أورد موقع Coin Edition تقريرا صادرا عن شركة استخبارات البلوكتشين TRM Labs يوم الجمعة، كشف أن قراصنة كوريا الشمالية سرقوا نحو 7.4 مليار دولار من العملات المشفرة في 2026، وهو ما يعادل 85% من إجمالي ما سُرق في اختراقات هذا العام حتى أكتوبر 2026.
ويتضمن التقرير حادثة منصة Binance في 29 أكتوبر التي استولى فيها القراصنة على نحو 6.36 مليار دولار، مما دفع إجمالي خسائر اختراقات الكريبتو إلى رقم قياسي بلغ 8.7 مليار دولار هذا العام.
وكانت كوريا الشمالية مسؤولة أيضًا عن 63% من العملات المشفرة المسروقة في 2025، ونحو 60% من إجمالي ما سُرق خلال السنوات الخمس الماضية، لكن القلق الأكبر لا يكمن في حجم الأموال المسروقة فحسب، بل في طريقة تنفيذ هذه الهجمات.
أساليب اختراق منصات العملات الرقمية
وأفاد الموقع أن TRM Labs وجدت أن قراصنة كوريا الشمالية يتجنبون في الغالب مهاجمة أكواد البلوكتشين مباشرة، ويستهدفون بدلا من ذلك الموظفين والمفاتيح الخاصة وخوادم الشركات وأنظمة الأمان التي تتحكم في الوصول إلى أموال الكريبتو.
فقبل حادثة منصة Binance، كان نحو 76% من الأموال التي سرقها القراصنة تأتي من هجمات على البنية التحتية، وبعد احتساب حادثة Binance ارتفعت هذه النسبة إلى 88%. ويختلف هذا عن هجمات العقود الذكية التقليدية التي يبحث فيها القراصنة عن ثغرات في كود البلوكتشين لاستغلالها.
فمنذ 2022، شكلت هجمات العقود الذكية 49% من الحوادث المسجلة عبر جميع المهاجمين، لكنها لم تمثل سوى 15% من إجمالي الأموال المسروقة، واستخدمت كوريا الشمالية 13 ثغرة برمجية فقط عبر 100 حادثة اختراق مرتبطة بها، ولم تمثل هذه الثغرات سوى نحو 1% من أموالها المسروقة.
وتستخدم طريقة تسميها TRM "Code to Custody" خداع موظفي أو مطوري الكريبتو لتثبيت برمجيات خبيثة، إذ يبدأ الهجوم عادة بمنتحل صفة مسؤول توظيف أو مستثمر يتواصل مع مطور أو موظف كريبتو، ثم يقنعه بتحميل اختبار برمجي أو ملف آخر يحتوي على برمجية خبيثة.
وبمجرد التثبيت، تستطيع البرمجية سرقة بيانات الدخول ومفاتيح الأمان ورموز الوصول السحابي، ليستخدمها القراصنة في الدخول إلى أنظمة الشركة والوصول إلى الأدوات المستخدمة في الموافقة على معاملات الكريبتو، وفي حالات أخرى، يهاجم القراصنة الأنظمة الداخلية للشركة مباشرة بدلًا من استهداف الموظفين، كما حدث في حادثة KelpDAO حيث اختُرقت عقدتان داخليتان من RPC وأُغرقت العقد الخارجية بحركة المرور.
أما في حادثة Binance، فاستخدم القراصنة 50 تصريحا معتمدا مسبقا للمعاملات على إيثريوم ETH ووصلوا إلى نظام توقيع المحفظة الساخنة عبر عدة بلوكتشين، مما يثبت أن المنصات ذات الكود الآمن ليست محصنة تمامًا.
كيف يتم غسل الأموال المسروقة وتجميد الأصول
ونوه الموقع إلى أن قراصنة كوريا الشمالية، وفقا لـTRM Labs، تستخدم عدة طرق لإخفاء العملات المسروقة، إذ يقسمون الأموال بين محافظ جديدة، ويستخدمون أسلوب "سلاسل التقشير" حيث يرسلون مبالغ أصغر مرارا إلى محافظ مختلفة، ثم يستبدلون العملات المسروقة بأصول أخرى أو ينقلونها بين بلوكتشين مختلفة عبر منصات لامركزية وجسور كريبتو.
وبعد اختراقي Bybit وKelpDAO، استخدم المهاجمون THORChain لنقل مبالغ كبيرة وتحويلها إلى بيتكوين BTC، كما يستخدمون خدمات الخلط لتعقيد تتبع الأموال، ليصل جزء منها في النهاية إلى وسطاء ومنصات أصغر تساعد في تحويلها إلى نقد.
أما حادثة Binance فسلكت مسارا مختلفا، إذ باع المهاجم بعض الأصول المسروقة عبر صناع سوق وعقود تداول، واقترض أموالا على Aave وJustLend باستخدام الأصول المسروقة كضمان، ولا يزال يتحكم وفق تحديث TRM في 30 أكتوبر بأكثر من 420,000 ETH و18,270 BTC بقيمة تقارب 2.4 مليار دولار.
لكن رغم ضخامة السرقة، تمكنت شركات العملات المستقرة ومنصات أخرى من تجميد جزء كبير من الأموال، إذ جُمّد نحو 2.7 مليار دولار أي 42% من الأموال المسروقة حتى الساعة 00:30 بتوقيت UTC في 30 أكتوبر، حيث جمّدت Tether نحو 1.77 مليار دولار من USDT، وCircle نحو 825 مليون دولار من USDC، وRipple 40.5 مليون RLUSD، وWorld Liberty Financial 27.8 مليون دولار من USD1، ومجلس أمن Arbitrum نحو 30 مليون دولار.
ويعود سبب إمكان تجميد بعض الأموال دون غيرها إلى نوع العملة، فالعملات المستقرة مثل USDT وUSDC تسيطر عليها شركات مصدرة تستطيع تجميد الرموز المرتبطة بنشاط مشبوه، بينما لا تملك بيتكوين BTC وإيثريوم ETH شركة مركزية تستطيع تجميد أموال مستخدمين بعينهم، لذا يصبح استرداد الأموال أصعب بكثير بعد استبدال العملات المستقرة المسروقة ببيتكوين BTC أوإيثريوم ETH.
طرق الحماية من قراصنة البنية التحتية
وأوضح الموقع أنه مع تصاعد هجمات البنية التحتية، على المستثمرين أن يتجاوزوا أمن العقود الذكية لحماية أصولهم من التصيد والاستيلاء على الحسابات والأجهزة المخترقة، وتشمل الإجراءات العملية حماية عبارة الاسترداد والمفاتيح الخاصة وعدم مشاركتها مع أي شخص أو إدخالها في مواقع تُفتح عبر روابط غير مرغوبة، إذ لا يطلب فريق الدعم الشرعي أبدا عبارة الاسترداد.
ويُنصح باستخدام محفظة أجهزة لإبقاء الحيازات طويلة الأجل دون اتصال، وتفعيل المصادقة الثنائية عبر تطبيق مصادقة أو مفتاح أمان فعلي بدلا من الرسائل النصية، مع تفعيل قوائم السماح للسحب وتنبيهات الدخول.
وينبغي الحذر من عروض العمل والاستثمار المزيفة وتجنب تحميل ملفات غير مألوفة أو تشغيل أكواد غرباء، مع تحديث الأجهزة وبرامج المحافظ من مصادر رسمية وتجنب الإضافات المشبوهة، وفصل الحيازات بين محافظ للتخزين طويل الأجل وأخرى للمعاملات اليومية والتطبيقات اللامركزية، والتحقق من كل معاملة بفحص العناوين والمبالغ والأذونات قبل التوقيع.
وتؤكد حادثة Binance الأخيرة أن المهاجمين الذين يصلون إلى بنية التوقيع الحيوية قادرون على سرقة مبالغ هائلة، مما يستوجب من المنصات تعزيز ضوابط الوصول الداخلي ومراقبة أنظمة التوقيع والتحقق من الموظفين والمتعاقدين والاستجابة السريعة للنشاط المشبوه، خاصة مع استحواذ العمليات المرتبطة بكوريا الشمالية على نحو 85% من قيمة سرقات الكريبتو في 2026.