هاكرز كوريا الشمالية ينهبون 500 مليون دولار في شهر واحد، وأصبحوا التهديد الأول لأمان العملات المشفرة

كتابة: Oluwapelumi Adejumo

ترجمة: Chopper، Foresight News

خلال أقل من ثلاثة أسابيع، سرقت منظمات هاكر مرتبطة بكوريا الشمالية أكثر من 500 مليون دولار من منصات التمويل اللامركزي للعملات المشفرة، حيث تحول ثغرة الاختراق من العقود الذكية الأساسية إلى ثغرات البنية التحتية على الحافة.

هجمات على Drift و KelpDAO

لقد أدت هجمات كبيرة على بروتوكول Drift و KelpDAO إلى تجاوز أرباح الهاكرز الكوريين الشماليين من العملات المشفرة غير القانونية هذا العام 700 مليون دولار. وتبرز الخسائر الكبيرة تحول استراتيجيتهم: حيث أصبحوا يستخدمون بشكل متزايد ثغرات معقدة، وتسللاً عميقاً لعناصر داخلية، لتجاوز الدفاعات الأمنية التقليدية.

في 20 أبريل، أكد مزود البنية التحتية عبر السلاسل LayerZero أن: KelpDAO تعرضت لهجوم في 18 أبريل، وخسرت حوالي 290 مليون دولار، مما يجعلها أكبر عملية سرقة للعملات المشفرة حتى الآن في عام 2026. وأفاد أن التحقيقات الأولية تشير مباشرة إلى TraderTraitor — وهو فريق متخصص داخل مجموعة Lazarus الشهيرة بكوريا الشمالية.

قبل أسابيع قليلة، في 1 أبريل، تم سرقة حوالي 286 مليون دولار من بورصة العقود الدائمة اللامركزية المبنية على سولانا، Drift Protocol. وسرعان ما ربطت شركة معلومات البلوك تشين Elliptic بين أساليب غسيل الأموال على السلسلة، وتسلسل المعاملات، وتوقيعات الشبكة، مع مسارات هجمات معروفة لدى كوريا الشمالية، مشيرة إلى أن هذه هي الهجمة الثامنة عشرة التي تتعقبها هذا العام من نوعها.

التحول في الهجمات: التسلل إلى حواف البنية التحتية

تكشف أساليب هجمات أبريل أن الهاكرز الكوريين الشماليين أصبحوا أكثر نضجاً في هجمات التمويل اللامركزي. فهم لم يعودوا يهاجمون العقود الذكية الأساسية بشكل مباشر، بل يبحثون عن ثغرات هيكلية على الحافة ويهاجمونها.

كمثال على ذلك: هجوم KelpDAO، حيث اخترق الهاكرز شبكة التحقق اللامركزية (DVN) التي تستخدمها LayerZero Labs، وهي البنية التحتية للند للند (RPC) الخاصة بالطبقة السفلية. من خلال التلاعب بهذه القنوات البيانات الحيوية، تمكن المهاجمون من التحكم في تشغيل البروتوكول دون تدمير التشفير الأساسي. قامت LayerZero بإيقاف تشغيل العقد المتأثرة واستعادة DVN بالكامل، لكن الخسائر المالية لا يمكن تعويضها.

هذه الطريقة في الهجوم غير المباشر تكشف عن تطور مخيف في حرب الشبكات. وقالت شركة أمن البلوك تشين Cyvers لـ CryptoSlate: إن المهاجمين المرتبطين بكوريا الشمالية أصبحوا أكثر خبرة، ويستثمرون المزيد من الموارد في إعداد وتنفيذ الهجمات.

وأضافت الشركة: «لقد لاحظنا أيضًا أنهم دائمًا ما يستطيعون تحديد أضعف النقاط بدقة. هذه المرة، كانت نقطة الاختراق مكون طرف ثالث، وليس البنية التحتية الأساسية للبروتوكول.»

هذه الاستراتيجية تشبه بشكل كبير عمليات التجسس التقليدية على الشركات، وتدل على أن هجمات كوريا الشمالية أصبحت أكثر صعوبة في التصدي لها. والأحداث الأخيرة، مثل اختراق سلسلة التوريد لحزمة npm الشائعة Axios بواسطة باحثي جوجل، المرتبطين بتهديدات محددة من كوريا الشمالية، UNC1069، تشير إلى أن المهاجمين يهاجمون بشكل منهجي قبل دخول البرمجيات إلى نظام بيئة البلوك تشين.

اختراقات كوريا الشمالية لصناعة التشفير العالمية

بالإضافة إلى الاختراقات التقنية، تقوم كوريا الشمالية حاليًا بعملية اختراق منظمة وواسعة النطاق لسوق العمل في مجال العملات المشفرة على مستوى العالم.

نمط التهديدات تحول من هجمات عن بعد إلى توظيف عناصر خبيثة مباشرة داخل شركات Web3 الناشئة، التي لا تتوقع هجمات.

بعد تحقيق استمر ستة أشهر، أجرته شركة الأمان التابعة لمؤسسة إيثريوم ETH Rangers، تحت اسم Ketman Project، توصل إلى استنتاج مذهل: أن حوالي 100 من عملاء الشبكة الكورية الشمالية يتسللون إلى العديد من شركات البلوك تشين. يستخدمون هويات مزورة، ويجتازون بسهولة فحوصات الموارد البشرية العادية، ويحصلون على صلاحيات الوصول إلى قواعد الشيفرات الداخلية الحساسة، ويختبئون بصمت لعدة أشهر أو سنوات، قبل أن يشنوا هجمات دقيقة.

وأكد محقق مستقل في البلوك تشين، ZachXBT، صحة هذه المعلومات، حيث كشف مؤخرًا عن شبكة خاصة بكوريا الشمالية، تعمل عبر هويات احتيالية عن بعد، وتحقق أرباحًا شهرية تقارب مليون دولار.

ويتم هذا عبر تحويل العملات المشفرة إلى عملات قانونية من خلال قنوات مالية معترف بها عالميًا، منذ نهاية 2025، حيث تم معالجة أكثر من 3.5 مليون دولار.

ووفقًا لمصادر الصناعة، يحقق موظفو تكنولوجيا المعلومات التابعون لكوريا الشمالية دخلًا شهريًا بملايين الدولارات. مما يخلق مصدر دخل مزدوج: رواتب ثابتة + سرقات ضخمة من خلال عناصر داخلية.

إجمالي سرقات بقيمة 6.75 مليار دولار

حجم الأعمال الرقمية لكوريا الشمالية يتجاوز بكثير أي مجموعة إجرامية تقليدية. وفقًا لشركة تحليل البلوك تشين Chainalysis، سرق هاكرز مرتبطون بكوريا الشمالية في 2025 مبلغًا قياسيًا قدره 2 مليار دولار، وهو يمثل 60% من إجمالي سرقات العملات المشفرة في ذلك العام.

وبالنظر إلى الهجمات العنيفة هذا العام، فإن إجمالي الأصول المشفرة التي سرقتها كوريا الشمالية حتى الآن بلغ 6.75 مليار دولار.

بعد استلام الأموال، تظهر مجموعة Lazarus نمط غسيل أموال محدد جدًا ومرتكز على المنطقة: فهي تتجنب بشكل متعمد استخدام DEX، واتفاقيات الإقراض من نظير إلى نظير، على عكس المجرمين العاديين. وتُظهر البيانات على السلسلة اعتمادًا كبيرًا على خدمات المعاملات المضمونة في المناطق الناطقة بالصينية، وشبكات الوساطة الخارجية العميقة، وخدمات التشفير عبر السلاسل المعقدة. يشير هذا التفضيل إلى قيود هيكلية، وقيود جغرافية على طرق التحويل، بدلاً من الاعتماد غير المحدود على النظام المالي العالمي.

هل يمكن الوقاية؟

يعتقد خبراء الأمن والمسؤولون في الصناعة أنه يمكن التصدي، لكن على شركات التشفير أن تعالج الثغرات التشغيلية نفسها التي ظهرت في هجمات متعددة.

قال تيرينس كووك، مؤسس Humanity، لـ CryptoSlate: إن هجمات كوريا الشمالية لا تزال تعتمد على الثغرات الشائعة، وليس على طرق اختراق جديدة كليًا. ويعتقد أن المهاجمين الكوريين يرفعون من قدراتهم في الاختراق وتحويل الأموال، لكن السبب الجذري لا يزال هو ضعف التحكم في الوصول والمخاطر الناتجة عن العمليات المركزية.

وأوضح: «المثير للدهشة أن الخسائر لا تزال تُعزى إلى مشاكل قديمة مثل التحكم في الوصول والاعتماد على نقطة واحدة فاشلة. هذا يدل على أن الصناعة لم تحل بعد مشكلة قواعد الأمان الأساسية.»

وبناءً عليه، أشار كووك إلى أن الخط الدفاعي الأول هو زيادة صعوبة سرقة أصول التحويل، من خلال فرض قيود أكثر صرامة على المفاتيح الخاصة، والأذونات الداخلية، والوصول عبر الأطراف الثالثة. وفي الممارسة العملية، يتعين على الشركات تقليل الاعتماد على المشغلين الأفراد، وتقييد الوصول المميز، وتعزيز اعتماد الموردين، وإضافة المزيد من التحقق على البنية التحتية بين البروتوكولات الأساسية والعالم الخارجي.

أما الخط الدفاعي الثاني فهو السرعة. فبمجرد أن تتجاوز الأموال المسروقة عبر السلاسل أو الجسور أو تدخل شبكات غسيل الأموال، ينخفض احتمال استردادها بشكل حاد. قال كووك: إن البورصات، ومصدرو العملات المستقرة، وشركات تحليل البلوك تشين، والسلطات القانونية، يجب أن تتعاون بسرعة في دقائق أو ساعات بعد الهجوم، لزيادة فرص اعتراض الأموال.

ويبرز كلامه واقع الصناعة: أضعف نقطة في أنظمة التشفير غالبًا ما تكون عند تقاطع الكود، والأشخاص، والعمليات. فشهادة مسروقة، أو اعتماد ضعيف على مورد، أو ثغرة في الأذونات، يمكن أن تؤدي إلى خسائر بمئات الملايين من الدولارات.

تحديات التمويل اللامركزي، لم تعد تقتصر على كتابة عقود ذكية قوية، بل تتطلب حماية العمليات الخارجية للبروتوكول قبل أن يستغل المهاجمون الحلقة الأضعف التالية.