بلا مفتاح مسروق، و$351 مليون في ساعة — اختراق المحفظة الساخنة لدى Bitget وحدّ الثقة في مسار الاعتماد
أكّدت Bitget في 25 سبتمبر أن نحو $351.6 مليون غادرت أجزاء من محافظها الساخنة والدافئة في تحويلات غير مصرّح بها رُصدت عند 18:31 UTC في 24 سبتمبر. ويُفاد بأن محافظها الباردة غير المتصلة لم تتأثر، والسحوبات متوقفة، وتقول المنصة إن صندوق User Protection Fund البالغ $464 مليون يغطي الخسارة كاملة. بحسب Bitget، لم يأخذ المهاجم private keys، بل وصل إلى نظام خلفي وزيّف بيانات المعاملات ليوجّه مسار الاعتماد إلى إطلاق الأموال. ننظر في مسألة الإسناد إلى Lazarus وفي تماثل البنية مع موضوع مستوى الإدارة والهوية الذي غطاه هذا المرصد في الأسابيع الأخيرة.
تُرجمت هذه المقالة آليًا.
عند 18:31 UTC في 24 سبتمبر 2026، رصدت أنظمة الأمن لدى Bitget تحويلات غير مصرّح بها من جزء من محافظها الساخنة، وجرى تفعيل إجراءات الاستجابة الطارئة خلال دقائق. في اليوم 25، صرّحت الرئيسة التنفيذية Gracy Chen علنًا بأن الأصول المتأثرة تبلغ في مجموعها نحو $351.6 مليون. بنية محافظ Bitget من ثلاث طبقات (hot / warm / cold)؛ وبحسب المنصة يقتصر الاختراق على أجزاء من الطبقتين الساخنة والدافئة ولم يبلغ المحافظ الباردة غير المتصلة، وتبقى أرصدة حسابات العملاء متسقة مع موجوداتهم. السحوبات معلّقة مؤقتًا بينما يستمر التداول والإيداع. تفيد المنصة أنها حددت عناوين المستلمين ووضعت عليها علامة، وأبلغت جهات إنفاذ القانون، وكلّفت شركات أمن سلاسل الكتل بتتبّع الأموال، وأن تقرير حادث كامل — يغطي السبب الجذري وخطوات التصحيح — سيتبع خلال 24 ساعة من الإشعار الأول (بحسب بيان Gracy Chen على X، وإشعار الأمن الرسمي من Bitget، وCryptopotato، وInvestingLive، وCyberSecurityNews).
في مسار الهجوم، رواية Bitget هي أن المهاجم وصل إلى نظام خلفي داخل بنية محافظها، وزيّف بيانات المعاملات، وبذلك وجّه عملية الاعتماد إلى إطلاق الأموال. وبعبارة أخرى، بحسب المنصة، ليس الأمر تسرّبًا لـ private keys التي تتحكم في المحافظ نفسها. التقديرات المبكرة من باحثين على السلسلة (محللون مثل Arkham Intelligence) بلغت $174M–$183M، نحو نصف الرقم المؤكد؛ وتتبّع مراقبون على السلسلة تحركات تشمل ETH وBNB وAVAX وUSDT وUSDC. معاملة لافتة، نقلتها Decrypt: محفظة أُنشئت حديثًا بدّلت نحو $19.7M من USDT0 (نسخة Tether العابرة للسلاسل) إلى 7,111 ETH في نحو ست دقائق، دافعةً حتى 5% فوق سعر السوق لدفع المبادلة بسرعة. يحتفظ صندوق User Protection Fund لدى المنصة بـ $464M، وهو يتجاوز الخسارة، والتزمت Bitget بتغطية المبلغ كاملًا منه. تلاحظ TFTC أن مزيج أصول الصندوق لم يُتحقق منه بشكل مستقل.
في الإسناد: ادّعى المحقق على السلسلة Specter أن مجموعة Lazarus المرتبطة بكوريا الشمالية تقف وراء الهجوم، ونقل HackRead أن Bitget تشك في ضلوع المجموعة، بينما امتنعت Bitget نفسها عن الإسناد رسميًا، بحسب تغطية قالت إنها «امتنعت عن التكهن». من المناسب وصف الإسناد الحالي بأنه «اشتباه»، لا «إسناد». للسياق، يُفاد بأن مجموعات تابعة لـ Lazarus شاركت في كثير من أكبر اختراقات المنصات في السنوات الأخيرة — $1.5B لدى Bybit في فبراير 2025 (نسبها FBI إلى Lazarus)، ونحو $308M لدى DMM Bitcoin ونحو $234.9M لدى WazirX، الاثنان في 2024. بحسب Chainalysis، بلغ مجموع سرقة العملات المشفرة في 2025 مقدار $3.4B، قُدّر منها $2.02B (أكثر من 60%) بأنه مرتبط بكوريا الشمالية. في النصف الأول من 2026 وحده، أُخذ $1.1B عبر 212 حادثة، مع أغلبية منسوبة إلى Lazarus Group. التشتت السريع لهذا الحادث عبر سلاسل متعددة، والتحويل الفوري إلى ETH، والدخول عبر نظام داخلي من دون تسرّب مفتاح، تطابق بصمات تشغيل مجموعات مرتبطة بدول — لكن تشابه الأسلوب ليس دليلًا على الهوية.
التحليل (منفصل عن الوقائع): المهم هو أن «المفاتيح لم تُسرق» ليس بالضرورة نتيجة جيدة. بحسب رواية Bitget، لم يأخذ المهاجم مفاتيح التوقيع بل وصل إلى النظام الخلفي الذي يغذّي عملية الاعتماد بالبيانات، وزيّف بيانات المعاملات. ما انكسر ليس الحد التشفيري (المفاتيح) بل حدّ الثقة (مصدر المعلومات لقرار الاعتماد). هذا متماثل البنية مع موضوع «مستوى الإدارة والهوية» الذي غطاه هذا المرصد في الأسبوعين الأخيرين — ثغرة اليوم صفر في OAuth لدى F5 BIG-IP APM (جرى RCE من دون مصادقة على جانب إصدار الهوية)، وتجاوز مصادقة واجهة الإدارة لدى Cisco ISE (CVSS 10.0)، وبلوغ الجذر في Secure Email Gateway عبر شيفرة التحليل — وكلها تشترك في البنية: عندما يُستولى على المستوى الذي يتخذ القرار نفسه، لا يعود يمكن الوثوق بالقرار. مسار الاعتماد في بنية المحفظة هو تحديدًا مستوى قرار من هذا النوع؛ وسلامة الأرصدة وبيانات المعاملات التي تُعطى له، وصلاحية الأنظمة الداخلية التي تستطيع إنشاء طلبات السحب أو تغييرها، تعرّف حدّ الثقة. تقرير الساعات الـ 24، إذا أظهر أي نظام خلفي تعرّض للاختراق، ولأي معتمدين ظهرت البيانات المزيّفة، وما إذا كان الاعتماد متعدد الخطوات يستطيع تمييز «مسار البيانات المزيّفة» من «طلب حقيقي»، سيجعل نقطة الفشل أكثر تحديدًا. إلى ذلك الحين، من المناسب نمذجة الفشل بوصفه «اختراق مسار البيانات الداخل إلى عملية الاعتماد».
دلالات دفاعية: (1) على من يحتفظ بأصول على السلسلة أن يعامل خط الاعتماد نفسه بوصفه حدّ ثقة من الدرجة الأولى — لا حفظ المفاتيح وحده، بل مصدر بيانات المعاملات (المصادقة/الإثبات عند طبقة API، وعروض بيانات مستقلة لكل معتمد، والتوقيع المتعدد مع عروض مستقلة) بوصفه متطلب تصميم. (2) ضع سرعة السحب والسقوف لكل سلسلة معًا، وراقب الشذوذ على السلسلة (سرعة مبادلة غير طبيعية، وفرقًا غير طبيعي مقابل سعر السوق) بوصفه إشارات فرز في الوقت الحقيقي — USDT0 → ETH في هذا الحادث خلال ~6 دقائق بعلاوة تصل إلى 5% هو تحديدًا إشارة من هذا النوع. (3) لأن التشتت عبر سلاسل متعددة يُضعف أثر التجميد، اتفق مسبقًا على قنوات التجميد/التتبّع مع أطراف الجسور وDEX. (4) تعليق السحوبات، والإفصاح السريع، والالتزام بالتعويض تحدّ من الضرر الثانوي — لكن التعويض لا يقوى إلا بقدر قابلية حجم الصندوق ومزيج أصوله للتحقق المستقل، فأبقِ تلك القابلية قائمة يومًا بيوم. الوقائع هنا مستمدة من بيان Gracy Chen على X (https://x.com/GracyBitget/status/2103235655879074084)، وإشعار الأمن الرسمي من Bitget (https://www.bitget.com/support/articles/12560603896024)، وCryptopotato (https://cryptopotato.com/bitget-reports-351m-hot-wallet-breach-says-user-funds-are-covered/)، وInvestingLive (https://investinglive.com/cryptocurrency/hackers-drain-351-6-million-from-bitget-in-possibly-2026-s-biggest-crypto-heist/)، وCyberSecurityNews (https://cybersecuritynews.com/bitget-hot-wallet-hacked/)، وshattered.io (https://shattered.io/bitget-hack-351-million-2026/)، وHackRead (https://hackread.com/bitget-hack-suspects-north-korea-lazarus-group/). يُبقى التحليل منفصلًا عن التغطية.