مفيش مفتاح اتسرق، $351 مليون في ساعة — اختراق المحفظة الساخنة عند Bitget وحد الثقة في مسار الموافقة
Bitget أكّدت يوم 25 سبتمبر إن حوالي $351.6 مليون خرجت من أجزاء من محافظها الساخنة والدافية في تحويلات غير مصرَّح بيها اتكتشفت الساعة 18:31 UTC يوم 24 سبتمبر. محافظها الباردة الأوفلاين متأثرتش حسب التقارير، والسحب متوقف، والبورصة بتقول إن صندوق حماية المستخدمين بتاعها وقيمته $464 مليون بيغطّي الخسارة كلها. حسب Bitget، المهاجم ماخدش المفاتيح الخاصة، لكن وصل لنظام خلفي وزوّر بيانات المعاملات عشان يوجّه مسار الموافقة لإخراج الأموال. بنراجع سؤال إسناد Lazarus، ونفس البنية مع موضوع مستويَي الإدارة والهوية اللي المرصد غطّاه في الأسابيع الأخيرة.
المقالة دي اتترجمت بالآلة.
الساعة 18:31 UTC يوم 24 سبتمبر 2026، أنظمة أمن Bitget علّمت على تحويلات غير مصرَّح بيها من جزء من محافظها الساخنة، وإجراءات الاستجابة للطوارئ اتفعّلت في خلال دقايق. يوم 25، الرئيسة التنفيذية Gracy Chen قالت علنًا إن الأصول المتأثرة مجموعها حوالي $351.6 مليون. بنية محافظ Bitget ثلاث طبقات (ساخنة / دافية / باردة)؛ وحسب البورصة الاختراق محصور في أجزاء من الطبقتين الساخنة والدافية وما وصلش للمحافظ الباردة الأوفلاين، وأرصدة حسابات العملاء لسه متوافقة مع حيازاتهم. السحب متوقف مؤقتًا، والتداول والإيداع مستمرين. البورصة بتبلّغ إنها حددت وعلّمت على عناوين المستلمين، وبلّغت جهات إنفاذ القانون، وكلّفت شركات أمن البلوك تشين بتتبع الأموال، وإن تقرير حادثة كامل — بيغطي السبب الجذري وخطوات التصحيح — هييجي خلال 24 ساعة من الإخطار الأول (حسب بيان Gracy Chen على X، وإخطار الأمن الرسمي من Bitget، وCryptopotato، وInvestingLive، وCyberSecurityNews).
على مسار الهجوم، رواية Bitget إن المهاجم وصل لنظام خلفي جوّا بنية المحافظ بتاعتها، وزوّر بيانات المعاملات، وبكده وجّه عملية الموافقة عشان تطلّع الأموال. بمعنى تاني، حسب البورصة، دي مش تسريب للمفاتيح الخاصة اللي بتتحكم في المحافظ نفسها. التقديرات المبكرة من باحثين على السلسلة (محللين زي Arkham Intelligence) كانت ماشية $174M–$183M، حوالي نص الرقم المؤكد؛ ومراقبين على السلسلة تتبعوا حركات فيها ETH وBNB وAVAX وUSDT وUSDC. معاملة لافتة، حسب Decrypt: محفظة لسه متكوّنة بدّلت حوالي $19.7M من USDT0 (نسخة Tether العابرة للسلاسل) لـ 7,111 ETH في حوالي ست دقايق، ودفعت لحد 5% فوق سعر السوق عشان تعدّي التبديل بسرعة. صندوق حماية المستخدمين عند البورصة ماسك $464M، أكتر من الخسارة، وBitget التزمت تغطي المبلغ كله منه. TFTC بتلاحظ إن مزيج أصول الصندوق ما اتتحققش منه بشكل مستقل.
في الإسناد: المحقق على السلسلة Specter ادّعى إن مجموعة Lazarus المرتبطة بكوريا الشمالية ورا الهجوم، وHackRead نقلت إن Bitget بتشك في تورط المجموعة، بينما Bitget نفسها رفضت الإسناد بشكل رسمي، حسب تقارير إنها «رفضت التكهن». المناسب إن الإسناد الحالي يتوصف كـ«اشتباه»، مش «إسناد». كسياق، بيتقال إن مجموعات تابعة لـ Lazarus اتورطت في كتير من أكبر اختراقات البورصات في السنين الأخيرة — $1.5B بتاعة Bybit في فبراير 2025 (الـ FBI أسندتها لـ Lazarus)، وحوالي $308M بتاعة DMM Bitcoin وحوالي $234.9M بتاعة WazirX في 2024. حسب Chainalysis، سرقة الكريبتو في 2025 مجموعها $3.4B، منها $2.02B (أكتر من 60%) اتقدّرت إنها مرتبطة بكوريا الشمالية. في النصف الأول من 2026 لوحده، اتاخد $1.1B عبر 212 حادثة، أغلبية منسوبة لمجموعة Lazarus. التشتت السريع على سلاسل كتير في الحادثة دي، والتحويل الفوري لـ ETH، والدخول عن طريق نظام داخلي من غير تسريب مفتاح، بتطابق بصمات تشغيل مجموعات مرتبطة بدول — بس تشابه الأسلوب مش دليل على الهوية.
تحليل (منفصل عن الوقائع): اللي يهم إن «المفاتيح ما اتسرقتش» مش بالضرورة نتيجة كويسة. حسب رواية Bitget، المهاجم ماخدش مفاتيح التوقيع، لكن وصل للنظام الخلفي اللي بيغذّي البيانات لعملية الموافقة، وزوّر بيانات المعاملات. اللي اتكسر مش الحد التشفيري (المفاتيح) لكن حد الثقة (مصدر المعلومات لقرار الموافقة). ده نفس البنية بتاعة موضوع «مستويَي الإدارة والهوية» اللي المرصد غطّاه في الأسبوعين اللي فاتوا — زيرو داي OAuth بتاعة F5 BIG-IP APM (الجهة اللي بتصدر الهوية اتعملها RCE من غير مصادقة)، وتجاوز مصادقة واجهة الإدارة في Cisco ISE (CVSS 10.0)، ووصول Secure Email Gateway للجذر عن طريق كود التحليل — كلهم شايلين نفس التركيب: لما المستوى اللي بياخد القرار نفسه يتلتقط، القرار ما بقتش ينفع يتوثق فيه. مسار الموافقة في بنية المحافظ هو بالظبط مستوى قرار زي ده؛ سلامة الأرصدة وبيانات المعاملات اللي بتتداله، وسلطة الأنظمة الداخلية اللي تقدر تنشئ أو تعدّل طلبات السحب، هما اللي بيعرّفوا حد الثقة. تقرير الـ 24 ساعة، لو يورّي أنهي نظام خلفي اتخترق، ولأنهي موافقين البيانات المزوّرة ظهرت، والموافقة متعددة الخطوات كانت تقدر تفرّق «مسار البيانات المزوّرة» عن «طلب حقيقي» ولا لأ، هيخلّي نقطة الفشل أوقع. لحد ما يحصل ده، المناسب إن الفشل يتتمثّل كـ«اختراق مسار البيانات اللي داخل على عملية الموافقة».
الدلالات الدفاعية: (1) الجهات اللي ماسكة أصول على السلسلة لازم تعامل خط الموافقة نفسه كحد ثقة من الدرجة الأولى — مش حيازة المفاتيح بس، لكن أصل بيانات المعاملة (مصادقة/شهادة عند طبقة الـ API، وعرض بيانات مستقل لكل موافق، وتوقيع متعدد بعروض مستقلة) كمتطلب تصميم. (2) حط سرعة السحب والسقوف لكل سلسلة مع بعض، وراقب الشذوذ على السلسلة (سرعة تبديل غير طبيعية، وفرق غير طبيعي عن سعر السوق) كإشارات فرز لحظية — USDT0 → ETH في الحادثة دي في ~6 دقايق بعلاوة لحد 5% هو بالظبط النوع ده من الإشارات. (3) لأن التشتت على سلاسل كتير بيضعّف أثر التجميد، اتفق مسبقًا على قنوات التجميد/التتبع مع أطراف الجسور وDEX. (4) إيقاف السحب، والإفصاح السريع، والتزام التعويض بيحدوا الضرر الثانوي — بس التعويض قوته على قد التحقق المستقل من حجم الصندوق ومزيج أصوله، فخلّي التحقق ده قائم يوم بيوم. الوقائع هنا مأخوذة من بيان Gracy Chen على X (https://x.com/GracyBitget/status/2103235655879074084)، وإخطار الأمن الرسمي من Bitget (https://www.bitget.com/support/articles/12560603896024)، وCryptopotato (https://cryptopotato.com/bitget-reports-351m-hot-wallet-breach-says-user-funds-are-covered/)، وInvestingLive (https://investinglive.com/cryptocurrency/hackers-drain-351-6-million-from-bitget-in-possibly-2026-s-biggest-crypto-heist/)، وCyberSecurityNews (https://cybersecuritynews.com/bitget-hot-wallet-hacked/)، وshattered.io (https://shattered.io/bitget-hack-351-million-2026/)، وHackRead (https://hackread.com/bitget-hack-suspects-north-korea-lazarus-group/). التحليل متساب منفصل عن التغطية.