شبح خلف الشاشة: كشف العالم الخفي لمجموعة لازاروس الكورية الشمالية

بقلم: ChandlerZ، Foresight News

ملاحظة المحرر: في عالم العملات المشفرة، يمكن للثروة أن تنتقل في دقائق، وقد يخفي طلب توظيف عادي أو تحديث برمجي مدخلًا لأصول ضخمة. يتتبع عمود "قصص العملات المشفرة" في Foresight News الأشخاص وراء الأحداث الغريبة، باحثًا في المصادر العامة وخيوط الأموال عن الجوانب غير الواضحة من القصة.

في الحلقة الثانية، نقترب من مجموعة لازاروس. هذه المجموعة القرصنة المرتبطة بكوريا الشمالية اتُهمت سابقًا بالهجوم على Sony Pictures وسرقة البنك المركزي البنغلاديشي وعدة سرقات لأصول مشفرة. بعد الهجوم على Binance، عادت للظهور في الأضواء. من أين يأتي هؤلاء الأشخاص المختبئون خلف الشاشات؟ كيف يقتربون من أهدافهم، وكيف ينقلون الأصول المسروقة؟

في أكتوبر 2026، سُرقت أصول رقمية بقيمة ٦.٣٤ مليار دولار من Binance، مسجلة رقمًا قياسيًا في تاريخ صناعة العملات المشفرة.

وقبل أكثر من شهر، تلقى مهندس في Binance دعوة مقابلة تبدو عادية على منصة توظيف. رتب الطرف المجند أولًا مقابلة فيديو، ثم طلب من شخص يدعي أنه الرئيس التنفيذي للشركة إجراء مقابلة ثانية. قرب النهاية، أرسل الطرف الآخر واجبًا برمجيًا وطلب من المهندس تنزيله على جهاز العمل.

وفقًا لتقرير التحقيق الأولي المنشور في 3 نوفمبر، كانت شركة التوظيف مختلقة بالكامل من قبل المهاجمين، وكان الواجب يحتوي على كود خبيث. استغل المهاجمون ذلك لاختراق جهاز المهندس، وفي 20 أكتوبر استخدموا أدوات الذكاء الاصطناعي الداخلية في Binance للتحرك أفقيًا، وحصلوا على رموز وصول لنظام النشر، واخترقوا في النهاية نظام توقيع المحفظة. رغم أن Binance اعترضت وجمدت حوالي ٢.٨٥ مليار دولار، إلا أن هذا الاختراق الذي بدأ بـ"توظيف وهمي" سجل رقمًا قياسيًا في سرقات صناعة العملات المشفرة.

نسب مكتب التحقيقات الفيدرالي الأمريكي (FBI) هذه القضية إلى نشاط القرصنة الكوري الشمالي TraderTraitor، وهو الفرع الأساسي لمجموعة لازاروس سيئة السمعة. في نفس يوم هجوم Binance، كشف تقرير تحقيق نشرته Microsoft عن تطور أكثر خطورة: هؤلاء القراصنة الكوريون الشماليون دمجوا الذكاء الاصطناعي التوليدي بالكامل في عملياتهم اليومية، ليس فقط لإنشاء شركات توظيف وهمية بكميات كبيرة وتخصيص نصوص المقابلات، بل حتى استخدام أدوات ذكاء اصطناعي مفتوحة المصدر للمساعدة في اختراق الثغرات.

بعد سنوات من التطور، حولت هذه القوة الخفية صناعة العملات المشفرة إلى آلة ضخمة لكسب العملات الأجنبية. وفقًا لبيانات Chainalysis والوكالة الكورية لترويج التجارة والاستثمار (KOTRA)، سرق قراصنة كوريا الشمالية في 2025 ما لا يقل عن ٢.٠٢ مليار دولار من الأصول المشفرة، أي ٤.٣ أضعاف قيمة صادرات كوريا الشمالية السلعية الوطنية لذلك العام (٤٦٩ مليون دولار). وتشير تقديرات TRM Labs إلى أنه حتى أكتوبر 2026، سرق قراصنة كوريا الشمالية ما مجموعه حوالي ١٢.٨ مليار دولار؛ ومن إجمالي خسائر القرصنة المشفرة العالمية البالغة ٨.٧ مليار دولار في 2026، احتكرت كوريا الشمالية وحدها 85% من الحصة، بينما كانت هذه النسبة 7% فقط في 2020.

لماذا، رغم الملاحقة المستمرة والعقوبات الصارمة من وكالات إنفاذ القانون في مختلف الدول، تزداد مجموعة لازاروس شراسة في السرقة، بل تستحوذ على أكثر من 80% من عمليات السطو الكبرى على البلوكشين؟ من هم هؤلاء الأشخاص المختبئون خلف الشاشات، كيف يتدربون، كيف يتخفون، وكيف يغسلون مليارات الدولارات المسروقة؟

ربما يمكن الإجابة على هذه الأسئلة بالبدء من قراصنة كوريا الشمالية الذين تم اكتشافهم.

قراصنة كوريا الشمالية المكتشفون

ليس من السهل رؤية الوجه الحقيقي لهؤلاء "المبرمجين الخفيين"، لكن خلال أكثر من عقد من لعبة القط والفأر، ظهرت بعض الثغرات التي سمحت للعالم الخارجي بإلقاء نظرة على ما وراء الشاشات.

ظهر الشق الأول في سيرة ذاتية أُرسلت إلى داليان بالصين قبل 15 عامًا.

في يناير 2011، أوصت شركة كورية شمالية تدعى Chosun Expo شابًا تخرج من جامعة كيم تشيك للتكنولوجيا في بيونغ يانغ يدعى Pak Jin Hek (أي Park Jin Hyok، بارك جين هيوك) ليحل محل فريق التطوير في داليان. كان بارك في السيرة الذاتية يجيد اللغتين الإنجليزية والصينية، ويتقن Java، وعمل في تطوير الألعاب عبر الإنترنت. في ذلك الوقت بدا مجرد مبرمج عادي يعمل خارج البلاد.

في مايو 2011، ذكر في بريد إلكتروني أنه سيكمل عامًا في داليان بحلول سبتمبر، ويستعد للعودة إلى كوريا الشمالية للزواج، ويأمل البقاء في البلاد لفترة طويلة. بعد بضعة أشهر، أخبر الطرف الآخر أنه سيعود إلى البلاد في الأسبوع التالي.

صورة المطلوب بارك جين هيوك المستخدمة في تقرير CBS

لكن بعد سنوات، عندما تتبع مكتب التحقيقات الفيدرالي هجمات Sony Pictures وسرقة 81 مليون دولار من البنك المركزي البنغلاديشي وقضية برنامج الفدية WannaCry، عثر بالصدفة على بريد العمل القديم لبارك. لقد نسي قطع الاتصال تمامًا: كان دفتر عناوين بريده اليومي يحفظ عنوان حساب القرصنة "Kim Hyon Woo"، وكان حساب عمل آخر لديه صلاحية فتح ملفات القرصنة المشفرة في السحابة، بل شاركوا نفس الأجهزة وعناوين الشبكة.

هذا التقاطع بين آثار الحياة اليومية وشبكة العمليات جعل بارك وجهًا بارزًا على قائمة المطلوبين لمكتب التحقيقات الفيدرالي. وفقًا لمقابلات رويترز مع منشقين كوريين شماليين من ذوي الخلفية التقنية، يتم اختيار الطلاب الموهوبين في العلوم في كوريا الشمالية عبر طبقات متعددة، وإرسالهم إلى أقسام الشبكات العسكرية أو إلى الخارج.

في النهار، هم مبرمجون متعاقدون يكسبون العملات الأجنبية لشركاتهم؛ وفي الليل، هم صيادو الإنترنت المظلم الذين ينفذون أوامر الدولة.

إذا كان بارك قبل عشر سنوات يحتاج إلى التواجد الجسدي في الخارج، فإن المتسلل الثاني الذي انكشف يُظهر رعب "التخفي المثالي" في عصر الذكاء الاصطناعي.

في يوليو 2024، وظفت شركة الأمن السيبراني الأمريكية KnowBe4 مهندسًا كبيرًا عن بُعد. سرق المتقدم هوية مواطن أمريكي شرعي، واستخدم صورة رمزية معدلة بالذكاء الاصطناعي، واجتاز أربع جولات من مقابلات الفيديو وجميع فحوصات الخلفية. ظهرت الثغرة فقط عندما أرسلت الشركة جهاز Mac للعمل: كان عنوان التسليم في الواقع مزرعة حواسيب محمولة داخل الولايات المتحدة، تساعد القراصنة الأجانب على استضافة أجهزة لتزييف عناوين IP أمريكية. بعد أقل من 25 دقيقة من تشغيل الجهاز، سارع هذا "الموظف الجديد" إلى زرع برمجيات خبيثة عبر Raspberry Pi، مما أطلق إنذارًا فوريًا. عندما اتصل فريق الأمن للتحقق، تلعثم الشخص وقطع الاتصال بسرعة، وتم تأكيده لاحقًا من قبل Mandiant ومكتب التحقيقات الفيدرالي كعميل كوري شمالي متخفٍ.

بحلول 2025-2026، عندما جعل تزييف الوجوه بالذكاء الاصطناعي والهويات المزيفة فحوصات الخلفية التقليدية عديمة الفائدة، كانت طريقة اكتشاف ثالث قرصان كوري شمالي في عالم العملات المشفرة مليئة بالفكاهة السوداء.

مع تدفق أعداد كبيرة من موظفي تكنولوجيا المعلومات الكوريين الشماليين المتنكرين كمطورين يابانيين وأمريكيين إلى صناعة Web3، ابتكرت بعض مشاريع العملات المشفرة المنزعجة سؤال مقابلة نهائيًا لا يفشل أبدًا: "اختبار كيم جونغ أون". في أبريل 2026، نشر محقق أمن البلوكشين Tanuki42 مقطع فيديو لمقابلة عن بُعد مدته 82 ثانية: متقدم يحمل اسمًا مستعارًا Taro Aikuchi ويدعي أنه يعيش في حي ميغورو بطوكيو أجاب بطلاقة على الأسئلة التقنية، لكن عندما طلب منه القائم بالمقابلة فجأة ترديد عبارة مسيئة لكيم جونغ أون لاستبعاد العملاء الكوريين الشماليين، تغير وجه هذا "المهندس الياباني" فجأة.

تظاهر أولًا بأن الإشارة ضعيفة، وبعد أن كرر القائم بالمقابلة السؤال، ساد صمت مطبق، ثم قطع الاتصال على عجل. خلال دقائق، عدل حسابه على Telegram بسرعة، ومسح السجلات، وحذف صفحته على LinkedIn.

حتى لو أتقن هؤلاء التقنيون أحدث أكواد البلوكشين وتقنيات التزييف العميق بالذكاء الاصطناعي، فإن إهانة الزعيم الأعلى علنًا تظل خطًا أحمر لا يجرؤون على تجاوزه تحت نظام المراقبة الصارم والعقاب الجماعي.

من بارك جين هيوك الذي شارك بريده الإلكتروني في شقة مستأجرة بداليان، إلى المهندس الأمريكي المزيف الذي خدع أربع جولات مقابلات بالذكاء الاصطناعي، إلى "مطور طوكيو" الذي قطع الاتصال فورًا بسبب عبارة سياسية محظورة، تشكل لحظات الانكشاف الثلاث هذه عبر 15 عامًا زاوية صغيرة من جبل الجليد الضخم لمجموعة لازاروس.

لازاروس: ليست مجرد "سرقة إلكترونية"

في نوفمبر 2014، تعرضت أنظمة الكمبيوتر في Sony Pictures للتدمير، وتم تسريب كميات كبيرة من المواد الداخلية غير المنشورة ورسائل البريد الإلكتروني التنفيذية، وأعلنت مجموعة تطلق على نفسها "Guardians of Peace" مسؤوليتها. كانت Sony تستعد لإصدار فيلم "The Interview" الذي يتضمن حبكة خيالية عن اغتيال الزعيم الكوري الشمالي، وذكرت وزارة العدل الأمريكية في لائحة اتهام لاحقة أن المهاجمين المدعومين من كوريا الشمالية لم يسرقوا البيانات ويعطلوا أجهزة الكمبيوتر فحسب، بل أرسلوا أيضًا تهديدات بالقنابل للموظفين.

بعد بضعة أشهر، قادت شركة الأمن Novetta تحقيقًا مشتركًا لتتبع البرمجيات الخبيثة المستخدمة في الهجوم. وجد الباحثون أن بعض الأكواد في حادثة Sony تتطابق مع أدوات استخدمت في هجمات إلكترونية سابقة. أطلق تقرير "Operation Blockbuster" المنشور في 2016 على هذه القوة الهجومية الخفية اسم "مجموعة لازاروس".

مع تعمق التحقيقات، أدرك العالم الخارجي تدريجيًا أن لازاروس ليست عصابة سرقة واحدة، بل جزء من آلة دولة منظمة بدقة. عندما فرضت وزارة الخزانة الأمريكية عقوبات على Lazarus وBlueNoroff وAndariel في 2019، ربطتها صراحة بجهاز الاستطلاع العام (RGB)، أعلى وكالة استخبارات عسكرية في كوريا الشمالية.

رسمت وحدة Unit 42 التابعة لشركة Palo Alto Networks في 2024 خريطة علاقات شاملة. تحت مظلة جهاز الاستطلاع العام، تعمل مجموعات متعددة من الأنشطة الإلكترونية بتخصصات مختلفة، وتجاوزت ساحات صيدها صناعة العملات المشفرة لتشمل التمويل العالمي والدفاع والصناعات العسكرية والاستخبارات الإعلامية.

خريطة العلاقات لمجموعات الأنشطة الإلكترونية المرتبطة بجهاز الاستطلاع العام الكوري الشمالي التي رسمتها Unit 42 في 2024

في هذه الشبكة، المجموعات التي تستهدف البلوكشين وصناعة العملات المشفرة ليست سوى جزء منها، مثل Slow Pisces (المعروفة أيضًا باسم Jade Sleet) التي تتداخل مع قضية Binance وTraderTraitor، وGleaming Pisces (المعروفة أيضًا باسم Citrine Sleet) المتخصصة في نشر حصان طروادة AppleJeus عبر برامج تداول وهمية.

أما خارج عالم العملات المشفرة، فإن عمليات الفروع الأخرى مثيرة بنفس القدر. في مجال التمويل التقليدي، تعاملت Alluring Pisces (أي BlueNoroff/APT38) مع النظام المصرفي العالمي كآلة صراف آلي قبل طفرة العملات المشفرة بوقت طويل. أبرز أعمالها كانت عملية السطو الكبرى على البنك المركزي البنغلاديشي في 2016.

في مجال الدفاع والصناعات العسكرية، تلعب Jumpy Pisces (أي Andariel) دور سارق التكنولوجيا بأسلوب "الحرب تغذي الحرب". وفقًا للائحة الاتهام التي نشرتها وزارة العدل الأمريكية في يوليو 2024، شكل هذا الفرع حلقة مغلقة فريدة: من جهة، يستخدم برنامج الفدية Maui لمهاجمة عدة مستشفيات ومؤسسات طبية أمريكية لابتزاز الفدية وتمويل العمليات؛ ومن جهة أخرى، يستخدم هذه الأموال لشراء خوادم واختراق مقاولي الدفاع الأمريكيين وقواعد القوات الجوية ومؤسسات البحث والتطوير الدفاعية الكورية الجنوبية، لسرقة مخططات سرية لمحركات مقاتلات F-15 وأقمار الاستطلاع العسكرية والغواصات ومنشآت الوقود النووي وتخصيب اليورانيوم.

في مجال الإعلام والاستخبارات الاستراتيجية، ركزت Selective Pisces (Diamond Sleet) وSparkling Pisces (Kimsuky) على سرقة الأسرار وخلق تأثير الرعب. بالإضافة إلى شل عمالقة الترفيه مثل Sony Pictures في السنوات الأولى، تنكروا في السنوات الأخيرة مرارًا كصحفيين من وسائل إعلام غربية رئيسية وباحثين من مراكز فكرية، وأرسلوا "مسودات مقابلات" أو دعوات اجتماعات تحتوي على أحصنة طروادة إلى الصحفيين الغربيين والدبلوماسيين ومراكز الفكر الدفاعية التي تغطي الشؤون الكورية الشمالية؛ حتى أنهم سجلوا حسابات مزيفة بكميات كبيرة على وسائل التواصل الاجتماعي، متنكرين كباحثين أمنيين بارزين "لاصطياد" خبراء الأمن في شركات مثل Google، لسرقة ثغرات البرمجيات غير المنشورة (0-day) وأوراق السياسات السرية للدول تجاه كوريا الشمالية.

يعتمد الباحثون بشكل أساسي على أهداف الهجوم وخصائص البرمجيات الخبيثة والبنية التحتية للخوادم لتقسيم المجموعات، لكن عندما تتشارك فرق مختلفة مكتبات الأكواد أو خوادم وسيطة في العمليات، يصبح من شبه المستحيل تحديد أي مجموعة نفذت كل عملية بدقة، مثل تقطيع التوفو.

لكن المؤكد أن "سرقة الأموال" و"سرقة الأسرار" متشابكتان بعمق في هذه الآلة.

من حسابات البنوك المركزية إلى محافظ البورصات

قبل أن تصبح بورصات العملات المشفرة الهدف الرئيسي، كانت البنوك بالفعل في مرمى المحققين.

في فبراير 2016، تم اختراق أجهزة الكمبيوتر المتصلة بنظام المراسلة المصرفية الدولية SWIFT في البنك المركزي البنغلاديشي. وفقًا لوثائق وزارة العدل الأمريكية، أرسل المهاجمون أوامر تحويل باسم البنك المركزي، مطالبين بنك الاحتياطي الفيدرالي في نيويورك بتحويل الدولارات من حساب البنك المركزي إلى الخارج.

حاول المهاجمون تحويل ما يقرب من مليار دولار، وصل منها 81 مليون دولار إلى حسابات في الفلبين، ثم مرت عبر البنوك ووكالات التحويل والكازينوهات؛ بينما اعترض البنك المستلم في سريلانكا مبلغ 20 مليون دولار آخر. وجد المحققون أن حسابات الاستلام في الفلبين كانت قد فُتحت بأسماء وهمية قبل عام.

بالإضافة إلى حسابات الاستلام، احتاج المهاجمون إلى فهم كيفية معالجة البنوك للتحويلات. بعد أن درست Mandiant هجمات APT38 على المؤسسات المالية، وجدت أنهم بعد دخول شبكة المؤسسة الضحية، يجمعون بيانات الاعتماد، ويبحثون عن أجهزة الكمبيوتر التي تعالج معاملات SWIFT، ثم يبحثون عن فرص لإرسال أوامر التحويل. في الحالات التي لاحظتها الشركة، بقي المهاجمون داخل شبكة الضحية لمدة 155 يومًا في المتوسط، وأطول فترة اقتربت من عامين.

عملية هجوم APT38 كما وثقتها Mandiant

بعد بضع سنوات، أصبحت أموال صناعة العملات المشفرة هدفًا تدريجيًا. في 2022، سُرق جسر Ronin عبر السلاسل المستخدم في لعبة Axie Infinity، بخسائر تجاوزت 600 مليون دولار، ونسب مكتب التحقيقات الفيدرالي الهجوم إلى Lazarus. بعد عامين، فقدت البورصة اليابانية DMM Bitcoin مبلغ 4502.9 بيتكوين، بقيمة حوالي 308 مليون دولار وقت الحادث. نسبت وكالات إنفاذ القانون الأمريكية واليابانية القضية إلى TraderTraitor.

أعاد المحققون بناء مدخل قضية DMM: في مارس 2024، تواصل مهاجم متنكر كموظف توظيف عبر LinkedIn مع موظف في شركة برمجيات المحافظ Ginco، وأرسل ما يسمى باختبار توظيف يحتوي على كود خبيث. بعد حصول المهاجم على صلاحيات الوصول، انتحل شخصية الموظف، ثم استخدم نظام الاتصالات في الشركة، ويُعتقد أنه عبث بطلب معاملة عادية لـ DMM.

بحلول فبراير 2025، كانت بورصة العملات المشفرة Bybit تستعد لنقل كمية من الإيثريوم من محفظة باردة إلى محفظة للاستخدام اليومي. تُستخدم المحفظة الباردة لحفظ الأصول، ويتطلب هذا النقل المرور عبر واجهة مزود خدمة المحافظ Safe، وموافقة عدة أشخاص مفوضين بالتوقيع. أعادت شركة الأمن Sygnia المكلفة بالتحقيق بناء عملية الهجوم: في 4 فبراير، ظهر نشاط خبيث على جهاز كمبيوتر أحد مطوري Safe؛ وفي اليوم التالي، استخدم المهاجم رمز وصول المطور لدخول بيئة Safe السحابية.

في 19 فبراير، زرع المهاجم محتوى خبيثًا في الكود الذي تستدعيه صفحة Safe على الويب، ووضع شروطًا للتفعيل، منتظرًا أن تبدأ محفظة Bybit المستهدفة عملية. بعد يومين، عالج الأشخاص المفوضون في Bybit التحويل عبر واجهة Safe، ورأوا طلب تحويل داخلي يبدو طبيعيًا.

لكن وفقًا لمراجعة شركة الأمن NCC Group، تضمنت المعاملة التي وافق عليها الموقعون عملية خبيثة تستدعي عقدًا نشره المهاجم مسبقًا لتغيير منطق التحكم في المحفظة الباردة. بعد تنفيذ المعاملة، تمكن المهاجم من نقل الأصول من المحفظة دون الحاجة إلى الحصول على التوقيعات المتعددة الأصلية مرة أخرى. تدفقت بعد ذلك أصول بقيمة حوالي 1.5 مليار دولار.

رسم توضيحي لعملية سرقة Bybit من إعداد Curvegrid

وفقًا لتحقيق Sygnia، تمت إزالة الكود الخبيث بعد حوالي دقيقتين من حدوث المعاملة. ويرى التحقيق أن الاختراق الأولي لجهاز مطور Safe ربما تضمن هندسة اجتماعية، لكن طريقة الاتصال المحددة لم تتأكد بعد.

كان إعداد التوقيع المتعدد في Bybit يتطلب موافقة عدة أشخاص مفوضين على المعاملة، مما كان يمكن أن يقلل من مخاطر اختراق حساب واحد. بعد دخول المهاجم إلى بيئة Safe السحابية، عدل صفحة الويب التي يستخدمها هؤلاء الموقعون معًا، مما أدى في النهاية إلى الموافقة على المعاملة الخبيثة.

بالإضافة إلى اختراق مزودي خدمات البرمجيات، اتُهم بعض الكوريين الشماليين باستخدام هويات مزيفة للانضمام إلى شركات العملات المشفرة. اتهمت وزارة العدل الأمريكية في 2025 أربعة مواطنين كوريين شماليين بالمشاركة في مخطط سرقة، حيث عمل اثنان منهم كمطورين في شركة بلوكشين وشركة رموز افتراضية. قال المدعون إنهم استغلوا فرص العمل لسرقة ونقل أصول افتراضية تزيد قيمتها عن 900 ألف دولار.

من الجدير بالذكر أن الطرف الآخر من عملية التوظيف قد يخفي أيضًا فخاخًا. بعد تحقيق Microsoft في مجموعة أنشطة تسميها Sapphire Sleet، وجدت أن المهاجمين يتنكرون كموظفي توظيف على منصات التواصل الاجتماعي، ويناقشون أولًا فرص العمل مع الهدف، ثم يرتبون مقابلات تقنية، ويطلبون تثبيت برمجيات خبيثة متنكرة كأدوات اجتماعات أو تحديثات أدوات تطوير. ظهر اختبار التوظيف الذي تلقاه موظف Ginco في قضية DMM في عملية تواصل مماثلة.

بل إن هذه الأساليب تتطور باستمرار، وأشار تقرير Microsoft في أكتوبر 2026 إلى أن المهاجمين المرتبطين بكوريا الشمالية أصبحوا يستخدمون الذكاء الاصطناعي التوليدي لدراسة الأهداف وكتابة محتوى التواصل وصياغة هويات مزيفة. قد تكون الدعوة التي تبدو معدة بعناية لتجربة المتقدم مسبوقة بجمع معلومات عن خلفيته المهنية وعلاقاته الاجتماعية.

أين ذهبت الأموال المسروقة؟

بعد نقل الأصول، يقوم المهاجمون عادةً بتقسيم الأموال إلى عدة محافظ جديدة، وبعض العناوين تنقل الأموال تدريجيًا إلى مستويات أدنى، تاركة سجلات متفرقة على السلسلة. بعد ذلك، قد تمر الأموال عبر بورصات لامركزية أو خدمات عبر السلاسل، لتحويلها إلى رموز أخرى أو نقلها إلى بلوكشين آخر. مع كل تحويل إضافي، يضطر المحققون إلى تتبع العناوين الجديدة والأطراف المقابلة لها.

قدم تدفق الأموال بعد سرقة Bybit دليلًا: في فبراير 2025، بدأت الإيثريوم المسروقة من Bybit تتدفق إلى آلاف العناوين. قسم المهاجمون الأموال وحولوها ونقلوها عبر خدمات عبر السلاسل. قالت TRM Labs إنه خلال 48 ساعة، تم نقل ما لا يقل عن 160 مليون دولار وإدخالها في قنوات غسيل الأموال.

أثناء تتبع هذه التحويلات، لاحظ المحقق على السلسلة ZachXBT مجموعة أخرى من الأشخاص. وفقًا لتحقيقه المنشور في أكتوبر 2026، بعد هجوم Bybit، ظهرت أكثر من عشرة حسابات في مجموعات Telegram وDiscord العامة تبحث عن معالجة طلبات مرتبطة بالأموال المسروقة. لفت انتباهه أحد المتداولين الذي يستخدم اسمًا مستعارًا Jimmy Green.

قرر ZachXBT الاقتراب منه كعميل، وفي 6 مارس 2025، حول 349,700 USDC إلى عنوان جديد، استعدادًا لإجراء عدة معاملات مع Jimmy. قدم Jimmy عنوان استلام وطلب منه تحويل USDC على سلسلة الإيثريوم مقابل USDT على سلسلة Tron. تتبع ZachXBT واكتشف أن المحفظة التي دفعت رسوم المعاملات على السلسلة لعنوان الاستلام يمكن تتبعها إلى أموال Bybit المسروقة، وتظهر في القائمة العامة للعناوين المرتبطة بالقضية.

لمواصلة التواصل مع Jimmy، أجرى ZachXBT معه عدة معاملات، متحملًا خسارة حوالي 5% في كل معاملة. تحدثا عن المعاملات، وعن الماهجونغ والطعام والعائلة. مع زيادة التواصل، بدأ Jimmy يتحدث إلى هذا الشخص الذي يعتقد أنه عميل عن أعمال فريقه، بما في ذلك نقل أموال Bybit لعملاء كوريين شماليين، وعمليات الفريق في هونغ كونغ والصين القارية.

قال ZachXBT إن Jimmy أخبره قبل يوم واحد أن مبلغًا من المال سيُنقل إلى Solana، وفي اليوم التالي ظهر التحويل المقابل على السلسلة. في 12 مارس، أرسل Jimmy لقطة شاشة لمعاملة عبر السلاسل، ووجد ZachXBT طلبًا مطابقًا على THORChain بناءً على المبلغ والوقت. ساعدته العناوين الثلاثة على Solana التي قدمها الطرف الآخر في تتبع مجموعة من أموال Bybit المسروقة تزيد قيمتها عن 12 مليون دولار؛ ووفقًا له، جمدت Tether لاحقًا 442,000 USDT مرتبطة بهذه المجموعة من العناوين.

ادعى Jimmy أيضًا لـ ZachXBT أن فريقه عالج معظم أصول Bybit المسروقة. يعتقد ZachXBT أن نمط غسيل الأموال الذي لاحظه يتوافق مع هذا الادعاء. سلم نتائج تحقيقه إلى مسؤولي إنفاذ القانون والمحققين في القطاع الخاص المشاركين في القضية، ولم ينشر هذه التجربة إلا في أكتوبر 2026.

بعد الحادث الأمني، أعلنت Binance أن حوالي 3 مليارات دولار من الأصول المرتبطة بالحادث تم تجميدها على السلسلة. لاحظت TRM Labs أن المهاجمين باعوا جزءًا من الأصول عبر بورصات لامركزية وصناع سوق، ورهنوا أيضًا جزءًا من الأصول المسروقة في بروتوكولات الإقراض مثل Aave وJustLend لاقتراض أصول أخرى.

في الوقت نفسه، بدأت Binance في تعويض الأصول المتأثرة، وأعلنت المنصة في 2 نوفمبر أن حوالي 95% من الأصول ذات الصلة تم تعويضها، ونشرت إثباتات احتياطي لبعض الأصول الرئيسية. في 3 نوفمبر، أعلنت Binance استئناف سحب المزيد من الأصول والشبكات، وما زال التحقيق الأمني مستمرًا.