تحقيق: كيف سُرقت 6.3 مليار دولار من بينانس عبر مقابلة عمل وهمية، ولماذا يستهدفك المحتالون الآن باسم «التعويض»

مساء الخميس 29 أكتوبر 2026، وفي أقل من ساعة، خرجت من المحافظ الساخنة لمنصة بينانس أصول بمليارات الدولارات. قالت وكالة رويترز، نقلاً عن شركة TRM Labs، إن معظم المبلغ اختفى في نحو 20 دقيقة.^[7] بعد ثلاثة أيام، أعلن مكتب التحقيقات الفيدرالي الأمريكي أن كوريا الشمالية وراء الهجوم.^[3] وفي 3 نوفمبر، نشرت بينانس تقريرها التفصيلي عن الحادثة، وكشف أن الهجوم سبقته حملة استمرت أشهراً.^[1][9]

جمعنا في هذا التحقيق ما نشرته المنصة نفسها، والـFBI، وشركات تتبّع البلوكتشين، والجهة الرقابية في أبوظبي، ورتّبناه في صورة واحدة. والأهم: ما الذي يعنيه ذلك لك إذا كان لديك حساب على بينانس.

كيف دخل المهاجمون: خمسة أشهر من الصبر

أخطر ما في تقرير بينانس أن الاختراق لم يبدأ بثغرة تقنية في المنصة، بل بموظفين.^[1]

• يونيو 2026: نزّل مهندس في فريق تشغيل المحافظ (نسمّيه «المهندس أ» كما فعل التقرير) نسخة معدّلة من برنامج تثبيت لأداة برمجة بالذكاء الاصطناعي وجدها عبر محرك بحث. قالت مجلة The Verge إن الرابط كان إعلاناً خبيثاً على غوغل.^[18] رُصد الجهاز واستُبدل، لكن المهاجمين لم يتوقفوا.^[1]
• سبتمبر 2026: تواصل «مدير مشروع» وهمي مع «المهندس ب» عبر منصة توظيف. أجرى معه مقابلتين، الأولى بالفيديو والثانية عبر تطبيق مراسلة، ثم أرسل له «اختباراً تقنياً» في مستودع برمجي يحوي برنامجاً خبيثاً لم يكن معروفاً من قبل، استبدل أداة pyenv على جهازه. ولم ترصده أنظمة الحماية.^[1]
• 20 أكتوبر: استغل المهاجمون أداة ذكاء اصطناعي داخلية في الشركة للسيطرة على حسابي مهندسَين آخرَين، ووجدوا مفتاح دخول لدى «المهندس أ» يسمح بنشر حاويات برمجية على الأنظمة.^[1]
• 29 أكتوبر، 17:15 إلى 19:56 بتوقيت غرينتش: دخلوا جهاز «المهندس ج» ونشروا حاوية خبيثة.^[1]

هذه الحيلة ليست جديدة. مكاتب التوظيف الوهمية من أشهر أساليب مجموعات القرصنة الكورية الشمالية، وقالت بينانس إنها صدّت 57 محاولة مرتبطة بكوريا الشمالية خلال 2026 وحده.^[1] المحاولة الثامنة والخمسون نجحت.

ساعات السرقة: من 20:05 إلى منتصف الليل

من وراء الهجوم؟

في 31 أكتوبر، قال مكتب التحقيقات الفيدرالي إن كوريا الشمالية مسؤولة عن سرقة أكثر من 6 مليارات دولار من بينانس «في 29 أكتوبر أو نحوه»، وإن المنفّذين ينتمون إلى مجموعة يسمّيها TraderTraitor.^[3] وأضاف أن المكتب، مع جهاز الخدمة السرية الأمريكي ووحدة التحقيقات الجنائية في مصلحة الضرائب، رصدوا تحويل الأموال إلى إيثريوم، وأنهم يتوقعون غسلها عبر منصات التمويل اللامركزي وخدمات التبديل الفوري.^[3]

وطلب المكتب من منصات التداول ومشغّلي البنى التحتية حظر العناوين المرتبطة بالسرقة، ونشر قائمة طويلة بعناوين على إيثريوم وبيتكوين وسولانا.^[3] وذكرت وكالة أسوشيتد برس أن المجموعة نفسها نُسبت إليها سرقة 1.5 مليار دولار من منصة Bybit في فبراير 2025.^[8]

من جهتها، وصفت كيم يو جونغ، شقيقة الزعيم الكوري الشمالي، الاتهام بأنه «خطاب سخيف»، بحسب ما نقلته BBC عن وكالة الأنباء الرسمية.^[10] وردّت وزارة الخارجية الأمريكية بتجديد مخاوفها من الجرائم الإلكترونية الكورية الشمالية.^[11]

أين ذهبت الأموال؟

تتبّعت شركة Elliptic مسار الأموال، ووصفت عملية الغسل بأنها «معقّدة جداً ومؤتمتة بوضوح».^[4] في الأيام الثلاثة والنصف الأولى:

• استُخدمت نحو 12,000 محفظة على 11 شبكة بلوكتشين، أي محفظة جديدة كل 25 ثانية تقريباً، في أكثر من 40,000 معاملة.^[4]
• حُوّل نحو 786 مليون دولار من العملات المستقرة قبل أن تصل قرارات التجميد، منها 434 مليون USDT بُدّلت إلى إيثريوم عبر منصات لامركزية مثل Uniswap.^[4]
• بدأ «الخلط» لإخفاء الأثر: نحو 33 بيتكوين مرّت عبر عمليات CoinJoin منذ 1 نوفمبر، ونحو 1.2 مليون دولار من ETH وSOL دخلت مجمّع خصوصية.^[4]
• جسر THORChain كان من قنوات التحويل الرئيسية، وتوقّف مؤقتاً في 31 أكتوبر بسبب عطل فني ثم استأنف عمله في 3 نوفمبر.^[4]

تتوقع Elliptic أن تُبدَّل الإيثريوم المتبقية إلى بيتكوين في معاملات صغيرة كثيرة، ثم تُصرف نقداً عبر وسطاء خارج البورصات (OTC) على مدى أشهر.^[4] وهنا نقطة الضعف الوحيدة المتبقية أمام المهاجمين: يحتاجون إلى طرف يقبل الأموال ويحوّلها إلى نقد، سواء كان منصة تداول أو وسيطاً.^[4] وقالت Chainalysis إنها تعمل مع جهات إنفاذ القانون والمنصات على تتبّع الأموال وتجميدها.^[6]

ماذا قالت الجهات الرقابية في الخليج؟

بدأت بينانس العمل عبر ثلاثة كيانات مرخّصة في سوق أبوظبي العالمي في يناير 2026، بحسب موقع AGBI.^[14] وفي 30 أكتوبر، أصدرت سلطة تنظيم الخدمات المالية في السوق (FSRA) بياناً قالت فيه إنها «على علم بالأمر» وإنها «تتواصل عن قرب مع بينانس وتراقب الحادثة»، وإن «حماية مصالح العملاء ودعم نزاهة الأسواق وانتظامها تبقى أولوياتها الرئيسية».^[12]

لم يحدد البيان عدد العملاء المتأثرين في الإمارات أو الخليج. ولم نجد حتى تاريخ النشر تعليقاً منشوراً من سلطة تنظيم الأصول الافتراضية في دبي (VARA) أو من أي جهة رقابية خليجية أخرى. وسنحدّث هذا التحقيق إذا صدر أي بيان.

الموجة الثانية: محتالون باسم بينانس

بعد كل اختراق كبير، تأتي موجة احتيال تستغل خوف العملاء. وهذه المرة بدأت بسرعة:

• رسائل «تسوية» مزيفة: رصدت شركة الأمن Bitdefender رسائل بريد إلكتروني تنتحل اسم بينانس وتطلب «رسوم توثيق محفظة» بقيمة 0.0042 بيتكوين لإعادة الرصيد.^[16]
• «تعويض 150 دولاراً»: انتشرت لقطات شاشة عن تعويض لكل مستخدم، وأكدت بينانس أنها مزيفة.^[17]
• تحذير بينانس الرسمي: نشرت المنصة في 2 نوفمبر قائمة بما لن تفعله أبداً.^[15]

استنتاج مرصد المال

1. حجم المنصة لا يعني أنها محصّنة. أكبر منصة في العالم اختُرقت عبر مهندس قبل «اختبار توظيف». لا تضع كل أموالك في محفظة منصة واحدة، وفكّر في محفظة باردة للمبالغ الكبيرة.
2. رصيدك على بينانس يجب ألا يكون قد تأثر بحسب ما تقوله المنصة، فهي تقول إنها تغطي الخسائر كاملة.^[1] إن لاحظت نقصاً، تواصل معها عبر التطبيق الرسمي فقط.
3. الأسلوب نفسه يستهدفك أنت: عروض العمل الوهمية و«الاختبارات التقنية» والبرامج المزيفة عبر الإعلانات تصل إلى الأفراد أيضاً، لا إلى المهندسين فقط.
4. أي «تعويض» يتطلب دفع رسوم هو احتيال، أياً كان الاسم المكتوب على الرسالة.
5. شفافية بينانس تُحسب لها: نشرت تقريراً مفصّلاً بالتوقيتات خلال خمسة أيام، وأعلنت مراجعة مستقلة.^[1] وهذا ما ننتظره من أي منصة تتعرض لحادثة مماثلة.

إذا كان لديك حساب على بينانس

• ادخل فقط عبر التطبيق الرسمي أو بكتابة العنوان بنفسك، لا عبر رابط في رسالة أو إعلان.
• تجاهل أي اتصال أو رسالة عن «التعويض» أو «فك التجميد» أو «الأولوية في السحب»، واحذفها.
• لا تشارك عبارة الاسترداد ولا رموز التحقق مع أي شخص، ولا تثبّت برامج تحكم عن بعد.
• إذا دفعت لمحتال، أبلغ بنكك فوراً، ثم الشرطة أو وحدة الجرائم الإلكترونية في بلدك، واحتفظ بكل المراسلات والعناوين.
• احذر من «الاحتيال الثاني»: من يعدك باسترجاع أموالك مقابل رسوم هو على الأرجح محتال آخر. راجع علامات محامي الاسترجاع المزيف.

هذا التحقيق لأغراض التوعية، وليس توصية استثمارية. استند إلى مصادر منشورة اطّلعنا عليها حتى 4 نوفمبر 2026. الأرقام تختلف قليلاً بين المصادر بسبب تغيّر أسعار العملات المشفّرة وتوقيت الحساب: بينانس تقول 6.34 مليار دولار، وElliptic تقول 6.43 مليار. ما لم نتمكن من التحقق منه: عدد العملاء المتأثرين في الخليج، وموقف الجهات الرقابية الخليجية غير سلطة أبوظبي. ونسبة الهجوم إلى كوريا الشمالية صادرة عن الـFBI، وقد نفتها بيونغ يانغ.