أموال اختراق «بينانس» توزعت على 12,000 محفظة خلال أقل من 4 أيام

آلاف المحافظ توسع نطاق مسار غسل الأموال

أفادت شركة Elliptic المتخصصة في تحليلات البلوكشين في 2 نوفمبر أن الأصول المشفرة المسروقة من منصة Binance انتقلت عبر ما يقرب من 12,000 محفظة عبر 11 سلسلة بلوكشين في أقل من أربعة أيام. تتبع تحليلها لعملية غسل الأموال التي شملت 12,000 محفظة أكثر من 40,000 معاملة عقب سرقة 6.43 مليار دولار في 29 أكتوبر. صرحت Elliptic:

"عملية غسل الأموال معقدة للغاية ومن الواضح أنها تتم آليًا."

وكانت شركة «Chainalysis» قد حددت أنماط غسل أموال آلية مشتبه بها في 30 أكتوبر، حيث لاحظت تحويلات متكررة بين العناوين وعودة الأموال إلى محافظ تم استخدامها سابقًا. وحصلت العديد من عناوين الاستلام على 1 TRX بالضبط، وهي العملة المشفرة الأصلية لـ «Tron»، كرسوم معاملات قبل قبول وتحويل أرصدة أكبر. ويشير هذا التسلسل المتكرر إلى أن برنامجًا ما كان يعيد توزيع العائدات.

وقال ريتشارد تنغ، الرئيس التنفيذي المشارك لشركة Binance، في مقطع فيديو نُشر في 30 أكتوبر، إن عملية السرقة نفسها تضمنت نقاط دخول إضافية وتجاوزت ضوابط الموافقة. ووصف التحقيق بأنه امتد إلى ما هو أبعد من جهاز الكمبيوتر المحمول الذي كان يُشتبه في تعرضه للاختراق في البداية. كما أدى آلية التدمير الذاتي إلى إتلاف أدوات الهجوم وآثاره، مما زاد من تعقيد التحقيق الذي أجرته البورصة.

التحويلات الآلية تؤدي إلى الخزائن وخلط البيتكوين

حددت شركة Elliptic توقيتًا ثابتًا ومبالغ محددة ومحاولات إعادة أعمى. وأشارت تلك الأنماط إلى استخدام نصوص برمجية تقليدية. ولم تجد الشركة أي دليل على أن برامج الذكاء الاصطناعي كانت تتخذ قرارات بشأن التحويلات.

كما استخدم المهاجم خزائن الإقراض، وهي عقود بروتوكولية تقبل الودائع وتعالج عمليات السحب، للإيداع من عنوان واحد والسحب إلى عناوين أخرى دون تحويل مباشر بينها. بدأ خلط البيتكوين في 1 نوفمبر، حيث مرت حوالي 28 بيتكوين، بقيمة 2.2 مليون دولار، عبر 18 عملية «كوينجوين» بحلول أوائل 2 نوفمبر. تجمع عمليات «كوينجوين» مدخلات ومخرجات البيتكوين الخاصة بعدة مستخدمين في معاملات مشتركة، مما يجعل تتبع التحركات الفردية أكثر صعوبة.

تزامنت محاولات نقل الأصول مع توقف «Thorchain» الطارئ لعمليات المبادلة. فقد قام البروتوكول، الذي يتيح مبادلة العملات المشفرة عبر سلاسل الكتل، بتفعيل إجراءات الحماية بعد حدوث تباين محاسبي شمل 10 ETH في 31 أكتوبر. وأفادت «Chainalysis» أن هذا الخلل أدى عن غير قصد إلى تأخير عمليات غسل الأموال المرتبطة بسرقة «Binance».

البورصات تواجه ضغوطًا لمنع محاولات سحب الأموال

نسب مكتب التحقيقات الفيدرالي (FBI) سرقة Binance إلى كوريا الشمالية في 31 أكتوبر، وحدد النشاط على أنه من تنفيذ «Tradertraitor»، وهي مجموعة قرصنة ترعاها الدولة الكورية الشمالية. وبالتعاون مع جهاز الخدمة السرية الأمريكية وإدارة التحقيقات الجنائية التابعة لمصلحة الضرائب الأمريكية (IRS)، لاحظ المكتب تحويلات إلى عملة الإيثر بشكل أساسي. وحثت السلطات البورصات ومشغلي البنية التحتية وخدمات التمويل اللامركزية على حظر المعاملات التي تشمل العناوين المدرجة في القائمة.

يعتمد التدخل جزئيًا على الأصول المعنية. تتيح ضوابط تجميد العملات المستقرة وإدراجها في القائمة السوداء للمُصدرين منع العناوين المحددة من تحويل التوكنات حتى عندما يتحكم حاملوها في مفاتيح محافظهم. ويمكن لمنصات التداول أن تقيد الإيداعات أو تجمد الحسابات بشكل منفصل، مما يوفر نقطة تدخل أخرى للعملات المشفرة التي لا تخضع لتجميد يسيطر عليه المُصدر.

يتتبع الرسم البياني الصادر عن شركة «إليبتيك» مسار الأصول المسروقة بدءًا من شكلها الأصلي في 29 أكتوبر مرورًا بعمليات المبادلة والتجميد وصولاً إلى الرصيد المتبقي حتى 2 نوفمبر. ويُظهر الرسم البياني تجميد مبلغ 2.85 مليار دولار، في حين احتفظ المهاجم بحوالي 1.43 مليار دولار من البيتكوين موزعة على 40 عنوانًا و1.37 مليار دولار من الإيثر موزعة على 857 عنوانًا. وتدفقت مبلغ 16 مليون دولار منفصل إلى عناوين تحتوي على عائدات استغلال ثغرة Bitget، مما يشير إلى أن بعض الأموال من عمليتي السرقة قد تم دمجها.

إن تحويل عملة مشفرة إلى أخرى لا يُعتبر في حد ذاته عملية سحب نقدي. وقدرت Elliptic أن ما يقارب 3.24 مليار دولار لا يزال موجودًا في العناوين المرتبطة بالسرقة في وقت المراقبة المذكور، معظمها من الإيثر والبيتكوين. وتوقعت الشركة محاولات سحب نقدي في نهاية المطاف عبر وسطاء خارج البورصة على مدار عدة أشهر.