في أكبر عملية سطو على العملات المشفرة حتى الآن، فقدت بورصة Bybit التي مقرها سيشل حوالي 1.5 مليار دولار في Ethereum (ETH) في 21 فبراير 2025 بسبب اختراق متطور من قِبَل قراصنة مرتبطين بكوريا الشمالية.

أكد الرئيس التنفيذي لـ Bybit، بين زو، الاختراق، مشيرًا إلى تصاعد كبير في الجريمة الالكترونية المستهدفة لصناعة العملات المشفرة، مما يثير أسئلة حرجة حول أمن الأصول الرقمية.

دعونا نحاول إجراء تحليل متعمق للاختراق، والأساليب التقنية المستخدمة، ودور تحليل البلوكشين، وتورط مجموعة لازاروس، والتداعيات الأوسع على نظام العملة المشفرة.

Bybit: لاعب رئيسي في سوق العملات المشفرة

تأسست Bybit في عام 2018 وتقع مقرها في سيشل، وقد أثبتت نفسها كواحدة من البورصات الرائدة للعملات المشفرة، المعروفة بحجم تداولها الكبير وتنوع عروضها، بما في ذلك شراء وبيع العملات المشفرة بالأسعار الحالية في السوق، والمضاربة على تحركات الأسعار المستقبلية بالرافعة المالية، وكسب المكافآت بتجميد الأموال لدعم عمليات البلوكشين.

واجهة المستخدم السهلة في البورصة وسجلها في اتخاذ تدابير أمنية قوية، مثل المحافظ الباردة متعددة التوقيع (multi-sig) وعمليات التدقيق الأمني المنتظمة، جذب قاعدة مستخدمين عالمية. جعلت هذه السمعة الاختراق مقلقًا بشكل خاص، حيث كشف عن مواطن ضعف حتى في الأنظمة الأكثر ثقة.

اكتشاف الاختراق

تم تحديد الاختراق لأول مرة من قِبَل المحلل على السلسلة ZachXBT، الذي حذر من تدفقات مشبوهة بلغ إجماليها 1.46 مليار دولار من محافظ Bybit في الساعة 10:20 صباحًا بالتوقيت الشرقي في 21 فبراير 2025.

هذه التدفقات الناتجة عن 401,347 ETH أثارت قلقًا فوريًا بشأن اختراق محتمل للأمن. في غضون 30 دقيقة، أكد الرئيس التنفيذي لـ Bybit بن زو الاختراق في منشور على X (المعروفة سابقًا بتويتر)، ونسب الهجوم إلى تقنيات "مقنعة" في المعاملة اسُتغل فيها نظام المحفظة الباردة متعددة التوقيع للبورصة أثناء عملية تحويل روتينية إلى محفظة دافئة.

فهم المحافظ الباردة متعددة التوقيع وأمانها

ما هي المحفظة الباردة متعددة التوقيع؟

المحفظة الباردة متعددة التوقيع (multi-sig) هي نوع من تخزين العملات المشفرة مصمم لتحسين الأمن من خلال طلب مفاتيح خاصة متعددة لتفويض صفقة.

على عكس المحافظ ذات مفتاح واحد، التي تعتمد على مفتاح واحد فقط وتكون أكثر عرضة للسرقة، تُوزع محافظ multi-sig التحكم بين عدة أطراف أو أجهزة. على سبيل المثال، تحتاج محفظة multi-sig 2-of-3 إلى توقيعين من ثلاثة توقيعات مخصصة للموافقة على المعاملة.

في المقابل، تعتبر المحافظ الباردة حلاً للتخزين غير المتصل بالإنترنت، مما يعني أنها غير متصلة بالإنترنت، مما يقلل من خطر الهجمات عبر الإنترنت مثل الاختراق أو التصيد.

كان إعداد Bybit للمحافظ الباردة متعددة التوقيع يتطلب موافقات من عدة توقيعات، وهي ممارسة قياسية لحماية كميات كبيرة من العملات المشفرة.

استخدام Bybit للمحافظ الباردة متعددة التوقيع كان يهدف لحماية مقتنيات ETH الكبيرة، مما جعل الاختراق مفاجئًا بشكل خاص وسلط الضوء على تعقيد الهجوم.

كيف تم تنفيذ الاختراق: التفاصيل الفنية

لقد تجاوز المهاجمون أمان Bybit متعدد التوقيع من خلال مزيج من الهندسة الاجتماعية والتلاعب التقني المتقدم.

إليك تحليلاً تفصيليًا للهجوم:

1. الوصول الأولي من خلال الهندسة الاجتماعية

المهاجمون، الذين يُعتقد أنهم جزء من مجموعة لازاروس الكورية الشمالية، ربما حصلوا على الوصول الأولي عبر تقنيات التصيد الاحتيالي المتقدمة، مثل:

• الرسائل التصيدية الموجهة: رسائل بريد إلكتروني موجهة مصممة لخداع الموظفين أو الموقعين للكشف عن بيانات اعتمادهم أو النقر على روابط خبيثة.
• المواقع الوهمية: مواقع اصطياد تحاكي واجهات Bybit الشرعية لالتقاط المفاتيح الخاصة أو عبارات الاستعادة.
• إصابة بالبرامج الضارة: نشر البرامج الضارة لاختراق الأنظمة أو الأجهزة المستخدمة من قِبَل الموقعين.

استغلت هذه التكتيكات الهندسية الاجتماعية الأخطاء البشرية، والتي تشكل نقطة ضعف حاسمة حتى في الأنظمة الأكثر أمانًا.

2. تلاعب المعاملات عبر واجهة مقنعة

خلال تحويل روتيني من محفظة Bybit الباردة متعددة التوقيع لـ ETH إلى محفظة دافئة (وهي محفظة متصلة بالإنترنت للمعاملات السريعة)، نفذ المهاجمون استغلالهم.

قام القراصنة بتغيير واجهة التوقيع، وهو الجزء الموجه للمستخدم حيث يقر الموقعون على المعاملات. تم التلاعب بواجهة المستخدم هذه لعرض عنوان تحويل شرعي بينما يُدرج تعليمات برمجية خبيثة في منطق العقد الذكي الأساسي.

وقع الموقعون، غير مدركين للتلاعب، على ما بدا تحولًا روتينيًا. ومع ذلك، احتوت الصفقة الموقعة على تعليمات برمجية خبيثة بدلت آليات التحكم في المحفظة.

3. تغيير منطق العقد الذكي

التعليمات البرمجية الخبيثة المدمجة في المعاملة استغلت نقاط الضعف في عملية المصادقة على المعاملة.

المعاملة الموافق عليها غيرت منطق العقد الذكي، مما منح المهاجمين السيطرة على المحفظة. سمح هذا لهم بنقل 401,347 ETH إلى عنوان غير معرف تحت سيطرتهم.

لم يخل الهجوم من عيوب بلوكشين Ethereum أو عقودها الذكية ولكنه ركز على استغلال عملية Bybit الداخلية للتحقق والمصادقة على المعاملات.

4. غسل الأموال وتفرقها

بعد السيطرة على الأموال، قام المهاجمون بسرعة بتفريق ETH المسروق عبر محفظات متعددة لإخفاء سجلهم.

تم تقسيم ETH إلى زيادات من 1,000 ETH وأُرسل إلى أكثر من 40 محفظة مختلفة.

وحول المهاجمون ETH إلى عملات مشفرة أخرى أو أموال فعلية عبر البورصات اللامركزية (DEXs)، التي تفتقر إلى متطلبات "اعرف عميلك" (KYC) في مقابل البورصات المركزية، مما يجعل من الصعب تجميد الأموال أو استعادتها.

تحليل البلوكشين وتتبع الأموال

لعبت شركات تحليل البلوكشين دورًا حيويًا في تتبع الأموال المسروقة، على الرغم من الجهود التي بذلها المهاجمون لإخفاء تحركاتهم.

الشركات والادوات الرئيسية المتورطة تشمل:

• Elliptic: شركة تحليلات البلوكشين التي تتبعت ETH المسروق بينما كان يتم تفريقه وتسييله. يقوم برنامج Elliptic بتحليل أنماط المعاملات وعناوين المحفظات لتحديد النشاط المشبوه.
• Arkham Intelligence: شركة تحليلات أخرى قدمت تتبعًا في الوقت الفعلي للأموال، محددةً المحفظات والمعاملات المرتبطة.
• MistTrack بواسطة Slow Mist: أداة للتحليل الجنائي للبلوكشين استخدمت لرسم خريطة حركة ETH المسروق عبر شبكة Ethereum. ميزت MistTrack أنماط المعاملات والمحفظات التي تشير إلى تقنيات مجموعة لازاروس.

على الرغم من هذه الجهود، فإن السرعة والامتداد الواسع لعملية التسييل جعلت استرداد الأموال صعباً.

استخدام المهاجمين لبورصات DEXs ومزجي العملات (أدوات تمزج العملة المشفرة لإخفاء مصدرها) مما زاد العملية تعقيدًا.

مجموعة لازاروس: الجناة وراء الاختراق

من هي مجموعة لازاروس؟

مجموعة لازاروس هي جماعة قراصنة مدعومة من الدولة الكورية الشمالية، معروفة بتنظيم جرائم إلكترونية رفيعة المستوى، بما في ذلك سرقات العملة المشفرة، وهجمات الفدية، والتجسس.

يُعتقد أن المجموعة تعمل تحت إدارة مكتب الإستطلاع العام في كوريا الشمالية، مع الهدف الرئيسي المتمثل في تحقيق الإيرادات للنظام.

الأدلة التي تربط لازاروس باختراق Bybit

ربط المحللون البلوكشين، بما في Content: قامت المنصة بمعالجة أكثر من 580,000 طلب سحب بعد الاختراق، لضمان قدرة المستخدمين على الوصول إلى أموالهم.

Bybit قامت أيضًا بتأمين قروض جسر لتغطية الخسائر، مطمئنة المستخدمين بشأن سيولتها. وأطلقت المنصة برنامجًا يقدم مكافآت تصل إلى 10% من الأموال المستردة إلى القراصنة الأخلاقيين الذين يساعدون في استرجاع ETH المسروق.

تسلط هذه التدابير، رغم كونها استباقية، الضوء على التحديات التي تواجه استعادة الأموال في مثل هذه الاختراقات واسعة النطاق، خاصة بالنظر إلى تقنيات غسل الأموال التي يستخدمها المهاجمون.

التدابير الوقائية للمستقبل

لتجنب تكرار مثل هذه الاختراقات، يوصي الخبراء بمجموعة شاملة من التدابير الأمنية بناءً على أفضل الممارسات في الصناعة والدروس المستفادة من حادثة Bybit.

1. المصادقة متعددة العوامل (MFA)

تطلب طبقات متعددة من التحقق للموافقة على العمليات، مثل:

• المصادقة البيومترية: بصمة الأصبع أو التعرف على الوجه.
• الرموز المادية: أجهزة توليد الرموز المؤقتة.
• كلمات المرور المؤقتة المبنية على الوقت (TOTP): تطبيقات مثل Google Authenticator للحصول على رموز مؤقتة.

2. قنوات اتصال آمنة

استخدم قنوات مشفرة وموثوقة لكل الاتصالات المتعلقة بالمعاملات، مثل:

• البريد الإلكتروني المشفر من النهاية إلى النهاية: أدوات مثل ProtonMail أو Signal للرسائل الآمنة.
• بوابات آمنة مخصصة: أنظمة داخلية للموافقات على المعاملات، معزولة عن التهديدات الخارجية.

3. مراجعات أمنية منتظمة

إجراء تقييمات متكررة واختبارات اختراق لتحديد الثغرات:

• مراجعات طرف ثالث: توظيف شركات موثوقة لمراجعة البروتوكولات الأمنية.
• الهجمات المحاكية: اختبار الأنظمة ضد السيناريوهات مثل التصيد الاحتيالي والبرمجيات الخبيثة والهندسة الاجتماعية.

4. تدريب الموظفين

تثقيف الموظفين على التعرف على تهديدات الهندسة الاجتماعية، مثل:

• التوعية بالتصيد المستهدف: تدريب الموظفين على التعرف على الرسائل الإلكترونية أو الروابط المشبوهة.
• حفظ بيانات اعتماد الموثوقية: تجنب إعادة استخدام كلمات المرور أو تخزين المفاتيح بشكل غير آمن.

5. إدارة الأصول المتنوعة

نشر الأموال عبر محفظات متعددة لتقليل التعرض:

• توازن المحافظ الباردة والساخنة: الحفاظ على الجزء الأكبر من الأموال في التخزين البارد، مع كميات قليلة في المحافظ الساخنة للعمليات اليومية.
• توزيع التوقيعات المتعددة: استخدام تكوينات متعددة للتوقيعات لأصول مختلفة.

6. أنظمة اكتشاف الأنماط غير العادية

تطبيق أدوات لاكتشاف وتنبيه المستخدمين بشأن أنماط المعاملات غير العادية، مثل:

• نماذج التعلم الآلي: تحديد الانحرافات عن النشاط المعتاد، مثل التحويلات الكبيرة في أوقات غير معتادة.
• التنبيهات في الوقت الفعلي: إخطار فرق الأمان بالتدفقات المشبوهة.

7. البقاء على اطلاع على التهديدات

تحديث التدابير الأمنية باستمرار لمواجهة التهديدات السيبرانية الناشئة:

• تغذية معلومات التهديدات: الاشتراك في خدمات تتبع نواقل الهجوم الجديدة.
• الدفاع ضد الثغرات المكتشفة: تطبيق التصحيحات والتحديثات بسرعة لمعالجة الثغرات المكتشفة حديثًا.

هذه التدابير ضرورية، خاصة بالنظر إلى التقنيات المتقدمة التي يستخدمها فريق Lazarus، والتي تشمل الثغرات المكتشفة غير المعروفة، والهندسة الاجتماعية المتقدمة، وغسل الأموال السريع.

الخاتمة: دروس لصناعة العملات الرقمية

حادثة اختراق Bybit، أكبر عملية سرقة في تاريخ العملات الرقمية، تبرز التحديات الأمنية المستمرة التي تواجه الصناعة، خاصة من الفاعلين المدعومين من الدول مثل فريق Lazarus.

بينما يظل Ethereum آمنًا، يبرز الحادث الحاجة إلى وجود عمليات داخلية قوية، وتدابير أمنية سيبرانية متقدمة، ويقظة مستمرة لحماية الأصول الرقمية.

مع تطور النظام البيئي للعملات الرقمية، يجب على البورصات أن تركز على كسب ثقة المستخدمين وقدرتها على الصمود في وجه الأزمات للتعامل مع مثل هذه المواقف بفعالية.

تعتبر واقعة اختراق Bybit تذكرة قوية بأن حتى المنصات الأكثر أمانًا تكون معرضة للأخطاء البشرية والهجمات المتطورة، مما يؤكد على أهمية الأمن الطبقي والتعاون القطاعي لمكافحة الجرائم السيبرانية.