مكتب التحقيقات الفيدرالي يربط TraderTraitor بسرقة 6.43 مليار دولار من Binance

مقدمة تحليلية

في الأول من نوفمبر 2026، أعلن مكتب التحقيقات الفيدرالي (FBI) رسمياً أن مجموعة القرصنة TraderTraitor، المدعومة من كوريا الشمالية، هي المسؤولة عن سرقة أكثر من 6 مليارات دولار من الأصول الافتراضية من منصة Binance. هذا الهجوم، الذي بلغت قيمته الدقيقة 6.43 مليار دولار، يمثل أكبر عملية سرقة للعملات المشفرة في التاريخ، متجاوزاً بذلك الرقم القياسي السابق البالغ 1.46 مليار دولار الذي سُرق من Bybit في فبراير 2025. شارك في التحقيق كل من الخدمة السرية الأمريكية (USSS) وإدارة التحقيقات الجنائية في مصلحة الضرائب (IRS-CI). وقد أكدت هذه الوكالات أن المهاجمين قاموا بتحويل الأصول المسروقة بشكل أساسي إلى عملة Ethereum (ETH)، ويتوقعون استمرار غسل الأموال عبر خدمات التمويل اللامركزي (DeFi) ومبادلة العملات الفورية.

وقد نشر مكتب التحقيقات الفيدرالي قائمة بعناوين المحافظ المستخدمة في عملية غسل الأصول هذه. في المقابل، أعلنت Binance استئناف المرحلة الأولى من عمليات السحب بين الساعة 6 و 9 صباحاً بالتوقيت العالمي المنسق في نفس اليوم، بعد تعليقها إثر الحادث، مؤكدة أن خدمات الإيداع لم تتأثر.

التحليل التقني

تُعرف TraderTraitor بأسماء متعددة منها Jade Sleet، Pressure Chollima، PUKCHONG، Slow Pisces، وUNC4899، وتنشط هذه المجموعة الكورية الشمالية منذ عام 2020 على الأقل. تستهدف عملياتها قطاع Web3.0 من خلال إغراء الضحايا لتنزيل تطبيقات تحتوي على برمجيات خبيثة. تطورت أساليب المجموعة بشكل مستمر؛ فوفقاً لتقارير من SentinelOne وZscaler ThreatLabz وMicrosoft، تستغل TraderTraitor حالياً مزودي Terraform المخترقين كقناة لتوزيع البرمجيات الخبيثة. تعتمد المجموعة على شركات واجهة لاستهداف الأفراد العاملين في مجالات الأمن السيبراني والذكاء الاصطناعي والبلوكتشين وتوظيف المواهب، وذلك باستخدام إغراءات تتعلق بفرص عمل وهمية.

يتضمن المسار التقني للهجوم ما يلي:

• ناقل الهجوم الأولي: مزودو Terraform مخترقون.
• الحمولة الأولية: Bash loader يحدد ويُنزِّل برمجيات خبيثة مصممة خصيصاً لنظام تشغيل الضحية.
• البرمجيات الخبيثة الرئيسية:
  • FLATROOF: زرع متعدد المنصات (cross-platform) يعتمد على Python، يسرق البيانات الحساسة من الضحية.
  • ROOFDECK: باب خلفي (backdoor) يمنح المهاجمين تحكماً عن بعد كاملاً بالنظام.

• الأنظمة المستهدفة: أنظمة macOS وLinux وWindows.

كما تُعزز TraderTraitor مرحلة الهندسة الاجتماعية لديها باستخدام الذكاء الاصطناعي (AI) لصياغة إغراءات مقنعة، وإنشاء شخصيات وهمية، وتجنب الكشف. استغلت هذه المجموعة، مثل حملات كورية شمالية أخرى كـ Operation Dream Job لمجموعة Lazarus Group وContagious Interview لـ Famous Chollima، الإغراءات المرتبطة بالتوظيف. صرحت Microsoft أن المهاجمين استخدموا "نطاقات مخصصة، وملفات تعريف على وسائل التواصل الاجتماعي، ومعرفة خاصة بالصناعة للظهور كمسؤولين توظيف لشركة ذكاء اصطناعي وبلوكتشين مخادعة، مستخدمين فرص عمل بمهندس برمجيات لبدء الاتصال وتحديد مقابلات مع الأفراد الذين تفاعلوا مع التواصل". تشير هذه الأنشطة إلى تكتيكات متطورة تعتمد على استغلال الثقة وسلاسل التوريد البرمجية.

السياق وتأثير السوق

تؤكد عملية السرقة البالغة 6.43 مليار دولار ضعفاً بنيوياً في أمن منصات العملات المشفرة ومستخدميها. لقد تخطى هذا المبلغ بشكل كبير عملية سرقة 1.46 مليار دولار من Bybit في فبراير 2025، مما يجعله الهجوم الأكبر في تاريخ العملات المشفرة. وفقاً لشركة Elliptic لتحليل البلوكتشين، فإن "هذا الحادث الواحد يضاعف تقريباً إجمالي الأصول المشفرة التي سرقها النظام [الكوري الشمالي]"، حيث يُعتقد أن الجهات المرتبطة بكوريا الشمالية قد سرقت أكثر من 6.5 مليار دولار من الأصول المشفرة في السنوات الأخيرة. هذا يعني أن TraderTraitor وحدها مسؤولة عن ما يقرب من إجمالي سرقات كوريا الشمالية السابقة.

انتشرت الأصول المسروقة عبر 11 سلسلة كتل مختلفة، حيث كانت نسبة 82% منها على شبكتي Ethereum وBitcoin. بينما استأنفت Binance عمليات السحب في الأول من نوفمبر 2026 بين الساعة 6 و 9 صباحاً بالتوقيت العالمي المنسق، فإن الضرر الذي لحق بالثقة أكبر من الأرقام المالية. كان لإجراءات الحماية التي اتخذتها شركات مثل Tether وCircle وRipple وArbitrum وOptimism دور في تجميد 2.85 مليار دولار من الأصول المسروقة. على الرغم من هذا التجميد الجزئي، فإن أكثر من نصف المبلغ المسروق، أي 3.58 مليار دولار، لا يزال متداولاً، مما يثير تساؤلات جدية حول فعالية التدابير الأمنية الحالية في منع هذه السرقة الضخمة. إن استهداف TraderTraitor المتكرر لمنصات مثل DMM Bitcoin (308 مليون دولار)، وKelpDAO (290 مليون دولار)، وBitget، بالإضافة إلى Bybit، يكشف عن استراتيجية ممنهجة تستغل الثغرات في بيئة Web3.0 المزدهرة.