تعرضت منصة تداول العملات المشفرة بيتغيت لهجوم إلكتروني أسفر عن تحويل أصول رقمية بقيمة تقارب 387.5 مليون دولار إلى عناوين يسيطر عليها المهاجمون، في أكبر عملية سرقة للعملات المشفرة من حيث القيمة خلال عام 2026 حتى الآن، وفق ما أعلنته المنصة وشركة الاستخبارات الأمنية المتخصصة في تحليل البلوك تشين TRM Labs.
ورفعت المنصة تقديرها الأولي للخسائر من 351.6 مليون دولار إلى 387.5 مليون دولار، موضحة أن المراجعة اللاحقة شملت أصولا إضافية على شبكتي Zcash وTRON لم تكن مدرجة في التقدير الأول.
وأكدت بيتغيت أن تعديل التقدير لا يمثل اختراقا جديدا، وإنما يعكس تقديرا أكثر اكتمالا للأصول المتأثرة بالحادثة نفسها.
كيف بدأ اختراق بيتغيت؟
رصدت أنظمة بيتغيت تحويلات غير مصرح بها من بعض المحافظ الساخنة والدافئة عند الساعة 18:31 بتوقيت غرينتش في 24 سبتمبر 2026، ما دفع المنصة إلى تفعيل إجراءات الاستجابة للحوادث وإيقاف عمليات السحب مؤقتا كإجراء احترازي.
وبحسب الشركة، بقيت المحافظ الباردة، التي تحتفظ بالجزء الأكبر من أصول المنصة، خارج نطاق الهجوم.
وقالت بيتغيت إن المهاجمين لم يسرقوا المفاتيح الخاصة، وإنما استغلوا ثغرة في بنية النظام الخلفية المرتبطة بالمحافظ، وتمكنوا من التلاعب ببيانات أوامر السحب وخداع آلية التفويض بحيث بدت المعاملات غير المشروعة وكأنها عمليات مصرح بها.
وفي تحديث رسمي لاحق، أفادت المنصة بأنها حددت مسار الهجوم والثغرة التي استغلت، وأنها عالجت الخلل، بينما شاركت شركتا Mandiant وSlowMist في التحقيقات الأمنية.
ما حجم الأموال المسروقة؟
بلغت القيمة التي أعلنت عنها بيتغيت نحو 387.5 مليون دولار، مقارنة بتقدير أولي بلغ 351.6 مليون دولار.
وشملت الأصول المتأثرة XRP وETH وUSDT وZEC وUSDC وUSDT0 وXAUt وBNB وAVAX وTRX، وانتقلت عبر عدة شبكات من بينها إيثيريوم والشبكات المتوافقة معها وXRP Ledger وZcash وTRON.
وأظهرت بيانات TRM Labs أن جزءا كبيرا من الأموال جرى تقسيمه على محافظ جديدة خلال فترة قصيرة، بينما تحركت أجزاء أخرى عبر بروتوكولات وخدمات مختلفة بهدف نقل الأصول بين الشبكات وتحويلها إلى عملات أخرى.
وكانت عملة XRP من أكبر الأصول المتأثرة، إذ رصدت TRM Labs خروج ما يقارب 158 مليون دولار من القيمة عبر XRP Ledger في بداية تتبعها للحادثة، كما انتقلت أجزاء من الأصول عبر THORChain وغيرها من خدمات الربط والتبادل بين الشبكات.
هل استخدم القراصنة منصات لامركزية لإخفاء الأموال؟
تشير تحليلات المعاملات على السلسلة إلى أن المهاجمين تحركوا بسرعة لتوزيع الأموال على عناوين متعددة وتحويل بعض الأصول إلى عملات أخرى.
ورصدت TRM Labs مسارات استخدمت فيها أصول على شبكات مختلفة، بينها BNB Chain وإيثيريوم وTRON، قبل انتقال أجزاء منها عبر THORChain إلى شبكة بيتكوين، كما ظهرت معاملات عبر خدمات وجسور أخرى بين الشبكات.
ويجعل هذا النمط عملية استرداد الأموال أكثر تعقيدا، لكنه لا يعني بالضرورة اختفاءها، إذ تظل حركة الأصول على شبكات البلوك تشين قابلة للتتبع، ويمكن لمنصات التداول ومصدري العملات المستقرة وشركات تحليل البلوك تشين التعاون لتحديد العناوين المرتبطة بالأموال المسروقة وتجميدها عندما يكون ذلك ممكنا.
هل تقف كوريا الشمالية وراء الاختراق؟
برز احتمال ارتباط الهجوم بجهات قرصنة مرتبطة بكوريا الشمالية، لكن هذا الإسناد لم يحسم نهائيا.
وقالت الرئيسة التنفيذية لبيتغيت، غرايسي تشين، إن المؤشرات الأولية تجعل ضلوع جهات كورية شمالية احتمالا قويا، استنادا إلى مؤشرات مرتبطة بعناوين الإنترنت وأنماط النشاط التي رصدها المحققون.
وأشارت TRM Labs بدورها إلى مؤشرات تتوافق مع أنماط مرتبطة بعمليات سرقة سابقة نسبت إلى جهات كورية شمالية، لكنها لم تقدم هذا الإسناد باعتباره حقيقة نهائية.
وبالتالي، فإن تحديد الجهة المسؤولة عن الهجوم يظل جزءا من التحقيقات الجارية، ولا سيما مع استمرار تتبع الأموال عبر عدة شبكات.
هل خسر مستخدمو بيتغيت أموالهم؟
أكدت بيتغيت أن أرصدة المستخدمين لم تتأثر، وأن المحافظ الباردة بقيت آمنة، وقالت المنصة إن الخسائر الناجمة عن الحادث ستغطى من صندوق حماية المستخدمين الذي تتجاوز قيمته 464 مليون دولار، وهو ما يفوق قيمة الأصول المتأثرة التي أعلنتها الشركة.
كما أكدت أن تعليق عمليات السحب كان إجراء أمنيا احترازيا وليس نتيجة نقص في السيولة.
واستمرت عمليات الإيداع والتداول، بينما ظلت عمليات السحب معلقة خلال مرحلة التحقق الأمني.
متى تعود عمليات السحب؟
أعلنت بيتغيت خطة تدريجية لاستعادة عمليات السحب، تبدأ في 28 سبتمبر، بعد الانتهاء من اختبارات الأمان والتحقق من سلامة البنية التحتية.
وبحسب الجدول المعلن، بدأت عودة سحب بيتكوين في 28 سبتمبر، على أن يتبعها إيثيريوم في 29 سبتمبر، ثم USDT في 30 سبتمبر، بينما تستكمل عمليات السحب لبقية الأصول والخدمات الأخرى في 2 أكتوبر، وفق نتائج اختبارات الأمان لكل مرحلة.
بيتغيت تطلق مكافأة لاستعادة الأموال
إلى جانب تجميد العناوين المرتبطة بالاختراق والتعاون مع شركات الأمن والمنصات الأخرى، أطلقت بيتغيت برنامج مكافآت للمساعدة في استعادة الأموال.
وقالت الشركة إن البرنامج يوفر مكافأة تعادل 5% من الأموال التي ينجح طرف في تجميدها أو استعادتها، وفق شروط البرنامج، مشيرة إلى أن بعض الأصول المتأثرة جرى تجميدها بالفعل نتيجة التعاون مع جهات مختلفة في قطاع العملات المشفرة.
ماذا يكشف اختراق بيتغيت؟
تتجاوز دلالة الحادث قيمة الأموال المسروقة، إذ يكشف أن حماية منصات العملات المشفرة لا تتوقف عند تأمين المفاتيح الخاصة.
ففي حالة بيتغيت، تقول المنصة إن المهاجمين لم يحصلوا على المفاتيح الخاصة، وإنما استهدفوا الطبقة البرمجية المسؤولة عن إعداد المعاملات وتمريرها إلى نظام التفويض.
ويبرز ذلك أهمية حماية الأنظمة الخلفية، والفصل بين طبقات البنية التحتية، وإجراء عمليات تحقق مستقلة من أوامر السحب، إلى جانب مراقبة التحويلات غير المعتادة في المحافظ الساخنة.
كما توضح الحادثة التحديات التي تواجه عمليات استرداد العملات المشفرة بعد خروجها من محافظ المنصة، إذ يمكن نقل الأصول بسرعة بين شبكات متعددة وتحويلها إلى رموز أخرى، ما يجعل التعاون بين منصات التداول وشركات الأمن ومسؤولي إنفاذ القانون ضرورة ملحة.
وفي هذا السياق، يتوقع خبراء أمن البلوك تشين أن تستمر عمليات التتبع والتعاون الدولي لتحديد العناوين المرتبطة بالاختراق وتجميد الأموال المسروقة، في حين يترقب المستخدمون استكمال استعادة خدمات السحب لكافة الأصول وفق الجدول الزمني المعلن، مع بقاء التحقيقات مفتوحة بشأن هوية الجهة المسؤولة.
