سرقات العملات المشفّرة تقفز لمستوى قياسي… كوريا الشمالية تستحوذ على ثلثي الأموال المسروقة

دولة واحدة استحوذت على ما يقرب من ثلثي كل دولار سُرق من منظومة العملات المشفّرة عالميًا خلال النصف الأول من عام 2026.

هذا ليس رقمًا ناتجًا عن تقريب إحصائي، ولا عن عملية سطو واحدة استثنائية.

ما نراه هو حصيلة حملة قرصنة ممنهجة ومؤسسية، تطورت على مدى نحو عقد، وتمت هندستها كـ"صناعة" متكاملة تتفوّق الآن على جميع الجهات الخبيثة الأخرى في فضاء الكريبتو مجتمعة.

حتى بمعايير جرائم العملات المشفّرة، المعروفة أصلًا بأرقامها الصادمة، يبقى حجم الظاهرة مذهلًا.

مجموعات القرصنة المرتبطة بكوريا الشمالية استحوذت على 66.2% من إجمالي خسائر اختراق الأصول الرقمية عالميًا في النصف الأول من 2026، وفق بيانات متداولة هذا الأسبوع من شركات متخصّصة في أمن البلوك تشين.

هذا التركّز غير المسبوق للخسائر في عنقود تهديد واحد يمثّل تحوّلًا نوعيًا في خريطة المخاطر أمام صناعة الكريبتو بأكملها. ويأتي في لحظة يتسارع فيها تدفّق رؤوس الأموال المؤسسية إلى الأصول المشفّرة بأعلى وتيرة منذ عام 2021.

باختصار

قراصنة مرتبطون بكوريا الشمالية استحوذوا على 66.2% من إجمالي خسائر اختراقات الكريبتو في النصف الأول من 2026، في أعلى تركّز مسجّل لسرقات ترعاها دولة.

مجموعة لازاروس ووحدات كورية شمالية تابعة طوّرت عملياتها من اختراقات منصات تداول تقليدية إلى هجمات منظمة تستهدف بروتوكولات DeFi والجسور العابرة للسلاسل وهندسة اجتماعية للمطورين.

الأموال المسروقة تموّل بشكل مباشر برامج التسلّح الكورية الشمالية، لتحوّل أمن الكريبتو إلى ملف جيوسياسي تتعامل معه واشنطن وبروكسل وسيول بجدية متزايدة.

ماذا يعني رقم 66% فعلًا؟

قبل قراءة الصورة الاستراتيجية، لا بد من فهم منهجية احتساب هذا الرقم.

نسبة 66.2% تشير إلى حصة المحافظ المرتبطة بكوريا الشمالية من إجمالي خسائر الاختراقات المؤكدة في سوق الأصول المشفّرة خلال النصف الأول من 2026، استنادًا إلى تحليلات على السلسلة تتبّع مسار الأموال منذ لحظة السرقة، مرورًا باستخدام الخلاطات، وصولًا إلى مرحلة التصريف.

شركة Chainalysis، التي تُعد من أبرز من ينشر بيانات طولية حول جرائم الكريبتو، ذكرت في تقريرها عن الجرائم لعام 2024 أن المجموعات المرتبطة بكوريا الشمالية سرقت نحو 1.34 مليار دولار عبر 47 حادثة في 2023، أي ما يعادل 61% من القيمة الإجمالية للأصول المسروقة في ذلك العام.

رقم النصف الأول 2026 يشير إلى تركّز أعلى، ويعني أن الفجوة بين قدرات بيونغ يانغ وباقي الفاعلين الخبيثين في السوق تتّسع لا تضيق.

حصة 66.2% تمثّل أعلى تركّز مسجّل تاريخيًا لسرقات أصول رقمية برعاية دولة خلال فترة ستة أشهر.

ما لا يظهر في رقم 66% مهم أيضًا.

الرقم لا يشمل عمليات “الخروج الاحتيالي” (exit scams) أو “سحب البساط” (rug pulls) أو الاحتيال المالي، إذ تصنّفها Chainalysis في فئات منفصلة عن الاختراقات التقنية. المقام هنا هو خسائر اختراقات مثبتة فقط.

لو أضفنا كل أشكال جرائم الكريبتو إلى المعادلة لتراجع الوزن النسبي لكوريا الشمالية، لكن القيمة الدولارية المطلقة المسروقة ستبقى هائلة.

كيف تحوّلت مجموعة لازاروس إلى قوة عظمى في الكريبتو؟

مجموعة لازاروس – الاسم الجامع الذي تستخدمه الاستخبارات الأمريكية والباحثون لوصف أكثر الوحدات السيبرانية الكورية الشمالية قدرة – لم تبدأ كجهاز مخصص للكريبتو.

سجلّها المبكر كان يضم هجمات تدميرية، وسرقات بنكية عبر استغلال شبكة SWIFT، وهجمات فدية (ransomware).

التحوّل نحو العملات المشفّرة جاء تدريجيًا، وبدأ فعليًا حوالي 2017، حين استهدفت المجموعة منصات تداول كورية جنوبية، ثم تصاعد بشكل حاد بعد اختراق شبكة Ronin في 2022.

اختراق Ronin، الذي استولت فيه لازاروس على نحو 625 مليون دولار من السلسلة الجانبية للعبة Axie Infinity، شكّل نقطة تحوّل استراتيجية.

العملية أثبتت أن بنية DeFi – بما فيها تعقيد العقود الذكية، واعتمادها على جسور عابرة للسلاسل، وهشاشة العامل البشري لدى المطوّرين – تشكل سطح هجوم أكثر ربحية بكثير من منصات التداول المركزية التي عززت دفاعاتها بعد عقد من الاختراقات.

تلك السرقة البالغة 625 مليون دولار في مارس 2022 لا تزال أكبر اختراق منفرد في تاريخ DeFi، وأصبحت نموذجًا عملياتيًا لحملات الكريبتو الكورية الشمالية اللاحقة.

منذ 2022، ركّزت المجموعة على صقل ثلاثة مسارات هجوم رئيسية:

المسار الأول هو اختراق بيانات اعتماد المطورين، غالبًا عبر عروض وظائف وهمية على LinkedIn تزرع برمجيات خبيثة بمجرد فتح الضحية لمستند أو تشغيل مستودع برمجي.

المسار الثاني هو استغلال ثغرات الجسور العابرة للسلاسل، باستهداف منطق العقود الذكية التي تتحقق من التحويلات بين الشبكات.

المسار الثالث هو هجمات سلاسل التوريد البرمجية على المكتبات والاعتمادات المستخدمة في بروتوكولات الكريبتو، وهي تقنية نشأت في الأمن السيبراني التقليدي ثم جرى تكييفها لاستهداف البلوك تشين.

من منصات التداول إلى DeFi: تبدّل خريطة الأهداف

تاريخ الاختراقات الكبرى في الكريبتو بدأ من منصات التداول المركزية: Mt. Gox عام 2014، Bitfinex في 2016، Coincheck في 2018. آنذاك، اعتمد المهاجمون على اختراق محافظ ساخنة، واستغلال ثغرات واجهات برمجة التطبيقات (APIs)، أو تجنيد موظفين من الداخل. غالبية هذه العمليات نفّذتها عصابات إجرامية تبحث عن الفرص، لا أجهزة مدعومة من دول.

اليوم، كتاب تكتيكات كوريا الشمالية مختلف جذريًا. تقرير TRM Labs المعنون 2024 Crypto Threat Intelligence أظهر أن حصة سرقات الكريبتو المنسوبة لبيونغ يانغ والمرتبطة باستغلال بروتوكولات DeFi، ارتفعت من نحو 30% في 2021 إلى أكثر من 70% بحلول 2024، في مسار يتماشى مع نمو السيولة الموجودة على السلسلة.

إجمالي القيمة المرهونة (TVL) في بروتوكولات DeFi عالميًا بلغ ذروته فوق 180 مليار دولار أواخر 2021، قبل أن يتراجع مع سوق الهبوط في 2022، ثم عاد ليرتفع إلى مستويات مغرية مجددًا. بيانات DefiLlama تُظهر في منتصف 2026 أن إجمالي TVL في DeFi تجاوز 110 مليارات دولار عبر مختلف السلاسل، مع تمركز نسبة كبيرة من هذه القيمة في جسور عابرة للسلاسل تجمع السيولة في عقود واحدة.

عقود جسور DeFi جذابة هيكليًا للمهاجمين المتقدمين لأنها تجمع كميات ضخمة من السيولة في عقود ذكية منفردة، وتفرض منطق تحقق عبر سلاسل متعددة يصعب تدقيقه بالكامل.

الجسور العابرة للسلاسل تحوّلت إلى هوس خاص لدى الوحدات الكورية الشمالية بسبب طبيعة مخاطرها الفريدة. فالعقد الذي يدير الجسر مضطر للوثوق بادعاءات قادمة من سلسلة أخرى لا يستطيع التحقق منها محليًا. منطق التحقق نفسه معقّد، وغالبًا ما يعتمد على لجنة توقيعات متعددة (multisig) أو إثبات عميل خفيف (light client). كلا النهجين يفتح الباب أمام افتراضات قابلة للاستغلال.

جسر Ronin، على سبيل المثال، استخدم آلية multisig من تسعة مفاتيح تم تخفيض عتبة تفعيلها فعليًا إلى خمسة مفاتيح عبر الهندسة الاجتماعية، ما أتاح للمهاجمين السيطرة على عدد كافٍ من التواقيع للمصادقة على عمليات سحب استنزفت الجسر بالكامل.

عروض العمل الوهمية واستهداف المطوّرين

أحد أكثر عناصر حملة كوريا الشمالية في النصف الأول من 2026 استمرارية، وربما أقلها تقديرًا، هو البنية التحتية للهندسة الاجتماعية التي تستهدف المطورين وموظفي البروتوكولات فرديًا. ما يجري هنا ليس "اختراقًا تقنيًا" بالمعنى التقليدي، بل عملية استخباراتية مبنية على بناء العلاقات تنتهي في لحظة ما بتنفيذ شيفرة خبيثة.

كتاب التكتيكات القياسي، الموثّق بالتفصيل من Mandiant في تقرير APT38 عن التهديدات المالية، ومن وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية في تنبيه CISA AA22-108A، يبدأ بإنشاء مشغّلين كوريين شماليين لهويات مهنية مقنعة على LinkedIn، غالبًا بصور ملفات شخصية مولّدة بالذكاء الاصطناعي.

هؤلاء يتواصلون مع مطورين يعملون في بروتوكولات كريبتو، عارضين عليهم وظائف بعقود جانبية، أو مقابلات عمل، أو مراجعات للكود.

في حالات موثّقة، حافظ مشغّلون كوريون شماليون على علاقات عبر LinkedIn مع مطوري كريبتو لأسبوع أو أشهر قبل إرسال حمولة برمجية خبيثة، بعد بناء ثقة عبر نقاشات تقنية متعمّقة حول قاعدة الشيفرة التي يعمل عليها الهدف.

حين يتجاوب المطوّر، يرسل المهاجم في مرحلة ما ملفًا يحتاج إلى تشغيل محلي. قد يكون ذلك ملف PDF مع حمولة خبيثة مضمّنة، أو مستودع GitHub يحتوي على اعتماد برمجي مزروع، أو اختبار تقني وهمي يثبّت بابًا خلفيًا على جهاز الضحية.

بمجرد الحصول على موطئ قدم في جهاز المطوّر، يصبح بإمكان المهاجم جمع المفاتيح الخاصة، وبيانات الجلسات للأنظمة الداخلية، وبيانات دخول للبنى السحابية التي تدير عمليات نشر البروتوكول.

مستوى الحرفية في هذه العمليات يعكس استثمارًا مؤسساتيًا في بناء القدرات لا يمكن لعصابات الجريمة المنظمة العادية مجاراته. وحدات كوريا الشمالية السيبرانية موظفون حكوميون يعملون بدوام كامل، يلتزمون بانضباط أمني صارم، ويراكمون منذ سنوات معرفة دقيقة حول أي البروتوكولات أكثر هشاشة، وأي المطورين أكثر قابلية للاستهداف.

البنية التحتية لغسل الأموال وراء هذه الأرقام

سرقة العملات المشفّرة ليست سوى الخطوة الأولى. تحويلها إلى إيراد قابل للاستخدام من جانب النظام يتطلّب سلسلة غسل أموال معقّدة أصبحت بدورها موضوعًا لبحوث مكثفة على السلسلة. مرحلة تحريك الأموال بعد السرقة هي النقطة التي ينجح فيها المحققون غالبًا في نسب الهجمات إلى كوريا الشمالية، لأن للمجموعة بصمات سلوكية يمكن تعقّبها… أنماط ثابتة في تحريك资金 وإخفائها

قامت شركة Chainalysis بـتوثيق مسار الغسل القياسي الذي يعتمد عليه النظام الكوري الشمالي، باعتباره عملية متعددة المراحل. في الخطوة الأولى، يجري تحويل الأصول المسروقة إلى إيثريوم (ETH) أو بيتكوين (BTC) عبر منصات التداول اللامركزية على السلسلة، فيتم استبدال عملات البروتوكولات الصغيرة ذات السيولة المحدودة بأصول عالية السيولة. بعد ذلك تمر هذه الأصول عبر خدمات الخلط، حيث اعتمدت المجموعة تاريخياً على بروتوكول Tornado Cash قبل أن تفرض وزارة الخزانة الأميركية عقوبات OFAC عليه في أغسطس 2022، ما دفعها سريعاً للتكيّف والانتقال إلى أدوات تمويه بديلة مثل Sinbad وYomix، واللذين أصبحا بدورهما لاحقاً هدفاً لعقوبات أميركية.

صنّفت OFAC مُخلِّط Sinbad في نوفمبر 2023، ثم مُخلِّط Yomix في أبريل 2025، بما يعكس لعبة “القط والفأر” التي تواجه فيها كل أداة غسل كورية شمالية موجة عقوبات تدفعها للانتقال إلى بنية تحتية جديدة.

عقب الخلط، تُنقل الأموال عبر شبكة من الحسابات المكدّسة داخل بورصات مركزية (Nested Accounts)، وسماسرة خارج المنصات (OTC) يعملون في ولايات قضائية ضعيفة في تطبيق معايير مكافحة غسل الأموال، إضافة إلى منصات التداول من شخص إلى شخص (P2P). وغالباً ما ينتهي المطاف بهذه الأموال إلى مخارج سيولة (Off-ramps) في بورصات تنشط تاريخياً في شرق وجنوب شرق آسيا، مع متطلبات محدودة أو ضعيفة للتحقق من هوية العميل (KYC). تقرير صادر عام 2024 عن لجنة خبراء الأمم المتحدة حول كوريا الشمالية حدّد عائدات سرقة العملات المشفّرة كمصدر تمويل رئيسي لبرنامج الصواريخ الباليستية الكوري الشمالي، وقدّر أن عائدات العملات الرقمية تغطي نحو 40% من احتياجات النظام من النقد الأجنبي لتطوير أسلحة الدمار الشامل.

الاستجابة التنظيمية وحدودها

وظّفت الحكومة الأميركية حزمة واسعة من الأدوات لمواجهة أنشطة بيونغ يانغ في سوق العملات المشفّرة، تشمل إدراج محافظ وخدمات خلط على قوائم عقوبات OFAC، وإشعارات إسناد من مكتب التحقيقات الفيدرالي (FBI) لهجمات محددة، إلى جانب بيانات تحذيرية مشتركة مع أجهزة استخبارات حليفة. كما وجّهت وزارة العدل الأميركية اتهامات جنائية لعدد من الأفراد المحدّدين من عناصر كوريا الشمالية، رغم أن ملاحقتهم القضائية تكاد تكون مستحيلة في ظل غياب قنوات تسليم المطلوبين.

محدودية الاستجابة الأميركية بنيوية في جوهرها. فالعقوبات المفروضة على عناوين المحافظ تكون فعّالة بالأساس عندما يضطر الطرف المستهدف لاستخدام بنية مالية منظَّمة وخاضعة للرقابة كنقطة خروج من النظام المشفّر. لكنها تكاد لا تؤثّر في الجهات الأكثر احترافاً التي تعتمد على ولايات قضائية تقع عملياً خارج نطاق نفوذ أنظمة AML الأميركية. ورغم أن خطوة OFAC ضد Tornado Cash كانت مفصلية ومثيرة للجدل، فإن بيونغ يانغ أعادت ترتيب بنيتها بسرعة خلال أشهر عبر الانتقال إلى بدائل أخرى.

وجّهت وزارة العدل اتهامات لسبعة قراصنة عسكريين كوريين شماليين على صلة بعمليات سرقة عملات مشفّرة، لكن أياً منهم لم يمثل أمام القضاء. عملياً، تؤدّي لوائح الاتهام دور أداة “إسناد وسمعة” أكثر من كونها أداة إنفاذ، كما تشكّل رادعاً لأطراف ثالثة يمكن أن تساعد في تحريك الأموال دون قصد.

على المستوى الدولي، رفعّت مجموعة العمل المالي FATF، وهي الجهة الحكومية الدولية المعنية بوضع معايير مكافحة غسل الأموال، تصنيف كوريا الشمالية إلى فئة المخاطر الأعلى، وتُبقي على دعوة دائمة للدول الأعضاء لتطبيق إجراءات عناية واجبة معزّزة على أي تعاملات ذات صلة ببيونغ يانغ.¹ لكن توصيات FATF غير ملزِمة قانونياً، والدول التي تمثّل نقاط خروج مثالية لكوريا الشمالية غالباً ليست أعضاء في المجموعة، أو أنها أعضاء مع سجلات ضعيفة في التنفيذ.

على الجانب الأوروبي، دخل تنظيم الأسواق في الأصول المشفّرة (MiCA) حيّز التطبيق الكامل في أواخر 2024، متضمّناً متطلبات “قاعدة السفر” التي تلزم مقدّمي الخدمات بتحديد هوية الأطراف المقابلة في تحويلات العملات المشفّرة فوق حدود معيّنة. أنصار التنظيم يرون أنه يسدّ بعض قنوات الخروج عبر الصفقات خارج المنصات (OTC). في المقابل، يحذّر منتقدون من أن عمليات كوريا الشمالية أصبحت متقدّمة بحيث يمكنها الالتفاف على إجراءات اعرف عميلك باستخدام محافظ غير مُستضافة (Unhosted Wallets) وولايات قضائية خارج نطاق الاتحاد الأوروبي.

ما الذي تكشفه الأدلة على السلسلة فعلياً؟

إسناد سرقات العملات المشفّرة إلى كوريا الشمالية ليس موقفاً سياسياً، بل يستند إلى بيانات على السلسلة قابلة للتحقّق لأي باحث يمتلك أدوات تحليل بيانات البلوكتشين وتقنيات تجميع المحافظ (Wallet Clustering). فهم كيفية هذا الإسناد أساسي لتقييم مصداقيته.

عندما تنجح بيونغ يانغ في اختراق بروتوكول ما، تكون المعاملة الأولى مرئية فوراً على السلسلة. تُحوَّل الأموال المسروقة إلى محافظ يتحكّم بها المهاجمون، ثم تُنفَّذ سلسلة من عمليات المقايضة (Swaps) والجسور (Bridges) والخلط (Mixing). شركة Elliptic، وهي شركة تحليلات بلوكتشين أخرى، نشرت منهجية تفصيلية توضّح أن محافظ كوريا الشمالية تتجمّع حول أنماط سلوكية محدّدة، تشمل جداول زمنية معيّنة للحركة، مسارات مفضّلة للمقايضات، مبالغ “غبارية” مميزة تُترك في المحافظ الوسيطة، إضافة إلى ميل واضح للاحتفاظ بالأموال المسروقة لفترات طويلة في مجموعات محافظ مترابطة قبل تحريكها.

تحليل تجميع المحافظ لدى Elliptic كشف أكثر من 15 ألف عنوان مرتبط بعمليات سرقة لصالح كوريا الشمالية، ما يخلق شبكة متداخلة من المحافظ تتيح للخبراء ملاحقة حركة الأموال حتى بعد مرورها بعمليات خلط.

إشعارات الإسناد الصادرة عن مكتب التحقيقات الفيدرالي لاختراقات محدّدة، مثل ثغرة Alphapo واستغلال محفظة Atomic Wallet في 2023، تعتمد على هذه المنهجيات الجنائية المفتوحة، مُدعّمة بمعلومات استخباراتية سرّية.

هذا الدمج بين البيانات العامة على السلسلة وبين معلومات أجهزة الاستخبارات رفع مستوى الثقة في الإسناد إلى درجة تتجاوز ما هو مألوف في جرائم الإنترنت التقليدية، التي تفتقر إلى أثر مالي شفاف قابل للتتبّع لحظة بلحظة.

برنامج عمّال تكنولوجيا المعلومات: قناة موازية للعائدات

بعيداً عن عمليات الاختراق، تدير بيونغ يانغ برنامجاً موازياً لتوليد العائدات من العملات المشفّرة استقطب اهتماماً واسعاً من جهات إنفاذ القانون في 2024 و2025. آلاف المواطنين الكوريين الشماليين، مستخدمين هويات مزوّرة مستندة إلى وثائق مولَّدة بالذكاء الاصطناعي وفيديوهات “ديب فيك”، نجحوا في الحصول على وظائف عن بُعد في شركات عملات مشفّرة وشركات ناشئة في قطاع Web3 عبر أميركا الشمالية وأوروبا.

في مايو 2024، وجّهت وزارة العدل الأميركية اتهامات إلى 14 فرداً لإدارة شبكة وظّفت عمّال تكنولوجيا معلومات كوريين شماليين في أكثر من 300 شركة أميركية، مع توجيه العائدات إلى النظام في بيونغ يانغ.

أشارت لائحة الاتهام إلى أن كل عامل كان يحقّق دخلاً سنوياً يتراوح بين 250 و300 ألف دولار، مع وصول إجمالي عائدات البرنامج إلى عشرات الملايين من الدولارات على امتداد عدة سنوات.

وثّقت لائحة مايو 2024 أن بعض عمّال تكنولوجيا المعلومات الكوريين الشماليين كانوا يحقّقون ما يصل إلى 300 ألف دولار سنوياً في شركات أميركية في قطاع التشفير والتكنولوجيا، مع تحويل الأموال إلى كوريا الشمالية عبر شبكة ميسّرين في الولايات المتحدة والمملكة المتحدة والصين.

خطورة هذا البرنامج على صناعة التشفير تكمن في أنه يزرع “مداخل داخلية” داخل فرق التطوير ذاتها. فموظف يمتلك بيانات اعتماد شرعية وصلاحيات وصول إلى المستودعات البرمجية قد يكون أخطر بكثير من مهاجم خارجي يحاول اختراق الحدود الأمنية من الخارج.

عدد من الباحثين الأمنيين أشاروا إلى أن أنماطاً مريبة في سجل التعديلات البرمجية (Commits)، ومحاولات وصول غير مبرَّرة إلى مستودعات حساسة، وساعات عمل غير معتادة باتت تُعامل اليوم كمؤشرات محتملة على وجود عمّال تكنولوجيا معلومات من كوريا الشمالية لدى الشركات الأكثر وعياً أمنياً في قطاع التشفير.

هذا التداخل بين برنامج عمّال تكنولوجيا المعلومات وحملات الهندسة الاجتماعية التي تستهدف المطوّرين يعني أن مساحة الهجوم التي تشغّلها كوريا الشمالية ضد صناعة التشفير أصبحت متعددة الأبعاد: قراصنة خارجيون، مطوّرون مخترقون عبر عروض عمل مزيفة، و”عملاء داخليون” مزروعون داخل الفرق، جميعهم يمثّلون متجهات تهديد نشطة تعمل بالتوازي.

استجابة قطاع التشفير الأمنيّة الأوسع

استجابة الصناعة لتهديدات بيونغ يانغ جاءت ملموسة لكنها غير متوازنة.

أكبر البروتوكولات من حيث القيمة والقواعد الرأسمالية أصبحت تجري عمليات تدقيق أمني مسبقة واسعة النطاق قبل الإطلاق، وتشغّل برامج مكافآت أخطاء (Bug Bounties) بمكافآت من ستة أرقام، وتُبقي فرق أمنية داخلية تضم باحثين ذوي خلفية في الهجمات الهجومية (Offensive Security).

هذا التركّز في الإنفاق الأمني على قمة هرم البروتوكولات يعكس قانون القدرة نفسها الذي يحكم توزيع القيمة في سوق التشفير عموماً.

منصّة Immunefi، الرائدة في مكافآت الأخطاء في Web3، أفادت بأن إجمالي المدفوعات للمكتشفين تجاوز 100 مليون دولار بحلول منتصف 2025، بعدما ساهمت في الكشف عن ثغرات كان يمكن أن تؤدي إلى خسائر بمليارات الدولارات نظرياً.

أكبر مكافأة منفردة في تاريخ المنصّة بلغت 10 ملايين دولار لباحث “قبعة بيضاء” اكتشف ثغرة حرجة في بروتوكول DeFi كبير قبل استغلالها.

لكن تركّز الإنفاق الأمني في البروتوكولات الكبرى يترك مشاريع DeFi الأصغر – التي تتحكّم جماعياً في مليارات من القيمة المقفلة (TVL) – مكشوفة بدرجة ملحوظة.

مشكلة الجسور بين السلاسل (Cross-chain Bridges)، والتي تقف في قلب عدد كبير من أكبر الاختراقات، أفرزت بدورها استجابات معمارية جديدة.

في مقدّمة هذه الحلول يأتي التوجّه نحو جسور أكثر تقليلاً من الثقة (Trust-minimized)، باستخدام إثباتات المعرفة الصفرية (Zero-Knowledge Proofs) للتحقّق من حالة السلسلة المصدر دون الاعتماد على لجان من المصدّقين (Validator Committees).

مشاريع مثل Succinct Labs وPolyhedra Network طوّرت بنية “عميل خفيف معتمد على ZK” مخصّصة لتجاوز فرضية اللجنة الموثوقة التي جعلت جسوراً مثل Ronin عرضة للاستغلال.

ويبقى السؤال المفتوح هو ما إذا كانت هذه البنى الجديدة قادرة على تقليص هامش الهجوم إلى درجة تُغيّر ميزان المخاطر لمصلحة البروتوكولات، أم أن كوريا الشمالية وغيرها من الجهات المتقدمة ستجد بدورها طرقاً لاستغلال الجيل التالي من البنى التحتية عبر الزمن.يبقى من غير الواضح إطلاقاً ما إذا كانت البنية التحتية الأمنية في قطاع التشفير تتحسّن بالسرعة الكافية لتتجاوز وتيرة تطور قدرات كوريا الشمالية الإلكترونية.

حصة الـ 66% في النصف الأول من 2026 تشير إلى أن المهاجم ما زال يواكب القطاع، حتى في ظل استثمارات ضخمة في الأمن السيبراني على مستوى الصناعة.

اطلع أيضاً: SpaceXAI تريد منافساً لـ Claude يعمل عبر Cursor قبل إتمام صفقة الـ 60 مليار دولار

الرهانات الجيوسياسية وما الذي ينتظرنا

سرقة الأصول المشفّرة تمثل اليوم أهم مصدر للعملة الصعبة بالنسبة لكوريا الشمالية.

هذه ليست مبالغة بل توصيف لواقع تشغيلي موثّق، تعترف به وزارة الخزانة الأمريكية والأمم المتحدة وأجهزة استخبارات الدول الحليفة.

لجنة الخبراء الأممية قدّرت حصيلة السرقات التي نفذتها بيونغ يانغ في قطاع الكريبتو بنحو 3 مليارات دولار بين 2017 و2023، مع تسارع واضح في الوتيرة خلال السنوات الأخيرة.

هذه الأموال لا تُضَخّ في خزينة الدولة بمعناها التقليدي،

بل تُوجَّه مباشرة لبرامج التسلح – لا سيما تطوير الصواريخ الباليستية ومشروعات تصغير الرؤوس النووية، التي تمثل الأولوية الاستراتيجية القصوى لبيونغ يانغ.

كل دولار يُسرَق من بروتوكول DeFi قد يتحول عملياً إلى قدرة مادية أو تقنية إضافية في منظومات تسليح تضعها الولايات المتحدة وكوريا الجنوبية واليابان في صلب نماذج تقييم التهديد الدفاعية لديها.

لجنة الخبراء في الأمم المتحدة ربطت بشكل مباشر مبلغ الثلاثة مليارات دولار المسروقة بين 2017 و2023 بتمويل برامج التسلح، ما جعل أمن البلوكشين عنصراً حاضراً في حسابات الأمن الإقليمي في شمال شرق آسيا.

الخلاصة

نسبة الـ 66.2% المسجّلة في النصف الأول من 2026 ليست مجرد رقم لافت في جدول بيانات.

إنها إشارة مباشرة إلى الوضع الراهن للمواجهة بين واحد من أكثر برامج الحرب السيبرانية تطوراً على مستوى الدول، وبين صناعة لطالما فضّلت سرعة الإطلاق على الانضباط في الأمن التشغيلي.

مسار هذه المواجهة – من اختراقات البورصات الانتهازية في 2017، مروراً باختراق جسر Ronin في 2022، وصولاً إلى الحملة الحالية متعددة المحاور التي تستهدف المطورين والجسور والعاملين من الداخل في وقت واحد – يوضح ملامح خصم يتعلم ويتكيّف ويتوسع أسرع مما تمكنت استثمارات الدفاع في القطاع من احتوائه.

العوامل الهيكلية التي تمنح كوريا الشمالية أفضلية لن تختفي قريباً.

فبيونغ يانغ تمتلك جهازاً مؤسسياً كاملاً من الكوادر السيبرانية، دون إغراءات قطاع خاص، ودون محاسبة علنية، وبتفويض مباشر من الدولة لتوليد الإيرادات بأي وسيلة متاحة.

في المقابل، يظل مشهد الأمن في صناعة الكريبتو مجزأً؛ فالبروتوكولات الأكبر والأكثر قيمة باتت أكثر تحصيناً، لكن الذيل الطويل من مشروعات DeFi الصغيرة ما زال يعاني نقصاً بنيوياً في الموارد الأمنية.

أما الجسور بين السلاسل، وهي البنية التي تربط جزر السيولة في المنظومة، فتبقى معقدة معمارياً على نحو يخلق افتراضات قابلة للاستغلال بشكل مستمر.