإيداع اليومية.
وتظهر المقارنة بين الحادثتين اختلاف الجهات التي نسبت إليها الوقائع، ففي حادثة Binance وجهت TRM Labs أصابع الاتهام إلى قراصنة كوريا الشمالية، بينما استبعد ZachXBT تورط Lazarus Group في الهجوم الأخير.
في المقابل، لا تزال تفاصيل الواقعة الجديدة غامضة، إذ لم تؤكد أي منصة متضررة أو ضحية بشكل مستقل الخسائر الأخيرة المبلغ عنها، ويبقى مسار التحقيق مرهونا بظهور معلومات جديدة تحدد الجهة المتضررة والمنصات المعنية وطريقة الاختراق.