هاكر Coinbase Commerce يستيقظ، ويوجه 5.4 مليون دولار إلى Tornado Cash

عنوان مرتبط باختراق Coinbase Commerce (2024) عاد للحياة بعد ما يقرب من عامين من الخمول. تظهر بيانات السلسلة (On-chain) أن المهاجم بدأ في تحريك الأموال في يناير 2026. في التحركات الأخيرة، قام بإيداع 5.4 مليون دولار من الإيثريوم في Tornado Cash حتى الآن.

قبل الإيداعات، نقل العنوان المرتبط بالسرقة حوالي 5.8 مليون دولار من DAI إلى محفظة جديدة. تم تبديل ذلك الـ DAI إلى إيثير. ثم تم تقسيم الـ ETH إلى إيداعات متعددة، واتبعت نشاطات Tornado Cash نمطًا واضحًا للتجميع. أرسل المهاجم 20 إيداعًا بقيمة 100 ETH، ثم تلتها مبالغ أصغر. وشملت هذه المبالغ 10 ETH، و1 ETH، وتحويلات كسرية. ومع ذلك، لا تزال محفظة منفصلة مرتبطة بالمهاجم تحتفظ بحوالي 4.6 مليون دولار من DAI.

يأتي هذا في وقت تتعامل فيه السوق العالمية للعملات المشفرة مع ضغط بيع شديد. انخفض الإيثريوم بنسبة 10% تقريبًا في آخر 7 أيام. كان الـ ETH يتداول في نطاق يتراوح بين 3,100 دولار و3,700 دولار في أبريل 2024، عندما حدث الاختراق. وحتى الآن، يتداول الإيثريوم بسعر متوسط يبلغ 2,890 دولار.

اختراق Coinbase Commerce

يعود الحادث إلى التاريخ المحدد في أبريل 2024. أفاد المحقق على السلسلة ZachXBT بتدفقات خروج مشبوهة من عقد Coinbase Commerce في ذلك الوقت. في 21 أبريل 2024، سجل العقد أكثر من 1,700 تدفق خروج من USDC على شبكة Polygon خلال نافذة زمنية مدتها 16 ساعة. وبلغت القيمة الإجمالية 15.97 مليون دولار.

أشارت النمطية إلى أن تاجرًا يستخدم Coinbase Commerce قد تعرض للاختراق. تم تصريف الأموال عبر تحويلات متكررة. تم جسر الـ USMC المسروق لاحقًا من Polygon إلى الإيثريوم. تم تبديله إلى إيثير وتم تقسيمه عبر ثلاث محافظ.

عاد المهاجم إلى النشاط بعد ما يقرب من عامين من الخمول، ويقوم الآن بإيداع الأموال المسروقة في Tornado Cash.

تم إيداع ما مجموعه 5.4 مليون دولار حتى الآن.

قبل ذلك، نقل عنوان السرقة 5.8 مليون دولار من DAI إلى محفظة جديدة، والتي تم تبديلها لاحقًا لـ… https://t.co/6hZWByeuRQ pic.twitter.com/67vx2CLk6U

— Specter (@SpecterAnalyst) يناير 26، 2026

بعد السرقة بوقت قصير، بدأ فاعل التهديد الذي يستخدم اسم المستعار "Excite" في مناقشة الأموال في محادثات خاصة. ربط ZachXBT تلك الادعاءات بالعناوين المرتبطة بالتدفقات الخارجة. وذكر أنه في مايو 2024، أرسل مستخدم تيليجرام يحمل اسم المستخدم "tezedasads12" معاملة بقيمة 1 DAI. استُخدمت التحويلة لإثبات التحكم في محفظة تحتوي على حوالي 6 ملايين دولار من السرقة.

ادعى نفس الفاعل ملكية اسم المستخدم على إنستغرام "Excite". كما حاول شراء اسم مستخدم مطابق على تيليجرام لكنه فشل. كان الحساب على إنستغرام خاصًا في البداية، لكنه أصبح عامًا لاحقًا. أظهر الحساب ساعات فاخرة وأغراضًا أخرى عالية القيمة.

ZachXBT أوضحت أشارت الاستخبارات مفتوحة المصدر إلى أن الفرد قد يكون مقيمًا في الدنمارك. لم يتم تأكيد هذه التفاصيل بشكل مستقل. بعد مرحلة الغسل الأولية، توقفت معظم الأموال عن التحرك. أصبحت المحافظ المرتبطة بالاختراق خاملة. في هذه الأثناء، تم توجيه جزء أصغر من الأموال لاحقًا عبر منصات اللامركزية ومنصات الرهن. استُخدمت هذه المعاملات لنقل الأصول إلى محافظ جديدة.

أظهر عنوان إيداع واحد تعرضًا عاليًا للبنية التحتية المعروفة لأدوات التصريف (Drainers). أشار المحققون إلى ذلك كإشارة خطر. يناير 2026 Tornado Cash الإيداعات تشير إلى أول نشاط كبير مرتبط بالاختراق في ما يقرب من عامين. 

اختراق Coinbase 2025

تضيف هذه الحالة إلى سلسلة من حوادث الأمن المرتبطة بـ Coinbase. في مايو 2025، كشفت Coinbase عن هجوم سيبراني منفصل. ذكرت الشركة أن الحادث قد يكلف ما يصل إلى 400 مليون دولار. في تلك الحالة، حصل المهاجمون على بيانات عملاء محدودة من خلال دفع رواتب للمقاولين والموظفين. استُخدمت البيانات للتظاهر بتمثيل Coinbase وخداع المستخدمين.

قالت Coinbase إن أقل من 1% من العملاء تأثروا. طالب المهاجمون بمبلغ 20 مليون دولار ورفضت Coinbase الدفع. لم يتم اختراق المفاتيح الخاصة. ومع ذلك، قالت الشركة إنها ستعوض المستخدمين المتأثرين.