شهدت منصة تداول العملات المشفرة «بيتغيت» (Bitget) اختراقاً إلكترونياً واسع النطاق، أسفر عن تحويل أصول رقمية تبلغ قيمتها حوالي 387.5 مليون دولار إلى محافظ يتحكم فيها المخترقون، فيما يُعد هذا الحدث أكبر عملية سرقة للعملات المشفرة من حيث القيمة المسجلة في عام 2026 حتى الآن، وفقاً لما أعلنته شركة الاستخبارات الأمنية المتخصصة في البلوك تشين «TRM Labs».
تقديرات الخسائر: من 351.6 مليون دولار إلى 387.5 مليون دولار
رفعت المنصة تقديرها المبدئي للخسائر من 351.6 مليون دولار إلى 387.5 مليون دولار، موضحةً أن المراجعة اللاحقة كشفت عن أصول إضافية على شبكتي Zcash وTRON لم تكن مشمولة في التقدير الأول. وأكدت «بيتغيت» أن هذا التعديل لا يمثل عملية اختراق جديدة، بل هو تقدير أكثر شمولاً للأصول المتأثرة بالحادثة نفسها.
تفاصيل الاختراق: ثغرة في النظام الخلفي وليست سرقة مفاتيح
رصدت أنظمة «بيتغيت» تحويلات غير مصرح بها من بعض المحافظ الساخنة والدافئة عند الساعة 18:31 بتوقيت غرينتش في 24 سبتمبر 2026، مما دفع المنصة إلى تفعيل إجراءات الاستجابة للحوادث وإيقاف عمليات السحب مؤقتاً كإجراء احترازي. وأكدت الشركة أن المحافظ الباردة، التي تحتوي على الجزء الأكبر من أصول المنصة، بقيت خارج نطاق الهجوم. وأوضحت «بيتغيت» أن المهاجمين لم يسرقوا المفاتيح الخاصة، بل استغلوا ثغرة في البنية الخلفية للنظام المرتبطة بالمحافظ، وتمكنوا من التلاعب ببيانات أوامر السحب وخداع آلية التفويض، مما جعل المعاملات غير المشروعة تبدو وكأنها عمليات مصرح بها. وفي تحديث رسمي لاحق، قالت المنصة إنها حددت مسار الهجوم والثغرة المستغلة وعالجت الخلل، بينما شاركت شركتا Mandiant وSlowMist في التحقيقات الأمنية.
الأصول المسروقة ومسارات التوزيع السريعة
شملت الأصول المتأثرة كل من XRP وETH وUSDT وZEC وUSDC وUSDT0 وXAUt وBNB وAVAX وTRX، وانتقلت عبر عدة شبكات منها إيثيريوم والشبكات المتوافقة معها، وXRP Ledger، وZcash، وTRON. وأظهرت بيانات TRM Labs أن جزءاً كبيراً من الأموال جرى تقسيمه على محافظ جديدة خلال فترة وجيزة، بينما تحركت أجزاء أخرى عبر بروتوكولات وخدمات مختلفة بهدف نقل الأصول بين الشبكات وتحويلها إلى عملات أخرى. وكانت عملة XRP من بين الأصول الأكثر تضرراً، إذ رصدت TRM Labs خروج ما يقارب 158 مليون دولار من القيمة عبر XRP Ledger في بداية تتبعها للحادثة، كما انتقلت أجزاء من الأصول عبر THORChain وغيرها من خدمات الربط والتبادل بين الشبكات. وتشير تحليلات المعاملات على السلسلة إلى أن المهاجمين تحركوا بسرعة لتوزيع الأموال على عناوين متعددة وتحويل بعض الأصول إلى عملات أخرى. ورصدت TRM Labs مسارات استُخدمت فيها أصول على شبكات مختلفة، بينها BNB Chain وإيثيريوم وTRON، قبل انتقال أجزاء منها عبر THORChain إلى شبكة بيتكوين. كما ظهرت معاملات عبر خدمات وجسور أخرى بين الشبكات، مما يجعل عملية استرداد الأموال أكثر تعقيداً، لكنه لا يعني بالضرورة اختفاءها؛ إذ تظل حركة الأصول على شبكات البلوك تشين قابلة للتتبع، ويمكن لمنصات التداول ومصدري العملات المستقرة وشركات تحليل البلوك تشين التعاون لتحديد العناوين المرتبطة بالأموال المسروقة وتجميدها عندما يكون ذلك ممكناً.
احتمال تورط كوريا الشمالية وتأكيد سلامة المستخدمين
برز احتمال ارتباط الهجوم بجهات قرصنة مرتبطة بكوريا الشمالية، لكن هذا الإسناد لم يُحسم نهائياً. وقالت الرئيسة التنفيذية لـ«بيتغيت»، غرايسي تشين، إن المؤشرات الأولية تجعل ضلوع جهات كورية شمالية احتمالاً قوياً، استناداً إلى مؤشرات مرتبطة بعناوين الإنترنت وأنماط النشاط التي رصدها المحققون. وأشارت TRM Labs بدورها إلى مؤشرات تتوافق مع أنماط مرتبطة بعمليات سرقة سابقة نُسبت إلى جهات كورية شمالية، لكنها لم تقدم هذا الإسناد باعتباره حقيقة نهائية. وأكدت «بيتغيت» أن أرصدة المستخدمين لم تتأثر، وأن المحافظ الباردة بقيت آمنة، وقالت المنصة إن الخسائر الناجمة عن الحادث ستُغطى من صندوق حماية المستخدمين الذي تتجاوز قيمته 464 مليون دولار، وهو ما يفوق قيمة الأصول المتأثرة التي أعلنتها الشركة. كما أكدت أن تعليق عمليات السحب كان إجراءً أمنياً احترازياً وليس نتيجة نقص في السيولة، واستمرت عمليات الإيداع والتداول، بينما ظلت عمليات السحب معلقة خلال مرحلة التحقق الأمني.
خطة استعادة السحب ومكافأة لاسترداد الأموال
أعلنت «بيتغيت» خطة تدريجية لاستعادة عمليات السحب، تبدأ في 28 سبتمبر، بعد الانتهاء من اختبارات الأمان والتحقق من سلامة البنية التحتية. وبحسب الجدول المعلن، بدأت عودة سحب بيتكوين في 28 سبتمبر، على أن يتبعها إيثيريوم في 29 سبتمبر، ثم USDT في 30 سبتمبر، بينما تستكمل عمليات السحب لبقية الأصول والخدمات الأخرى في 2 أكتوبر، وفق نتائج اختبارات الأمان لكل مرحلة. وإلى جانب تجميد العناوين المرتبطة بالاختراق والتعاون مع شركات الأمن والمنصات الأخرى، أطلقت «بيتغيت» برنامج مكافآت للمساعدة في استعادة الأموال، حيث يوفر البرنامج مكافأة تعادل 5% من الأموال التي ينجح طرف في تجميدها أو استعادتها، وفق شروط البرنامج، مشيرة إلى أن بعض الأصول المتأثرة جرى تجميدها بالفعل نتيجة التعاون مع جهات مختلفة في قطاع العملات المشفرة.
تتجاوز دلالة الحادث قيمة الأموال المسروقة، إذ يكشف أن حماية منصات العملات المشفرة لا تتوقف عند تأمين المفاتيح الخاصة. ففي حالة «بيتغيت»، تقول المنصة إن المهاجمين لم يحصلوا على المفاتيح الخاصة، وإنما استهدفوا الطبقة البرمجية المسؤولة عن إعداد المعاملات وتمريرها إلى نظام التفويض. ويبرز ذلك أهمية حماية الأنظمة الخلفية، والفصل بين طبقات البنية التحتية، وإجراء عمليات تحقق مستقلة من أوامر السحب، إلى جانب مراقبة التحويلات غير المعتادة في المحافظ الساخنة. كما توضح الحادثة التحديات التي تواجه عمليات استرداد العملات المشفرة بعد خروجها من محافظ المنصة، إذ يمكن نقل الأصول بسرعة بين شبكات متعددة وتحويلها إلى رموز أخرى، مما يجعل التعاون بين منصات التداول وشركات الأمن ومشغلي الشبكات والجهات المختصة عاملاً أساسياً في محاولة تجميد الأموال واستعادتها. وتواصل «بيتغيت» التحقيق في الحادثة بالتعاون مع جهات أمنية وشركتي Mandiant وSlowMist، بينما يستمر تتبع الأصول على السلسلة لتحديد الأموال التي يمكن تجميدها أو استردادها. وتبقى التفاصيل الكاملة للهجوم ونسبة الأموال التي يمكن استعادتها قيد التحقيق.
