الهجوم: بريد تصيدي واحد وحاسوب مخترق

كانت نقطة الدخول بسيطة بشكل مخادع. ففي الخامس من يونيو 2026، تلقى المدير تشونغ يي واي رسالة بريد إلكتروني بدت وكأنها من بورصة 'بithumb' الكورية الجنوبية، وكانت تناقش جدولاً لتجميد العرض المتداول. احتوت الرسالة على مرفق مضغوط (ZIP) خبيث .

عند فتح المرفق، قام بتثبيت برمجية خبيثة -تحديداً ملف باسم hncagent.exe- تم توقيعها رقمياً باستخدام شهادة كورية جنوبية أصلية من شركة 'هانكوم' (Hancom). وأشارت كوانتستامب إلى أن نمط استخدام الشهادات المسروقة أو الأصلية بهذا الشكل هو بصمة معروفة لعمليات القرصنة الكورية الشمالية .

بمجرد تثبيتها، منحت البرمجية الخبيثة المهاجمين صلاحية الوصول الكامل عن بُعد إلى الحاسوب المحمول الخاص بالمدير. من هذا الجهاز الوحيد، تمكنوا من استخراج سبعة مفاتيح خاصة: ثلاثة من أصل ستة مفاتيح لمحفظة 'جنوسيس سيف' (Gnosis Safe) متعددة التوقيع التي كانت تحكم جسر الإيثيريوم، بالإضافة إلى مفاتيح أخرى سمحت بترقية العقود الذكية .

كيف تطور الاستغلال عبر سلسلتين

باستخدام مفاتيح إدارة الجسر، شن المهاجمون هجمات متوازية على شبكتي إيثيريوم وسلسلة بينانس الذكية في نافذة منسقة:

على شبكة إيثيريوم:

• قام المخترقون بترقية العقد الذكي لجسر رمز H إلى نسخة خبيثة تحت سيطرتهم .
• ثم استنزفوا ما يقرب من 141 مليون رمز H من الجسر في معاملة واحدة .
• تمت مقايضة الرموز المسروقة أو تحويلها عبر الجسور إلى أصول أخرى ونقلها إلى محافظ خارجية، مما جعل استردادها في غاية الصعوبة .

على سلسلة بينانس الذكية:

• سيطر المهاجمون على عقد ProxyAdmin .
• باستخدام هذا الوصول، قاموا بصك (سك) كميات إضافية من رمز H بشكل مباشر، أي خلقوا عرضاً جديداً من العدم .
• تم بعد ذلك بيع الرموز التي تم سكها حديثاً وتلك المسروقة بشكل منهجي على منصتي 'يونيسواب' (Uniswap) و'بان كيك سواب' (PancakeSwap) لمدة ثماني ساعات تقريباً، مما أدى إلى انهيار سعر العملة .

من المهم جداً توضيح أن الهجوم لم يستغل أي ثغرة في العقود الذكية. لقد كان اختراقاً قائماً على المفاتيح المسروقة بالكامل، بسبب حملة تصيد استهدفت العنصر البشري. وقد أكد بروتوكول هيومانيتي هذه النقطة صراحةً لاحقاً .

النتائج الجنائية من كوانتستامب والرابط بكوريا الشمالية

استعانت هيومانيتي بشركة كوانتستامب في 9 يونيو، بعد يوم واحد من الاختراق. وقد أصدرت شركة الأمن تقرير تحقيقها الأولي في 11 يونيو، ونسب المشروع السرقة علناً لقراصنة تابعين لكوريا الشمالية في 12 يونيو، ثم نشر نتائج كوانتستامب الكاملة في 14 يونيو .

تضمنت الأدلة الجنائية الرئيسية التي قادت كوانتستامب نحو الجهات المرتبطة بكوريا الشمالية (DPRK) ما يلي:

• الأدوات والسلوكيات الخبيثة: استخدام hncagent.exe كمُحَمّل (loader) للمرحلة الأولى، بالإضافة إلى أنماط الوصول عن بُعد التي تم رصدها، والتي تتطابق مع مجموعات الاختراق الكورية الشمالية المعروفة .
• إساءة استخدام الشهادات الرقمية: تم توقيع البرمجية الخبيثة بشهادة رقمية كورية جنوبية شرعية من 'هانكوم'، وهو تكتيك حددته كوانتستامب كسمة مميزة لعمليات سابقة مرتبطة بكوريا الشمالية، تُعرف باختراق سلسلة التوريد البرمجية .
• الحرفية العملياتية: النهج متعدد المراحل، من التصيد إلى استخراج المفاتيح ثم الاستنزاف عبر السلاسل، يعكس النموذج الذي طالما ارتبط بـ'مجموعة لازاروس' (Lazarus Group) والجهات التابعة لها، وهي المجموعة التي سرقت ما يزيد عن 3 مليارات دولار من العملات الرقمية بأساليب مشابهة .

كما أوضح التقرير الخطر المستمر: بينما تم تجميد عقد رمز H على إيثيريوم بواسطة محفظة متعددة التوقيع غير مخترقة، فإن النشر على سلسلة بينانس الذكية لا يزال تحت سيطرة المخترقين بشكل دائم، مع استمرار قدرتهم على سك المزيد من الرموز .

انهيار رمز H والارتفاع بنسبة 210%

الانهيار

في أعقاب استغلال 8 يونيو مباشرة، انهارت أسعار رمز H. من أعلى مستوى له على الإطلاق عند 0.844 دولار في 2 يونيو، انهار الرمز بنسبة 74% تقريباً، مسجلاً أدنى مستوياته بين 0.05 و 0.13 دولار وسط موجة من البيع بدافع الذعر .

ارتفاعات التعافي

تبع ذلك سلسلة من الارتفاعات الارتياحية:

• 12 يونيو: ارتفع سعر H بنحو 44% في يوم واحد، ليتداول عائداً إلى حوالي 0.227 دولار. كان الدافع وراء هذا الارتداد هو إعلان بروتوكول هيومانيتي عن خطة التخفيف من الأضرار وتجميد عقد إيثيريوم .
• 14 يونيو: أدى ارتفاع حاد آخر بنسبة 42% في يوم واحد إلى دفع العملة إلى أعلى مستوى عند 0.6276 دولار، وهو ما يمثل ارتفاعاً بنسبة 210% تقريباً من أدنى مستوياتها بعد الاستغلال .

لماذا كان هذا الارتفاع محفوفاً بالمخاطر

هذا التعافي الدراماتيكي لم يُبنَ على أسس قوية مستعادة. أظهرت بيانات من 'كوين ماركت كاب' (CoinMarketCap) أن ارتفاع 14 يونيو كان مصحوباً بارتفاع حاد في العقود المفتوحة (Open Interest) بنسبة 131% لتصل إلى 213 مليون دولار، مما يشير إلى تدفق هائل لصفقات المضاربة بالرافعة المالية . وقد حذر تحليل كوين ماركت كاب صراحةً من أن هذا التراكم في الرافعة المالية يحمل مخاطر تقلب مرتفعة، وأن أي انعكاس مفاجئ في السعر قد يؤدي إلى موجات من التصفية القسرية للمراكز .

بحلول 15 يونيو، كان الرمز قد تراجع بالفعل إلى حوالي 0.23-0.30 دولار، مما يؤكد هشاشة هذا الارتفاع المضاربي .

تداعيات أوسع على أمن الويب 3

إن اختراق بروتوكول هيومانيتي ليس حادثاً منعزلاً - إنه مثال نموذجي على نقاط الضعف الهيكلية المستمرة في عالم الويب 3، حتى في المشاريع المصممة صراحةً حول مبدأ اللامركزية.

1. وهم اللامركزية عبر التوقيع المتعدد. استخدمت هيومانيتي محفظة جنوسيس سيف بتكوين 3 من 6 للتحكم في الجسر. ومع ذلك، تم تخزين ثلاثة من هذه المفاتيح الستة على حاسوب موظف واحد. يُظهر هذا الاختراق أن نظام التوقيع المتعدد لا يكون آمناً إلا بقدر الوصاية المادية الموزعة لمفاتيحه - وهو واقع لا تزال العديد من المشاريع تهمله .

2. القرصنة الكورية الشمالية أصبحت تهديداً متكرراً ومتوقعاً. صقلت وحدات كوريا الشمالية الإلكترونية، بما في ذلك 'مجموعة لازاروس'، نموذجاً عملياتياً قابلاً للتكرار: تحديد مشروع رقمية، اختراق مطور أو مدير تنفيذي عبر الهندسة الاجتماعية، سرقة المفاتيح الخاصة، وتصريف الأموال عبر السلاسل. وبروتوكول هيومانيتي هو أحدث حلقة في قائمة طويلة ومتنامية من الضحايا .

3. الجسور عبر السلاسل تظل نقاط اختناق حرجة. بحكم تصميمها، تحتفظ الجسور بمجموعات أصول كبيرة وسائلة تتحكم بها مجموعة صغيرة من مفاتيح المسؤولين. هذا يجعلها أهدافاً لا تُقاوم. الاستغلال المتزامن لجسور إيثيريوم وبينانس في هذا الهجوم يعزز لماذا يجب أن يكون أمن الجسور -وليس مجرد تدقيق العقود الذكية، بل إدارة المفاتيح والتحكم في الوصول- على رأس أولويات أي مشروع عابر للسلاسل .

4. ارتفاعات ما بعد الاستغلال قد تكون أفخاخاً. اجتذب ارتفاع رمز H بنسبة 210% المتداولين الباحثين عن تعافٍ سريع، لكن بيانات الرافعة المالية تشير إلى صفقة مزدحمة وغير مستقرة. عندما ترتد عملة رقمية بناءً على المضاربة بدلاً من حل ذي مصداقية -خاصة مع بقاء إحدى السلاسل مخترقة بشكل دائم- فإن خطر حدوث انهيار ثانٍ ليس نظرياً .

5. الضغوط التنظيمية ستزداد. عندما يتورط فاعل دولي مثل كوريا الشمالية في سرقة أصول رقمية، فإن الجهات التنظيمية تنتبه. توقع تدقيقاً متجدداً في الامتثال لقواعد 'اعرف عميلك' (KYC) ومكافحة غسل الأموال (AML)، ومعايير إدارة مفاتيح الحفظ الأمين، وعمليات التدقيق الأمني الإلزامية - خاصة للبروتوكولات التي تشغل جسوراً عبر السلاسل تحتجز أموال المستخدمين .

الهجوم: بريد تصيدي واحد وحاسوب مخترق

كانت نقطة الدخول بسيطة بشكل مخادع. ففي الخامس من يونيو 2026، تلقى المدير تشونغ يي واي رسالة بريد إلكتروني بدت وكأنها من بورصة 'بithumb' الكورية الجنوبية، وكانت تناقش جدولاً لتجميد العرض المتداول. احتوت الرسالة على مرفق مضغوط (ZIP) خبيث .

عند فتح المرفق، قام بتثبيت برمجية خبيثة -تحديداً ملف باسم hncagent.exe- تم توقيعها رقمياً باستخدام شهادة كورية جنوبية أصلية من شركة 'هانكوم' (Hancom). وأشارت كوانتستامب إلى أن نمط استخدام الشهادات المسروقة أو الأصلية بهذا الشكل هو بصمة معروفة لعمليات القرصنة الكورية الشمالية .

بمجرد تثبيتها، منحت البرمجية الخبيثة المهاجمين صلاحية الوصول الكامل عن بُعد إلى الحاسوب المحمول الخاص بالمدير. من هذا الجهاز الوحيد، تمكنوا من استخراج سبعة مفاتيح خاصة: ثلاثة من أصل ستة مفاتيح لمحفظة 'جنوسيس سيف' (Gnosis Safe) متعددة التوقيع التي كانت تحكم جسر الإيثيريوم، بالإضافة إلى مفاتيح أخرى سمحت بترقية العقود الذكية .

كيف تطور الاستغلال عبر سلسلتين

باستخدام مفاتيح إدارة الجسر، شن المهاجمون هجمات متوازية على شبكتي إيثيريوم وسلسلة بينانس الذكية في نافذة منسقة:

على شبكة إيثيريوم:

• قام المخترقون بترقية العقد الذكي لجسر رمز H إلى نسخة خبيثة تحت سيطرتهم .
• ثم استنزفوا ما يقرب من 141 مليون رمز H من الجسر في معاملة واحدة .
• تمت مقايضة الرموز المسروقة أو تحويلها عبر الجسور إلى أصول أخرى ونقلها إلى محافظ خارجية، مما جعل استردادها في غاية الصعوبة .

على سلسلة بينانس الذكية:

• سيطر المهاجمون على عقد ProxyAdmin .
• باستخدام هذا الوصول، قاموا بصك (سك) كميات إضافية من رمز H بشكل مباشر، أي خلقوا عرضاً جديداً من العدم .
• تم بعد ذلك بيع الرموز التي تم سكها حديثاً وتلك المسروقة بشكل منهجي على منصتي 'يونيسواب' (Uniswap) و'بان كيك سواب' (PancakeSwap) لمدة ثماني ساعات تقريباً، مما أدى إلى انهيار سعر العملة .

من المهم جداً توضيح أن الهجوم لم يستغل أي ثغرة في العقود الذكية. لقد كان اختراقاً قائماً على المفاتيح المسروقة بالكامل، بسبب حملة تصيد استهدفت العنصر البشري. وقد أكد بروتوكول هيومانيتي هذه النقطة صراحةً لاحقاً .

النتائج الجنائية من كوانتستامب والرابط بكوريا الشمالية

استعانت هيومانيتي بشركة كوانتستامب في 9 يونيو، بعد يوم واحد من الاختراق. وقد أصدرت شركة الأمن تقرير تحقيقها الأولي في 11 يونيو، ونسب المشروع السرقة علناً لقراصنة تابعين لكوريا الشمالية في 12 يونيو، ثم نشر نتائج كوانتستامب الكاملة في 14 يونيو .

تضمنت الأدلة الجنائية الرئيسية التي قادت كوانتستامب نحو الجهات المرتبطة بكوريا الشمالية (DPRK) ما يلي:

• الأدوات والسلوكيات الخبيثة: استخدام hncagent.exe كمُحَمّل (loader) للمرحلة الأولى، بالإضافة إلى أنماط الوصول عن بُعد التي تم رصدها، والتي تتطابق مع مجموعات الاختراق الكورية الشمالية المعروفة .
• إساءة استخدام الشهادات الرقمية: تم توقيع البرمجية الخبيثة بشهادة رقمية كورية جنوبية شرعية من 'هانكوم'، وهو تكتيك حددته كوانتستامب كسمة مميزة لعمليات سابقة مرتبطة بكوريا الشمالية، تُعرف باختراق سلسلة التوريد البرمجية .
• الحرفية العملياتية: النهج متعدد المراحل، من التصيد إلى استخراج المفاتيح ثم الاستنزاف عبر السلاسل، يعكس النموذج الذي طالما ارتبط بـ'مجموعة لازاروس' (Lazarus Group) والجهات التابعة لها، وهي المجموعة التي سرقت ما يزيد عن 3 مليارات دولار من العملات الرقمية بأساليب مشابهة .

كما أوضح التقرير الخطر المستمر: بينما تم تجميد عقد رمز H على إيثيريوم بواسطة محفظة متعددة التوقيع غير مخترقة، فإن النشر على سلسلة بينانس الذكية لا يزال تحت سيطرة المخترقين بشكل دائم، مع استمرار قدرتهم على سك المزيد من الرموز .

انهيار رمز H والارتفاع بنسبة 210%

الانهيار

في أعقاب استغلال 8 يونيو مباشرة، انهارت أسعار رمز H. من أعلى مستوى له على الإطلاق عند 0.844 دولار في 2 يونيو، انهار الرمز بنسبة 74% تقريباً، مسجلاً أدنى مستوياته بين 0.05 و 0.13 دولار وسط موجة من البيع بدافع الذعر .

ارتفاعات التعافي

تبع ذلك سلسلة من الارتفاعات الارتياحية:

• 12 يونيو: ارتفع سعر H بنحو 44% في يوم واحد، ليتداول عائداً إلى حوالي 0.227 دولار. كان الدافع وراء هذا الارتداد هو إعلان بروتوكول هيومانيتي عن خطة التخفيف من الأضرار وتجميد عقد إيثيريوم .
• 14 يونيو: أدى ارتفاع حاد آخر بنسبة 42% في يوم واحد إلى دفع العملة إلى أعلى مستوى عند 0.6276 دولار، وهو ما يمثل ارتفاعاً بنسبة 210% تقريباً من أدنى مستوياتها بعد الاستغلال .

لماذا كان هذا الارتفاع محفوفاً بالمخاطر

هذا التعافي الدراماتيكي لم يُبنَ على أسس قوية مستعادة. أظهرت بيانات من 'كوين ماركت كاب' (CoinMarketCap) أن ارتفاع 14 يونيو كان مصحوباً بارتفاع حاد في العقود المفتوحة (Open Interest) بنسبة 131% لتصل إلى 213 مليون دولار، مما يشير إلى تدفق هائل لصفقات المضاربة بالرافعة المالية . وقد حذر تحليل كوين ماركت كاب صراحةً من أن هذا التراكم في الرافعة المالية يحمل مخاطر تقلب مرتفعة، وأن أي انعكاس مفاجئ في السعر قد يؤدي إلى موجات من التصفية القسرية للمراكز .

بحلول 15 يونيو، كان الرمز قد تراجع بالفعل إلى حوالي 0.23-0.30 دولار، مما يؤكد هشاشة هذا الارتفاع المضاربي .

تداعيات أوسع على أمن الويب 3

إن اختراق بروتوكول هيومانيتي ليس حادثاً منعزلاً - إنه مثال نموذجي على نقاط الضعف الهيكلية المستمرة في عالم الويب 3، حتى في المشاريع المصممة صراحةً حول مبدأ اللامركزية.

1. وهم اللامركزية عبر التوقيع المتعدد. استخدمت هيومانيتي محفظة جنوسيس سيف بتكوين 3 من 6 للتحكم في الجسر. ومع ذلك، تم تخزين ثلاثة من هذه المفاتيح الستة على حاسوب موظف واحد. يُظهر هذا الاختراق أن نظام التوقيع المتعدد لا يكون آمناً إلا بقدر الوصاية المادية الموزعة لمفاتيحه - وهو واقع لا تزال العديد من المشاريع تهمله .

2. القرصنة الكورية الشمالية أصبحت تهديداً متكرراً ومتوقعاً. صقلت وحدات كوريا الشمالية الإلكترونية، بما في ذلك 'مجموعة لازاروس'، نموذجاً عملياتياً قابلاً للتكرار: تحديد مشروع رقمية، اختراق مطور أو مدير تنفيذي عبر الهندسة الاجتماعية، سرقة المفاتيح الخاصة، وتصريف الأموال عبر السلاسل. وبروتوكول هيومانيتي هو أحدث حلقة في قائمة طويلة ومتنامية من الضحايا .

3. الجسور عبر السلاسل تظل نقاط اختناق حرجة. بحكم تصميمها، تحتفظ الجسور بمجموعات أصول كبيرة وسائلة تتحكم بها مجموعة صغيرة من مفاتيح المسؤولين. هذا يجعلها أهدافاً لا تُقاوم. الاستغلال المتزامن لجسور إيثيريوم وبينانس في هذا الهجوم يعزز لماذا يجب أن يكون أمن الجسور -وليس مجرد تدقيق العقود الذكية، بل إدارة المفاتيح والتحكم في الوصول- على رأس أولويات أي مشروع عابر للسلاسل .

4. ارتفاعات ما بعد الاستغلال قد تكون أفخاخاً. اجتذب ارتفاع رمز H بنسبة 210% المتداولين الباحثين عن تعافٍ سريع، لكن بيانات الرافعة المالية تشير إلى صفقة مزدحمة وغير مستقرة. عندما ترتد عملة رقمية بناءً على المضاربة بدلاً من حل ذي مصداقية -خاصة مع بقاء إحدى السلاسل مخترقة بشكل دائم- فإن خطر حدوث انهيار ثانٍ ليس نظرياً .

5. الضغوط التنظيمية ستزداد. عندما يتورط فاعل دولي مثل كوريا الشمالية في سرقة أصول رقمية، فإن الجهات التنظيمية تنتبه. توقع تدقيقاً متجدداً في الامتثال لقواعد 'اعرف عميلك' (KYC) ومكافحة غسل الأموال (AML)، ومعايير إدارة مفاتيح الحفظ الأمين، وعمليات التدقيق الأمني الإلزامية - خاصة للبروتوكولات التي تشغل جسوراً عبر السلاسل تحتجز أموال المستخدمين .