هجوم أركيا: أمن المصارف وحدود الانفتاح على الأصول الرقمية

لم تكن الأموال في بدايتها أصولاً رقمية داخل محفظة على شبكة البلوكتشين. بحسب كريدي موتويل أركيا، خرجت التحويلات الاحتيالية من حساب المجموعة المصرفية نفسها إلى مؤسسات مصرفية أخرى، قبل احتمال تحويلها إلى عملات مشفّرة عبر منصات متخصصة.

لكن ما أخرج القضية إلى العلن كان المسار المشتبه به للأموال في عالم الأصول الرقمية، بعدما رصد المحقق المستقل زاك إكس بي تي (ZachXBT)تحركاتها، ثم سمّى المصرف بوصفه الضحية المحتملة، قبل إقراره العلني بالهجوم.

هكذا، جمع هجوم أركيا بين عالمين تتداخل بنيتهما المالية بوتيرة متسارعة، بينما تختلف قواعد الوصول إلى بياناتهما وحدود السيطرة على الأموال داخلهما.

فالقضية تفتح نقاشاً يتجاوز حجم المبلغ المسروق: كيف تُخترق مؤسسة مصرفية؟ ومن يستطيع رؤية حركة الأموال بعد خروجها؟ وإلى أي مدى ستسمح المصارف لعملائها بنقل الأصول الرقمية خارج خدماتها؟

تحذير CZ يعود إلى الواجهة

قبل يوم من إعلان أركيا، كان مؤسس باينانس تشانغبينغ تشاو، المعروف بـ«CZ»، يتحدث إلى «كوين ديسك» عن تداعيات الاختراق الكبير الذي تعرضت له المنصة.

ورأى تشاو أن قدرة المهاجمين على اختراق منصة للعملات المشفّرة تعني أن المصارف قد تكون في وضع أسوأ من وجهة نظره، واضعاً الخطر ضمن نطاق النظام المالي الأوسع.

لا تكفي واقعة أركيا لإثبات أن المصارف أقل أمناً من منصات التداول، كما أن المعلومات المنشورة لا تثبت وجود آلية مشتركة للهجومين. لكنها تؤكد أن القطاع المصرفي معرّض بدوره لاختراقات قد تُفضي إلى تحريك الأموال بصورة احتيالية.

وتعيد توجيه الاهتمام إلى الصلاحيات التي تربط الوصول التقني بالقدرة على تنفيذ المدفوعات، سواء داخل مصرف أو منصة أصول رقمية.

ماذا أكّد أركيا عن الهجوم؟

تضم مجموعة كريدي موتويل أركيا المصرفية والتأمينية شبكتي كريدي موتويل دو بروتاني وكريدي موتويل دو سود ويست، إلى جانب نحو أربعين شركة متخصصة، بينها المصرف الرقمي «فورتونيو».

وفي توضيح نشرته في 4 نوفمبر، قالت المجموعة إن المهاجمين وصلوا إليها عبر منصة أحد مزوّدي خدماتها، نافيةً أن يكون «فورتونيو» نقطة الدخول.

وأوضحت أن المهاجمين استخدموا حساب أركيا نفسه لإجراء تحويلات إلى مؤسسات مصرفية أخرى، يُحتمل أنها أتاحت لاحقاً تحويل الأموال إلى عملات مشفّرة.

أما مبلغ 118 مليون يورو، أو نحو 133 مليون دولار، فلم تؤكده بدقة، مكتفيةً بتأكيد النطاق التقريبي للمبلغ المتداول. وقالت إن جزءاً من الأموال جرى تجميده، وإن إجراءات أخرى لاسترداد الأموال مستمرة، ما يجعل تحديد الأثر المالي النهائي سابقاً لأوانه.

وأكدت المجموعة عدم تأثر أموال العملاء، رغم تأخير بعض التحويلات نتيجة القيود الاحترازية، وأعلنت استئناف العمليات بعد إجراء فحوص أمنية.

وتبقى أسئلة جوهرية مفتوحة: ما الصلاحيات التي أتاحتها منصة مزوّد الخدمة؟ وكيف اعتُمدت التحويلات؟ وما الذي رصدته المؤسسات المستقبلة للأموال، ومتى وصلها التنبيه؟

زاك إكس بي تي سبق الإعلان المصرفي

بدأت القضية علناً مع تحذير نشره زاك إكس بي تي في 2 نوفمبر، أشار فيه إلى اشتباه بخسارة جهة أوروبية غير مسمّاة أكثر من 106 ملايين دولار من حسابات على منصات تداول مركزية.

ثم رفع تقديره إلى أكثر من 133 مليون دولار بعد رصد سحوبات إضافية، قبل أن يحدد أركيا بوصفه الضحية المحتملة.

وكانت «أنلوك» قد تناولت السرقة المشتبه بها في تغطيتها الأولى، عندما كانت هوية الجهة المتضررة لا تزال مجهولة.

هذا التسلسل يمنح المحقق دوراً أساسياً في كشف القضية للرأي العام. فقد جاءت تسمية المصرف من خارج المؤسسة، بالاستناد إلى تتبع المسار المشتبه به للأموال.

ولا يثبت ذلك أن أركيا كان سيمتنع عن الإعلان لولا تدخله، أو أن الرصد الخارجي سبق الاكتشاف الداخلي. فالمصرف يقول إنه أبلغ السلطات والجهات الرقابية عند اكتشاف الهجوم.

وفي تحليل منفصل، قالت «بيت كويري» إنها تتبعت سحوبات بقيمة 108.8 ملايين دولار بعملة USDC، من محافظ تصنّفها على أنها تابعة لمنصات كراكن وكريبتو دوت كوم وأوكي إكس، إلى 15 عنواناً خلال نحو 21 ساعة يومي 1 و2 نوفمبر.

لكن الشركة أوضحت أنها لا تستطيع الاطلاع على التحويلات المصرفية أو الحسابات الداخلية للمنصات، وبالتالي لا يمكنها إثبات المسار الكامل الذي يربط تلك التحركات بأركيا بصورة مستقلة. لذلك، لا يُعد المبلغ الذي تتبعته تأكيداً للخسارة النهائية للمصرف.

حين تصبح حركة الأموال قابلة للتدقيق العام

للتحويلات المصرفية سجلات يمكن للمؤسسات والسلطات المختصة الرجوع إليها. وتتيح أنظمة مثل خدمة تتبع المدفوعات لدى «سويفت» للمؤسسات المشاركة متابعة المدفوعات عبر شبكتها، من دون أن يعني ذلك ثبوت استخدام سويفت في هذه القضية.

الفارق هنا يتعلق بمن يستطيع الوصول إلى المعلومات.

فالمحقق المستقل لا يستطيع فتح متصفح وتتبع حركة الأموال عبر السجلات الداخلية لعدة مصارف. أما المعاملات المسجلة على شبكات البلوكتشين العامة، فيمكن فحصها من خارج المؤسسات المعنية.

وهذه القابلية للفحص هي التي سمحت بإخراج المسار المشتبه به للأموال إلى النقاش العام، بينما ظلت تفاصيل الجزء المصرفي غير متاحة للمراقبين الخارجيين.

لكن رؤية الحركة لا تعني بالضرورة معرفة أصحاب العناوين أو القدرة على استعادة الأموال. وقد أفادت «بيت كويري» بأن جزءاً كبيراً من USDC الذي تتبعته حُوّل إلى إيثر، ما يغيّر أدوات التدخل المتاحة: قدرة مُصدر العملة المستقرة على تجميد توكناته لا تمتد إلى تجميد إيثر الموجود في العنوان نفسه.

لذلك، تبرز أهمية الفترة الفاصلة بين رصد التحركات ووصول المعلومات إلى الجهة القادرة على وقفها.

المصارف في الإمارات تفتح التداول وتغلق التحويل

في الإمارات، تُظهر خدمات مصرفية قائمة بالفعل أحد الخيارات التي قد يزداد حضورها مع تصاعد المخاطر: إتاحة شراء الأصول الرقمية والاحتفاظ بها وبيعها، ضمن نظام مغلق أمام التحويلات الخارجية.

يدخل العميل إلى الخدمة بأمواله المصرفية، ويشتري الأصول الرقمية داخلها، ثم يعيد قيمتها إلى حسابه النقدي عندما يبيع. لكنه لا يستطيع إرسال تلك الأصول إلى محفظته الخاصة أو استقبال عملات مشفّرة من عنوان خارجي.

ويؤكد «ليف» في صفحة الأسئلة الشائعة أنه لا يدعم تحويل الأصول المشفّرة إلى الخدمة أو منها. وتُقدَّم خدماته الاستثمارية بالتعاون مع «أكواناو»، التي تستعين بـ«زوديا كستودي» للحفظ.

وتوضح «أبوظبي التجاري للأوراق المالية» أيضاً أن إيداع العملات المشفّرة وسحبها غير متاح حالياً، وأن العملاء يستطيعون شراءها وبيعها على المنصة المرتبطة بخدمات «فيوز».

كذلك، لا تسمح خدمة الاستثمار بالعملات المشفّرة لدى ستاندرد تشارترد في الإماراتبتحويل الأصول الرقمية إلى الخدمة أو منها. وقد وصف المصرف نموذج الحفظ والتسوية عند إطلاقها بأنه نظام مغلق، يهدف إلى تقليل التعرض لمخاطر المحافظ الخارجية.

بهذا النموذج، تستطيع المصارف تلبية الطلب على الاستثمار في الأصول الرقمية، مع الاحتفاظ بحدود واضحة لحركتها خارج المنتج.

أصول رقمية داخل التطبيق… بصلاحيات محدودة

للقيود على التحويلات وظيفة عملية: فهي تستبعد تعليمات العميل التي قد ترسل الأصول إلى عنوان احتيالي، كما تمنع استقبال توكنات من مصادر خارجية داخل الخدمة.

وفي المقابل، تحدّ من استخدامات الأصل الذي اشتراه العميل. فهو يستطيع الاستفادة من تغير السعر، لكنه لا يستطيع نقل حيازته إلى الحفظ الذاتي، أو تحويلها إلى مزوّد آخر، أو استخدامها مباشرةً في خدمات أخرى على الشبكة.

وهنا يتداخل القرار الأمني مع تصميم المنتج: ما الوظائف التي يتيحها المصرف، وما مستوى السيطرة الذي يحتفظ به؟

قد يعزز هجوم أركيا التوجه نحو خدمات أكثر تقييداً لحركة الأصول الرقمية. إلا أن الواقعة نفسها تكشف حدود هذا الحل؛ فالتحويلات الاحتيالية التي وصفها المصرف بدأت كمدفوعات مصرفية.

وبالتالي، فإن منع سحب العملات المشفّرة من منتج يقدمه المصرف لا يكفي وحده لمنع انتقال الأموال إلى مصرف آخر، ثم إلى منصة خارجية. كما لا يُغني عن حماية أنظمة الحفظ وصلاحيات المدفوعات والروابط مع مزوّدي الخدمات.

تستطيع المصارف أن تحدد مدى انفتاح خدماتها على شبكات الأصول الرقمية. لكن حماية الأموال التي تتحرك بين المؤسسات تتطلب رقابة وتعاوناً يتجاوزان حدود التطبيق الذي يستخدمه العميل.