قراصنة «بينانس» يستخدمون أساليب غير مسبوقة لغسل الأموال المشفرة

آلاف التحويلات تشير إلى غسل أموال آلي

حددت شركة تحليلات البلوكشين «تشيناليزيس» (Chainalysis) عملية غسيل أموال آلية مشتبه بها في 30 أكتوبر بعد سرقة من منصة «باينانس» قدرت قيمتها بـ 6.4 مليار دولار، ووصفتها بأنها أكبر سرقة للعملات المشفرة على الإطلاق. وصرحت الشركة قائلة:

"يلاحظ محققونا أنماط غسيل أموال لم يسبق لها مثيل للأموال المسروقة من اختراق منصة Binance."

تشير آلاف المعاملات التي تمت في فترة قصيرة إلى وجود عملية آلية تهدف إلى إخفاء الأثر.

تتبع المحققون عمليات تحويل متكررة بين العناوين، بما في ذلك عمليات إعادة الأموال إلى محافظ تم استخدامها في وقت سابق من التسلسل. تلقى العديد من العناوين في البداية مبلغ 1 TRX بالضبط، وهو الرمز الأصلي لـ Tron المستخدم لدفع رسوم المعاملات، قبل قبول المزيد من الأموال وتحويل الأصول إلى أماكن أخرى. وأضافت Chainalysis: "يشير هذا التسلسل المتكرر إلى وجود عملية برمجية لنقل الأموال المسروقة وإعادة توزيعها."

المحققون يتتبعون نقاط الوصول والصلات بكوريا الشمالية

كشف ريتشارد تنغ، الرئيس التنفيذي المشارك لشركة «بينانس»، عن نقاط اختراق إضافية وعن تجاوز ضوابط الموافقة، إلى جانب آلية التدمير الذاتي التي دمرت الأدوات والأدلة. تتبعت Chainalysis تدفقات الأموال إلى حوالي الساعة 4:20 مساءً بالتوقيت الشرقي في 29 أكتوبر، وحددت محفظة إيثريوم تم تمويلها عبر Tornado Cash، وهو أداة خلط للعملات المشفرة تعمل على إخفاء الروابط بين عمليات الإيداع والسحب. قدمت تلك المحفظة تفويضات موقعة صالحة، أو أذونات موقعة تشفيرياً، مما مكّن محفظة «بينانس» الساخنة من تشغيل برنامج نشره المهاجمين وتحويل الأصول إلى عناوين يسيطر عليها المهاجمون.

أشارت أنماط غسل الأموال في البداية إلى تورط «ترايدر ترايتور»، وهي مجموعة جرائم إلكترونية كورية شمالية. ثم لاحظت Chainalysis اختلاط أصول Binance المسروقة مع عائدات سرقة Bitget التي وقعت في سبتمبر، والتي نُسبت سابقًا إلى جهات كورية شمالية، مما عزز تفسيرها بأن الهجوم من تنفيذ Tradertraitor. وبشكل منفصل، نسبت TRM Labs هجوم Binance إلى Tradertraitor بثقة عالية، مستندةً إلى معلومات استخباراتية من داخل السلسلة وخارجها.

سباق مبادلات العملات المستقرة ضد تجميد الأصول

وأوضحت Chainalysis:

"يستغرق تجميد الأموال وقتًا. حاول المهاجم أن يسبق هذه العملية عن طريق نقل 500 مليون دولار من العملات المستقرة بسرعة إلى محفظة كانت مهمتها استبدال تلك الأصول القابلة للتجميد بأصول غير قابلة للتجميد."

يمكن أن تمنع ضوابط تجميد العملات المستقرة والقائمة السوداء العناوين المحددة من تحويل التوكنات المتأثرة، في حين أن الإيثر الأصلي لا يمتلك آلية مكافئة خاضعة لسيطرة المُصدر.

على مدار ما يقرب من 20 دقيقة، قامت المحفظة بتبادل 325 مليون دولار من العملات المستقرة مقابل ما يقارب 285 مليون دولار من الإيثر، ثم نقلت المبلغ المتبقي البالغ 175 مليون دولار إلى محافظ وسيطة بعد 10 دقائق. بدأت عمليات التجميد في الساعة 5:14 مساءً بالتوقيت الشرقي يوم 29 أكتوبر، حيث أفادت شركة Chainalysis بتجميد حوالي 2.8 مليار دولار في تقريرها الصادر في 30 أكتوبر. من ناحية أخرى، قدرت منصة Binance المبلغ الإجمالي بنحو 3 مليارات دولار في ذلك اليوم.

كما ذكرت البورصة أنها خصصت أكثر من 6.34 مليار دولار من أموال الشركة لتغطية تكاليف الحادث، باستثناء الأصول المجمدة. ومن هذا المبلغ، كان 5 مليارات دولار محتفظًا بها بالفعل في شكل توكنات متأثرة. وكانت عمليات الشراء جارية عبر قنوات السوق وقنوات التداول خارج البورصة لتغطية الأصول المتبقية.