جماعات القرصنة المرتبطة بدول والسرقة الواسعة النطاق للعملات المشفرة

معظم سرقات العملات المشفرة انتهازية، ينفذها أفراد أو مجموعات صغيرة تسعى وراء مكسب سريع. لكن هناك فئة أصغر لكنها مدمِّرة بشكل غير متناسب من السرقة تختلف في نوعها، لا في حجمها فقط. تنفذها جماعات قرصنة ربطتها جهات حكومية علناً بدولة قومية، تعمل بصبر وموارد وانضباط تشغيلي أقرب إلى جهاز استخباراتي منه إلى منظمة إجرامية عادية. وقد ركّزت التقارير العلنية من مكتب التحقيقات الفيدرالي ووزارة الخزانة الأمريكية وشركات تحليلات البلوكتشين بشكل ساحق على كوريا الشمالية ضمن هذه الفئة، وأصبح الحجم الموثَّق لذلك النشاط الآن كبيراً بما يكفي لتمثيل حصة مهمة من إجمالي سرقات العملات المشفرة على مستوى العالم.

من يقف وراء هذه الهجمات

عزا مكتب التحقيقات الفيدرالي علناً سرقة Bybit في فبراير 2025، أكبر سرقة عملات مشفرة مسجَّلة على الإطلاق، إلى مجموعة يتتبعها باسم TraderTraitor، ويحددها كجزء من جهاز Lazarus الأوسع المرتبط بكوريا الشمالية. كما سمّى المكتب أفراداً محددين، من بينهم Park Jin Hyok، في مواده العلنية للمطلوبين فيما يتعلق بنشاط سيبراني ذي صلة. وهذه ليست تصنيفات غير رسمية من القطاع. بل هي استنتاجات رسمية نشرتها جهة إنفاذ قانون فيدرالية، تختلف عن التكهنات حول المهاجمين التي تنتشر أحياناً بعد اختراق ما دون أي سند من هذا النوع.

حجم النشاط

بحسب تقرير Chainalysis لجرائم العملات المشفرة لعام 2026، سرقت جهات مرتبطة بكوريا الشمالية نحو ملياري دولار من العملات المشفرة خلال عام 2025 وحده، بزيادة واحد وخمسين بالمئة عن العام السابق، ليصل إجماليها التراكمي المُتتبَّع علناً إلى نحو ستة مليارات وثلاثة أرباع المليار دولار. ووجد التقرير نفسه أن السرقة المرتبطة بكوريا الشمالية شكَّلت غالبية إجمالي العملات المشفرة المسروقة عبر الاختراقات والاستغلالات في الفترة المقاسة. واستمر النشاط في عام 2026، بسرقة نحو ثلاثمئة وتسعة ملايين دولار عبر اثني عشر حادثاً في الربع الأول وحده، بما في ذلك حصة من استغلال بروتوكول Drift المُغطى في دليلنا حول كيف تحدث استغلالات التمويل اللامركزي.

تقنيات مميزة موثَّقة في التقارير العلنية

استهداف البشر، لا الشيفرة فقط

توضح سرقة Bybit نمطاً أوسع موثَّقاً عبر حوادث متعددة: فبدلاً من مهاجمة البنية التحتية للبلوكتشين الخاصة بالهدف مباشرة، اخترقت هذه الجماعات مراراً أجهزة مطوّرين وسلاسل توريد برمجيات تابعة لأطراف ثالثة والبشر المسؤولين عن الموافقة على المعاملات، مستخدمة الوصول الذي حصلت عليه للتلاعب بما يراه موقِّع شرعي قبل موافقته على تحويل.

دورة غسل منظَّمة وصبورة

تصف التقارير العلنية نمط غسل متميزاً مرتبطاً بالسرقة المرتبطة بكوريا الشمالية، ينقل الأموال على شكل دفعات تبقى عادة دون خمسمئة ألف دولار عبر دورة تمتد نحو خمسة وأربعين يوماً، ويعتمد بكثافة على خدمات نقل أموال ناطقة بالصينية وجسور بين السلاسل وبروتوكولات خلط، بدلاً من نقل الأموال المسروقة مباشرة وبشكل مرئي نحو نقطة تحويل نقدي واحدة. تغطي دليلانا حول غسل الأموال عبر السلاسل وخدمات الخلط هذه الآليات بمزيد من العمق التقني.

إعادة استخدام بنية تحتية مُجرَّبة عبر سرقات متعددة

على سبيل المثال، وثَّقت Chainalysis ووزارة الخزانة الأمريكية أن خدمة الخلط Sinbad.io عالجت أموالاً ليس من سرقة واحدة فقط بل من عدة حوادث كبرى مرتبطة بمجموعة Lazarus، بما فيها سرقتا جسر Horizon وAxie Infinity، قبل أن تُصادَر وتُفرَض عليها عقوبات. وهذا النمط من إعادة استخدام بنية الغسل نفسها عبر عمليات منفصلة هو إحدى الطرق التي يستطيع بها المحللون والمحققون ربط حوادث تبدو غير مرتبطة بالجهات الفاعلة نفسها.

أبعد من القرصنة: مخطط عمال تقنية المعلومات الاحتيالي

لا تحدث كل سرقة العملات المشفرة المرتبطة بدول عبر استغلال تقني على الإطلاق. فقد وثَّقت وزارة العدل الأمريكية مخططاً منفصلاً ومُلاحَقاً قضائياً على نطاق واسع، ترسل فيه كوريا الشمالية عمال تقنية معلومات مدرَّبين لينتحلوا صفة مطوّري برمجيات مستقلين ويُوظَّفوا عن بُعد لدى شركات، بما فيها شركات عملات مشفرة وبلوكتشين، باستخدام هويات أمريكية مسروقة أو مستعارة، وأجهزة كمبيوتر وسيطة، وميسِّرين مقيمين داخل الولايات المتحدة عالِمين أو غير عالِمين بذلك. وبحسب إعلانات وزارة العدل، استخدم أحد هذه المخططات هويات مسروقة لما لا يقل عن ثمانين شخصاً أمريكياً وحقَّق أكثر من خمسة ملايين دولار من الإيرادات لحكومة كوريا الشمالية على مدى عدة سنوات، مما أدى إلى إقرارات بالذنب من ميسِّرين مقيمين في الولايات المتحدة عام 2025.

في يونيو 2025، وجَّهت هيئة محلفين كبرى فيدرالية اتهاماً مباشراً لمواطنين كوريين شماليين، في أول تهم أمريكية تُوجَّه للعمال المحتالين أنفسهم لا لميسِّريهم المحليين فقط. وبحسب لائحة الاتهام تلك، تسلل الأفراد إلى شركة بلوكتشين مقرها أتلانتا وشركة عملات مشفرة منفصلة مقرها صربيا بالحصول على صلاحية وصول شرعية كمطوّرين، ثم أساءوا استخدام تلك الصلاحية لسرقة نحو تسعمئة وخمسة عشر ألف دولار من العملات المشفرة، وغسلوا العائدات عبر خدمات خلط وحسابات وهمية بما يتسق مع أنماط الغسل الأوسع الموصوفة أعلاه. ويوضح المخطط أنه بالنسبة لجهة صبورة بما يكفي وذات موارد حكومية، يمكن لاكتساب ثقة على مستوى مطوّر داخل منظمة مستهدفة أن يكون نقطة دخول فعالة بقدر أي ثغرة تقنية، وأصعب بكثير على مسؤول توظيف اكتشافها أثناء عملية مقابلة عن بُعد قياسية.

كيف يتم الإسناد فعلياً

لا يُجرى الإسناد العلني لسرقة كبرى إلى جماعة مرتبطة بدولة باستخفاف، وعادة ما يعتمد على مزيج من المؤشرات التقنية، مثل إعادة استخدام شيفرة برمجيات خبيثة وتداخل بنية تحتية مع حملات موثَّقة سابقاً، والتحليل الجنائي المالي الذي يتتبع الأموال المسروقة إلى محافظ وخدمات غسل مرتبطة بالفعل بحوادث سابقة. وقد أصدر مكتب التحقيقات الفيدرالي بشكل دوري إعلانات خدمة عامة تسمّي عناصر TraderTraitor وLazarus مباشرة وتطلب من مزوّدي خدمات العملات المشفرة حظر المعاملات المرتبطة بعناوين محددة مرتبطة بسرقة معينة، وهي خطوة عملية تهدف إلى إبطاء الغسل في أعقاب الهجوم مباشرة.

الاستجابة السياسية العالمية

فرض مكتب مراقبة الأصول الأجنبية التابع لوزارة الخزانة الأمريكية عقوبات على مجموعة من الأفراد وعناوين المحافظ والخدمات المرتبطة بنشاط الغسل المرتبط بكوريا الشمالية، بما فيها خدمة خلط Sinbad، وTornado Cash في مرحلة ما. ورُفِعت عقوبات Tornado Cash تلك لاحقاً عام 2025 إثر حكم قضائي بشأن كيفية التعامل قانونياً مع العقود الذكية المستقلة، وهو تطور مُغطى بمزيد من التفصيل في دليلنا حول كيف تؤثر خدمات خلط العملات المشفرة على التحقيق، رغم استمرار نظام العقوبات الأوسع الذي يستهدف الجهات المرتبطة بالدولة والعناوين المحددة التي تسيطر عليها.

هل كوريا الشمالية هي الجهة الفاعلة الوحيدة المرتبطة بدولة التي يجب مراقبتها

تتركز التقارير العلنية والإسناد الرسمي بشكل ساحق على كوريا الشمالية عندما يتعلق الأمر بسرقة عملات مشفرة واسعة النطاق ومستمرة، وينعكس هذا التركيز بدقة في هذا الدليل بأكمله لا كافتراض حول المجال ككل. وقد وثَّق باحثون أمنيون جماعات أخرى تابعة لدول تنخرط في تجسس سيبراني وهجمات تخريبية ضد مجموعة من الأهداف، لكن المزيج المحدد من الحجم والاستمرارية والدافع المالي المباشر الظاهر في سرقة العملات المشفرة المرتبطة بكوريا الشمالية، كما قاسته Chainalysis بمليارات الدولارات وأسندته رسمياً وكالتا مكتب التحقيقات الفيدرالي والخزانة، لا يضاهيه نشاط موثَّق ومُسنَد علناً بشكل مماثل من دول أخرى في مجال العملات المشفرة تحديداً. يركّز هذا الدليل على ما تدعمه التقارير العلنية الموثوقة فعلياً بدلاً من التكهن بشأن جهات فاعلة أخرى دون المستوى نفسه من الإسناد.

ماذا يعني هذا للقطاع وللضحايا

تُعَد جماعة القرصنة المرتبطة بدولة خصماً مختلفاً جوهرياً عن محتال فردي أو صائد استغلالات صغير. فبإمكانها تحمُّل تكلفة قضاء أشهر في التسلل إلى بيئة تطوير هدف ما قبل محاولة السرقة أصلاً، وبإمكانها استيعاب خسارة قناة غسل واحدة والتحول فوراً إلى أخرى، ولا يردعها احتمال اعتقال فردي بالطريقة التي قد يردع بها مجرماً عادياً. وبالنسبة لمنصات التداول والبروتوكولات، يعني هذا أن الأمن يجب أن يراعي خصماً صبوراً وذا موارد جيدة، لا مهاجمين انتهازيين فقط. أما بالنسبة للضحايا الأفراد لاختراق يُسنَد لاحقاً لإحدى هذه الجماعات، فهذا يعني عموماً أن جهود الاسترداد تعتمد بشدة على التتبع السريع والتعاون الدولي لإنفاذ القانون، إذ إن التفاوض غير الرسمي مع المهاجم، الممكن أحياناً بعد استغلال أصغر ومستقل، ليس مساراً واقعياً.

كما يعني ذلك أن تدخل مكتب التحقيقات الفيدرالي العلني، بما فيه الإسناد المُسمّى وطلبات حظر عناوين محددة، هو نفسه جزء مهم من الاستجابة، إذ يعبّئ منصات التداول وفرق الامتثال عبر القطاع في آن واحد بدلاً من ترك كل منصة تحقق في حادث بمفردها. وينبغي لضحايا حادث يُسنَد لاحقاً لجماعة مرتبطة بدولة أن يتوقعوا معاملة قضيتهم كجزء من تحقيق فيدرالي أوسع بكثير ومستمر لا كمسألة معزولة، وهو ما قد يعني تحديثات فردية أبطأ لكن أيضاً وصولاً إلى مجموعة أكبر بكثير من موارد التتبع وتاريخ القضايا السابقة مما تحصل عليه عادة سرقة أصغر ومستقلة.

الأسئلة الشائعة

المصادر وقراءات إضافية

• 2026 Crypto Crime Report Introduction · Chainalysis
• FBI Confirms North Korean Lazarus Group Behind $1.5 Billion Bybit Crypto Heist · Picus Security
• Treasury Sanctions Mixer Used by the DPRK to Launder Stolen Virtual Currency · U.S. Department of the Treasury
• Two North Korean Nationals and Three Facilitators Indicted for Multi-Year Fraudulent Remote Information Technology Worker Scheme · U.S. Department of Justice

مقالات ذات صلة