كشف المحقق المتخصص في تحقيقات البلوكشين “ZachXBT” هذا الصباح عن تعرض منصتي “BitcoinIRA” و”iTrustCapital” لاختراقات بيانات هذا العام دون إبلاغ عملائهما بذلك.
وقال ZachXBT إن المخترقين تمكنوا من الوصول إلى بيانات شخصية حساسة تخص خدمات التقاعد الرقمية، بما في ذلك المحافظ الاستثمارية للعملاء، والتفاصيل البنكية، ومعلومات الأوصياء، وحالة التحقق من الحسابات.
وبعد أن تأكد المحقق من وقوع الاختراقات، أرسل رسائل بالبريد الإلكتروني إلى المنصتين في 21 أغسطس. وبعد ثلاثة أيام دون أي رد، نشر التحذير علنًا اليوم.
وردت منصة iTrustCapital على الاتهامات عبر منصة إكس، وكتبت: “لم تتعرض iTrustCapital لأي اختراق بيانات من طرف ثالث مؤخرًا، ولا علم لدينا بأي اختراق يؤثر على منصتنا”.
وأضافت: “صممنا نظامنا المغلق متعدد الطبقات للحد من الخسائر على العملاء الذين قد يتعرضون للاستهداف أو الاحتيال أو الاختراق على المستوى الشخصي”.
ولم ترد منصة BitcoinIRA رسميًا حتى وقت نشر هذا التقرير.
من هم الأطراف المعنية؟
أسس كريس كلاين ويوهانس هاز وكاميلو كونشا منصة BitcoinIRA قبل عشر سنوات في شيرمان أوكس بولاية كاليفورنيا، وفقًا لسجلات الأعمال. وتسوّق المنصة نفسها كخدمة “الأصلية” للاحتفاظ بالبيتكوين داخل حساب تقاعدي، وأعلنت أنها تدير أصولًا تزيد قيمتها عن 14 مليار دولار.
أما منصة iTrustCapital فقد تأسست في عام 2018 على يد تود ساوثويك وبليك سكادرون. وكان مقرها في لونج بيتش بكاليفورنيا عندما أعلنت عن جولة تمويل بقيمة 125 مليون دولار في يناير 2022.
وقد صرحت المنصة بأنها عالجت معاملات تراكمية تجاوزت 10 مليارات دولار عبر حوالي 53 ألف حساب، والآن يدّعي الموقع الرئيسي للمنصة أنها عالجت معاملات تجاوزت 17 مليار دولار عبر أكثر من 300 ألف حساب.
قاعدة بيانات كاليفورنيا للاختراقات لا تضم المنصتين
يقع المقر الرئيسي لكلتا المنصتين في كاليفورنيا، وهي الولاية التي شددت مؤخرًا قواعد الإفصاح عن خروقات البيانات. وتم توقيع القانون رقم 446 في أكتوبر 2025، ودخل حيز التنفيذ في يناير من هذا العام. ويمنح هذا القانون الجديد الشركات 30 يومًا لإخطار السكان بعد اكتشاف خرق بيانات كبير، كما تمنح 15 يومًا إضافيًا لإخطار النائب العام للولاية إذا تجاوز عدد المتضررين 500 نسمة.
ولا تظهر منصتا BitcoinIRA ولا iTrustCapital في هذا السجل. ورغم أن BitcoinIRA لديها عنوان في كاليفورنيا في سجلها المؤسسي، فإنها تدرج أيضًا مقر عمليات لاحقًا في نيفادا قد يعفيها من متطلبات هذا السجل.
ولكن هذا السجل ينشر فقط الاختراقات التي تتجاوز عتبة الـ500 متضرر، أو التي تعلنها الشركة طوعًا. لذلك، ورغم أن غيابهما ملفت للنظر، إلا أنه لا يشير بالضرورة إلى مخالفة.
متى وقع الاختراق المزعوم؟
التاريخ الدقيق لاختراق البيانات غير معروف، لكن ZachXBT يرجع تاريخ هجوم واحد على الأقل إلى يونيو 2026. وكتب المحقق في منشور بتاريخ 10 أغسطس عن مخترق يستخدم رسائل بريد إلكتروني مزيفة باسم BitcoinIRA يُزعم أنها حصل عليها من خلال ذلك الاختراق.
ويقول مركز مساعدة iTrustCapital إنه حتى إذا تم اختراق البريد الإلكتروني للعميل أو بطاقة SIM أو كلمة المرور أو تسجيل الدخول الثنائي، فإن العملات الرقمية “لا يمكن سحبها من حساب iTrustCapital لعدم وجود اتصال بالمحافظ الخارجية”.
الأسئلة الشائعة
س1: ما هي المعلومات التي تعرضت للاختراق في هذه الحادثة؟
ج: تشمل المعلومات التي تم الوصول إليها المحافظ الاستثمارية للعملاء، والتفاصيل البنكية، ومعلومات الأوصياء، وحالة التحقق من الحسابات الخاصة بعملاء منصتي BitcoinIRA وiTrustCapital.
س2: هل ردت المنصتان على هذه الاتهامات؟
ج: ردت iTrustCapital ونفت تعرضها لأي اختراق، وأكدت أن نظامها المغلق يمنع سحب الأصول حتى لو تم اختراق حسابات العملاء الشخصية. أما BitcoinIRA فلم ترد رسميًا حتى وقت نشر التقرير.
س3: ما هي الإجراءات التي تفرضها ولاية كاليفورنيا على الشركات عند اكتشاف خرق البيانات؟
ج: بموجب القانون الجديد رقم 446، يجب على الشركات إخطار السكان المتضررين خلال 30 يومًا من اكتشاف الخرق، وإخطار النائب العام خلال 15 يومًا إضافيًا إذا تجاوز عدد المتضررين 500 شخص.
