اختراق Binance وسرقة أصول بقيمة 6.3 مليارات دولار.. هل أصبح الأمن السيبراني الحلقة الأضعف في الاقتصاد الرقمي العالمي؟

قراءة تقنية وقانونية في الحادث وانعكاساته على السيادة الرقمية والتحول الرقمي بالمغرب

بقلم: أمين طارق (Amine Tarik) | اختصاصي في نظم المعلومات

مقدمة: الثقة في مواجهة المخاطر الرقمية

أعاد الحادث الأمني المعلن في منصة Binance إلى الواجهة سؤالاً جوهرياً: هل تستطيع المؤسسات الرقمية حماية الأصول والبيانات التي تديرها بالقدر نفسه الذي تستطيع به تطوير خدماتها؟ تشير التقارير الأولية المتداولة إلى تحويل أصول رقمية ضخمة في فترة زمنية وجيزة، وقد قُدرت القيمة بنحو 6.3 مليارات دولار. هذه القيمة أولية، ولا تعادل بالضرورة الخسائر النهائية التي سيتحملها العملاء أو المنصة بعد إجراءات التجميد والاسترداد. لذلك يجب التعامل معها بوصفها حصيلة معلنة قابلة للتحديث، لا نتيجة نهائية للتحقيق.

ماذا نعرف عن الحادث؟

وفق المعلومات الأولية التي تناولتها التقارير، شمل الحادث تحويلات غير مصرح بها من محافظ مرتبطة بالمنصة، تلتها إجراءات احترازية وعمليات لتتبع الأصول وتجميد جزء منها. وينبغي التمييز بين قيمة التحويلات، والأموال التي جرى تجميدها، والأموال المسترجعة فعلياً. كما أن تعليق الإيداعات أو السحوبات احترازياً لا يعني بمفرده فقدان جميع أموال المستخدمين. تبقى التفاصيل الفنية النهائية رهينة نتائج التحقيق والتدقيق المستقل.

كيف يحدث الاختراق دون كسر التشفير؟

قد تكون نقطة الضعف في الحاسوب أو الحساب التقني أو خدمة تشغيل تملك صلاحيات إصدار معاملات، وليس في خوارزمية التشفير أو سلسلة الكتل نفسها. وتحدثت فرضيات أولية عن اختراق بيئة تشغيلية مرتبطة بمهندس DevOps، لكن لا يجوز اعتبار هذه الفرضية تفسيراً نهائياً لمسار الهجوم. إن امتلاك جهة خبيثة صلاحيات تشغيلية كافية قد يسمح بإصدار أوامر مالية غير مشروعة حتى لو بقيت مفاتيح التشفير محمية. ولهذا يصبح الفصل بين الصلاحيات والموافقة متعددة الأطراف ومراقبة التحويلات في الزمن الحقيقي ضرورة مؤسساتية.

الدرس التقني: هندسة الصلاحيات أهم من الواجهة
لا يكفي شراء أدوات أمنية متقدمة ما لم تصاحبها سياسة صارمة للهوية والصلاحيات، وإدارة أسرار الأنظمة، ومراقبة حسابات الامتيازات العالية، وتجزئة الشبكات، وتدقيق سلسلة التوريد البرمجية. ويعني نموذج انعدام الثقة الافتراضية (Zero Trust) التحقق المستمر من المستخدم والجهاز والخدمة، لا افتراض الأمان لمجرد وجودها داخل الشبكة. كما ينبغي اختبار خطط الاستجابة للحوادث واستمرارية النشاط بصورة دورية.

الإسناد إلى جهات خارجية: بين القرائن والحسم
أشارت تحليلات أمنية أولية إلى احتمال ارتباط الهجوم بجهات معروفة في الجرائم الرقمية العابرة للحدود. غير أن ربط حادث بفاعل معين يستلزم التمييز بين القرائن التقنية، والتقديرات الاستخباراتية، والإثبات القضائي. لذلك فإن نسبة المسؤولية إلى دولة أو مجموعة بعينها لا ينبغي أن تُقدَّم كحقيقة نهائية قبل اكتمال التحقيق.

تجميد العملات: حماية للضحايا وأسئلة قانونية

تتيح بعض العملات المستقرة آليات تقنية لتجميد رموز محددة، ما قد يساعد على الحد من تصريف الأصول المشبوهة. لكن التجميد لا يساوي الاسترداد النهائي، ويثير أسئلة حول السلطة التي تتخذ القرار، وضمانات المشروعية والشفافية، وحقوق أصحاب الأموال. ويكشف هذا التوتر بين اللامركزية التقنية والحاجة إلى تدخل جهات مركزية عند الأزمات عن تعقيد تنظيم الاقتصاد الرقمي.

مسؤولية المنصات وحقوق المستخدمين

لا تُحسم مسؤولية المنصة قانونياً بمجرد إعلانها تعويض المتضررين. فالأمر يرتبط بطبيعة الأصول، وشروط الحفظ والتعاقد، والقانون الواجب التطبيق، ودرجة الإهمال إن ثبتت، والالتزامات الرقابية. وتزداد أهمية التدقيق المستقل، والإفصاح الواضح عن الحوادث، وتحديد آجال وإجراءات المطالبات، والفصل بين أموال العملاء والأموال التشغيلية.
ما علاقة ذلك بالمغرب؟

يُبرز الحادث أهمية بناء إطار متوازن لتنظيم خدمات الأصول الرقمية، يحدد متطلبات الحماية والحوكمة والتصريح بالحوادث وآليات الشكايات. لكن لا يصح الخلط بين منصات العملات المشفرة، وأنظمة الدفع التقليدية، والعملات الرقمية المحتملة للبنوك المركزية؛ فهي تختلف قانونياً وتقنياً. الدرس الأوسع للمغرب هو أن الابتكار المالي يجب أن يسير بالتوازي مع حماية المستهلك والاستقرار والأمن السيبراني.

من منصات التداول إلى الإدارة الرقمية

لا يعني اختراق منصة خاصة أن الإدارات العمومية المغربية تعرضت للخطر نفسه. ومع ذلك، فإن الاعتماد المتزايد على منصات مترابطة لتدبير الخدمات والبيانات يجعل المبادئ الأمنية ذاتها مهمة: الحد الأدنى من الصلاحيات، والتدقيق، والنسخ الاحتياطية، واستمرارية الخدمة، والمساءلة. ويجب قياس نجاح التحول الرقمي بموثوقية الخدمة وحماية المرتفق، لا بعدد البوابات والتطبيقات فقط.

رقمنة الصحة نموذجاً للحساسية القانونية

ينص القانون الإطار رقم 06.22 المتعلق بالمنظومة الصحية الوطنية في مادته 28 على إحداث منظومة معلوماتية صحية وطنية مندمجة، وفي مادته 29 على إحداث «الملف الطبي المشترك» مع مراعاة قواعد حماية المعطيات الشخصية. وهذا يفرض ضبط من يمكنه الاطلاع على البيانات الطبية، ولماذا، ومتى، مع تسجيل عمليات الولوج وتوفير آليات استمرارية الخدمة. إن تعطل نظام صحي لا يمس المعطيات فقط، بل قد ينعكس على مسار التكفل بالمرضى؛ لذلك ينبغي أن تتناسب الحماية مع حساسية المرفق.

الذكاء الاصطناعي: أداة دفاع لا ضمانة مطلقة

يساعد الذكاء الاصطناعي على تحليل السجلات واكتشاف الأنماط غير المعتادة وترتيب التنبيهات الأمنية، لكنه قد يخطئ أو يتعرض للتضليل أو يضاعف مخاطر تسرب المعلومات إذا استُخدم دون ضوابط. وتقتضي الحوكمة الفعالة إبقاء القرار الحساس تحت رقابة بشرية مؤهلة، وإجراء اختبارات مستقلة، وتحديد المسؤوليات القانونية عن المخرجات.

خاتمة: الأمن شرط للثقة الرقمية

يكشف هذا الحادث أن تطور التكنولوجيا لا يلغي المخاطر، بل يغير طبيعتها وسرعتها وحجم آثارها. وبالنسبة إلى المغرب، فإن بناء إدارة ذكية واقتصاد رقمي موثوق يقتضي جمع الابتكار مع الضمانات القانونية والتدقيق التقني واستمرارية الخدمات. فالتحدي ليس أن تصبح المؤسسات أكثر رقمية فحسب، بل أن تصبح أكثر أمناً وشفافية وقابلية للمساءلة.
مراجع للمتابعة: بلاغات Binance الرسمية؛ تقارير Reuters وAFP؛ تحليلات TRM Labs؛ القانون الإطار المغربي رقم 06.22، المادتان 28 و29 (الجريدة الرسمية عدد 7151).