سرقة Binance، الأسبوع الأول: 71 BTC عبر THORChain، وعنوان مشترك مع قضية Bitget

قبل أسبوع كتبنا عن سرقة Binance من زاوية حفظ الأموال. هذه متابعة من زاوية التتبّع: أين ذهبت الأموال التي نستطيع تتبّعها، وتفصيل واحد لم نره مكتوبًا في مكان آخر.

أين تقف Binance

نشرت Binance تحليلها لما بعد الحادث في 3 نوفمبر: انتحل المهاجمون صفة مسؤولي توظيف، وزرعوا برمجية خبيثة في حاسوب عمل لأحد المهندسين، واستخدموا أداة ذكاء اصطناعي داخلية مخترقة للوصول إلى الخدمة التي توقّع عمليات السحب. وبحلول 4 نوفمبر عوّضت المنصة نحو 98٪ من الرموز المسروقة من أموال الشركة، وجُمِّد أو اعتُرض نحو 2.85 مليار دولار — معظمها USDT وUSDC جمّدتها Tether وCircle. ومن المقرر إعادة فتح السحب لستة أصول متبقية بحلول 13 نوفمبر.

ما يُظهره تتبّعنا

نتتبّع جزء البيتكوين من السرقة خطوة بخطوة على السلسلة العامة. بدأت الأموال تتحرك في 1 نوفمبر.

• THORChain. أوقف البروتوكول التداول على معظم سلاسله في 31 أكتوبر بعد إعادة تنظيم كتلة في Ethereum، واستأنفه مساء 3 نوفمبر. ومنذ 5 نوفمبر ذهبت 28 خطوة نتتبّعها إليه مباشرة: 18 خطوة ونحو 47.3 BTC في 5 نوفمبر، و10 خطوات ونحو 23.9 BTC في 6 نوفمبر.
• CoinJoin. مرّت خطوة واحدة بقيمة 1.07 BTC عبر CoinJoin بمخرجات متساوية.
• لا Monero. لم تذهب أي خطوة نتتبّعها إلى مسار ينتهي بـ XMR.

هذه هي الخطوات التي يتتبّعها نظامنا، لا التدفق كله. تحصي Elliptic أكثر: نحو 1,650 BTC حُوِّلت من أصول مسروقة أخرى بحلول 6 نوفمبر، وتفيد The Crypto Times بأن نحو 242 مليون دولار مرّت عبر Tron خلال يومين من خلال Relay وTHORChain وChainflip وSymbiosis.

العنوان المشترك مع قضية Bitget

نتتبّع أيضًا سرقة Bitget في سبتمبر. في 6 نوفمبر تلقّى عنوان تجميع واحد — bc1q82cksuj36wfc2khdpmhlk0szxv7u8fe894t4zw — خطوة من قضية Binance لدينا (1.712 BTC)، وفي اليوم نفسه خطوة من قضية Bitget لدينا (1.2406 BTC). على السلسلة العامة لهذا العنوان نحو 95 معاملة وتلقّى نحو 56.6 BTC، إذ يجمع الإيداعات ويمرّرها بمبالغ أكبر.

عنوان مشترك واحد لا يثبت مشغّلًا واحدًا. لكنه يتّسق مع ما تفيد به Elliptic بشكل مستقل: جزء من أموال Binance ذهب إلى محافظ تحتفظ بعائدات اختراق Bitget، الذي يُنسب أيضًا إلى مجموعة TraderTraitor.

ماذا يعني ذلك إن كنت تستخدم هذه البروتوكولات

لم يمسّ ذلك أموال المستخدمين العاديين. لكن ثلاثة بروتوكولات في دليلنا مرّرت أموالًا مسروقة هذا الأسبوع، وتتعامل معها بطرق مختلفة جدًا:

• Relay يفحص العناوين عند طلب التسعيرة ومرة أخرى قبل التنفيذ، ويرفض العناوين المُعلَّمة.
• وسطاء Chainflip يمكنهم رفض الإيداعات التي يعدّونها عالية المخاطر وإعادتها إلى عنوان الاسترداد.
• THORChain لا يفحص العناوين في البروتوكول نفسه؛ وشروطه تستبعد فقط الأشخاص الخاضعين للعقوبات. بعض الواجهات المبنية عليه تفحص العناوين من جهتها.

إن كنت تبادل عبر هذه المسارات فقد تتشارك عملاتك المجمّعات نفسها مع أموال مسروقة. هذه خاصية للسيولة المفتوحة بلا إذن، وليست دليلًا على خطأ من المستخدمين.

المصادر: تحليل Binance لما بعد الحادث (3 نوفمبر) كما نقلته TRM Labs وThe Coin Republic؛ Elliptic كما نقلته The Crypto Times ‏(7 نوفمبر)؛ حالة THORChain؛ قضايانا الخاصة لتتبّع أموال سرقتَي Binance وBitget.