اختراقات بمليارات الدولارات: كيف نفذت كوريا الشمالية أكبر سرقة عملات مشفرة في التاريخ

السلطات الأمريكية نسبت الهجوم إلى جهات كورية شمالية تُعرف باسم "TraderTraitor"، وهو نشاط سيبراني مرتبط بالبنية الهجومية الأوسع للدولة.

تشير تحليلات استخبارات التهديدات إلى أن الهجوم ارتبط بـ اختراق في سلسلة التوريد البرمجية، حيث تم إدخال برمجيات مُعدَّلة خبيثة داخل أدوات أو مكونات يستخدمها المطورون في النظام التقني للمنصة.

شركة الأمن السيبراني CrowdStrike تربط العملية بمجموعة قراصنة تُعرف باسم PRESSURE CHOLLIMA، والتي وزعت برمجيات خبيثة عبر خط تطوير مخترق، ما منح المهاجمين وصولاً موثوقاً داخل البنية التقنية للمنصة.

بعد الحصول على هذا الوصول، قام المهاجمون بنقل العملات المشفرة بسرعة من محافظ المنصة إلى آلاف العناوين المختلفة عبر شبكات بلوك تشين متعددة بهدف إخفاء مصدر الأموال.

عدد أقل من الهجمات… لكن بمكاسب أكبر بكثير

البيانات من شركات تحليل البلوك تشين تشير إلى أن مجموع 2.02 مليار دولار المسروقة في 2025 يمثل زيادة بنسبة 51٪ مقارنة بالعام السابق.

لكن المثير للاهتمام أن عدد الهجمات انخفض في نفس الوقت.

هذا يعكس تحولاً استراتيجياً واضحاً: بدلاً من تنفيذ عشرات الاختراقات الصغيرة، أصبحت المجموعات المرتبطة بكوريا الشمالية تركز على اختراقات ضخمة تستهدف منصات رئيسية للعملات المشفرة والبنية التحتية المالية.

باحثو الأمن السيبراني يصفون هذا النموذج بأنه "تصنيع للجريمة السيبرانية" — حيث تُدار العمليات كمنظومة كاملة تشمل الوصول إلى الأنظمة، تنفيذ السرقة، ثم غسل الأموال لاحقاً.

الأساليب الرئيسية التي استخدمت في هجمات 2025

1. اختراق سلسلة التوريد البرمجية

بدلاً من مهاجمة منصة العملات مباشرة، استهدف القراصنة العلاقات البرمجية الموثوقة داخل النظام التقني.

من خلال اختراق أدوات التطوير أو مكتبات البرمجيات، يمكن للمهاجمين توزيع تحديثات أو برامج تحتوي على شيفرة خبيثة يقوم الضحايا بتثبيتها بأنفسهم دون أن يدركوا الخطر.

هذا النوع من الهجمات أصبح شائعاً في العمليات السيبرانية الحديثة لأنه يستغل الثقة المتبادلة داخل منظومة البرمجيات.

2. الهندسة الاجتماعية المدعومة بالذكاء الاصطناعي

تشير تقارير استخبارات التهديدات إلى أن المهاجمين بدأوا باستخدام أدوات الذكاء الاصطناعي لتحسين عمليات الاحتيال والتصيد.

يمكن للذكاء الاصطناعي أن يساعد في:

• إنشاء رسائل تصيد واقعية
• جمع معلومات عن الضحايا بسرعة
• إنشاء هويات رقمية مقنعة

وهذا يجعل عمليات الخداع أكثر قابلية للتوسع وأصعب في الاكتشاف.

3. موظفو تكنولوجيا معلومات وهميون

أحد أكثر الأساليب إثارة للقلق هو إدخال عاملين مزيفين إلى الشركات عبر وظائف العمل عن بعد.

تقول السلطات إن كوريا الشمالية طورت شبكات من الأفراد الذين يستخدمون هويات مسروقة أو مزيفة للحصول على وظائف مطورين أو مهندسي تكنولوجيا معلومات في شركات تقنية، بما في ذلك شركات مرتبطة بقطاع العملات المشفرة.

بمجرد حصولهم على الوظيفة، يمكنهم:

• الوصول بشكل شرعي إلى الأنظمة الداخلية
• جمع بيانات اعتماد حساسة
• تسهيل عمليات الاختراق أو غسل الأموال

وقد ذكرت شركات تقنية كبرى أنها أوقفت آلاف محاولات التوظيف الاحتيالية المرتبطة بهذه الشبكات.

4. الجمع بين الاختراق التقني والتسلل البشري

يشير الباحثون إلى تحول نحو ما يسمى "التسلل غير المتصل" (Offline infiltration) — أي الحصول على وصول إلى الأنظمة عبر العلاقات البشرية مثل الموظفين أو المتعاقدين.

هذا الأسلوب يسمح للمهاجمين بتجاوز الكثير من أنظمة الأمن السيبراني التقليدية.

مجموعات الاختراق المرتبطة بالحملة

بدلاً من وجود منظمة واحدة، تتبع شركات الأمن السيبراني عدة مجموعات مرتبطة بكوريا الشمالية ضمن ما يُعرف بـ "عناقيد التهديد".

من بينها:

• PRESSURE CHOLLIMA: مرتبطة بالهجوم الذي أدى إلى سرقة 1.46 مليار دولار من Bybit عبر اختراق سلسلة التوريد.
• مجموعات أخرى مرتبطة بالنظام السيبراني الكوري الشمالي، وغالباً ما تُربط بالمنظومة المعروفة باسم Lazarus، والتي تنفذ عمليات تجسس وسرقة مالية وهجمات على البنية التحتية الرقمية.

وتوجد مجموعات أخرى مثل FAMOUS CHOLLIMA و STARDUST CHOLLIMA ضمن مشهد التهديد الأوسع، لكن التقارير العامة توفر تفاصيل أقل حول ارتباطها المباشر بحوادث 2025 المحددة.

كيف يتم غسل العملات المسروقة

بعد تنفيذ السرقة، تبدأ مرحلة إخفاء مصدر الأموال.

غالباً ما يقوم المهاجمون بـ:

• نقل الأموال عبر آلاف العناوين المختلفة
• تحويل العملات إلى عملات رقمية أخرى
• استخدام خدمات خلط العملات (mixers)
• الاستفادة من منصات التداول اللامركزية والجسور بين الشبكات

كل ذلك يهدف إلى تعقيد عملية التتبع على البلوك تشين.

تشير التحقيقات إلى أن جزءاً كبيراً من الأموال يمكن غسله خلال أسابيع قليلة فقط من الاختراق.

لماذا تعتبر الحكومات هذه الهجمات تهديداً للأمن القومي

تقول الولايات المتحدة وعدة حكومات إن هذه الهجمات ليست مجرد جرائم مالية.

وفقاً لتصريحات رسمية، فإن العائدات الناتجة عن الجرائم السيبرانية تساعد كوريا الشمالية على تجاوز العقوبات الدولية وتمويل برامج الأسلحة، بما في ذلك تطوير الصواريخ الباليستية والقدرات النووية.

ولهذا السبب زادت أجهزة إنفاذ القانون الدولية جهودها لتعقب شبكات غسل الأموال وتعطيل البنية التحتية المستخدمة في هذه العمليات.

ما الذي يعنيه ذلك لمستقبل أمن العملات المشفرة

تكشف أحداث 2025 عن تحول كبير في مشهد التهديدات الرقمية:

• دول أصبحت تستهدف منصات العملات المشفرة كبنية مالية استراتيجية.
• الهجمات تجمع بين الاختراق التقني والتلاعب البشري والتسلل الداخلي.
• عملية اختراق واحدة يمكن أن تصل خسائرها إلى مليارات الدولارات.

ويرى خبراء الأمن السيبراني أن مواجهة هذا التهديد تتطلب تعزيز:

• أمن سلسلة التوريد البرمجية
• التحقق من هويات الموظفين عن بعد
• أنظمة تتبع وتحليل معاملات البلوك تشين

ومع توسع استخدام العملات المشفرة عالمياً، يبدو أن الأساليب التي طورتها هذه الحملات في 2025 ستظل واحدة من أكثر التحديات الأمنية تعقيداً في الاقتصاد الرقمي.