نظام الامتثال نفسه.. ساحة الاختراق

نظام الامتثال أصبح سطح الهجوم

في عام 2026، تحوّل المسار المنظّم والمدقّق والمرخّص بالكامل، الذي يثبت من خلاله مستخدمو العملات المشفّرة هويتهم الحقيقية، إلى آلة تنتج روتينياً مجموعات بيانات يعجز السوق الإجرامي عن تجميعها بمفرده، مهما بلغت التكاليف أو حجم عمليات التصيّد الاحتيالي أو تجنيد المطلعين. هذه هي الحقيقة الهيكلية التي يدور حولها هذا المقال. جهاز KYC، المُباع للمشرّعين والجمهور على أنه نظام لمنع الاحتيال، أصبح في بنيته الحالية أكبر مساهم فردي في مخزون سرقة الهوية في تاريخ الإنترنت الاستهلاكي. والسبب ليس سوء نية من مورد بعينه، بل الهندسة البسيطة للتمركز؛ فعدد قليل من المزوّدين المتخصصين يجلسون الآن أمام سجلات هوية موثّقة لجزء هائل من مستخدمي العملات المشفّرة حول العالم، وعند اختراق أي منهم، تُقاس الخسارة بمئات الملايين من السجلات دفعة واحدة. الحجة هنا ليست أن قواعد AML خاطئة في المبدأ، بل أن الشكل المؤسسي المحدد الذي اتخذته هذه القواعد، والذي يوجّه كل تدفق تسجيل عبر حفنة من المزوّدين، أنتج نقطة فشل واحدة متوقعة ومتنبأ بها، وقد تحققت الآن. عام 2026 هو العام الذي حان فيه وقت الدفع.

خمس حوادث، بالترتيب

• Cryptomus، 16 أكتوبر 2025. فرضت FINTRAC، الجهاز التنظيمي الكندي للاستخبارات المالية، غرامة قدرها 176 مليون دولار على Xeltox Enterprises، مشغّل معالج الدفع Cryptomus، وذلك لما أبلغت عنه Krebs on Security كفشل شامل في تقديم تقارير النشاط المشبوه على معاملات ربطها باحثون مراراً بشركات البرمجيات الخبيثة وأسواق بيانات الاعتماد المسروقة. المتجه هنا ليس اختراق بيانات بالمعنى التقني، بل العكس تماماً؛ نقطة اختناق منظمة فشلت في أن تكون نقطة اختناق على الإطلاق. ذات المشكلة الهيكلية، لكن بالعرض المعاكس. تناولنا هذه الغرامة بالتفصيل في [مقالنا عن Cryptomus](/articles/cryptomus-vancouver-shell).

• Sumsub، أوائل 2026. مورد الامتثال الذي تضمّ قائمة عملائه المعلنة Bitget وBitpanda وBybit وHuobi وWirex كان موضوع إفصاح عن اختراق، يشمل وفق تقديرات تعتمد على قاعدة مستخدمي كل منصة، سجلات هوية موثّقة لما بين خمسة عشر وأربعين مليون متداول. الضرر صعب التحديد بدقة، إذ لكل منصة نزولية حوافز للتقليل، ولSumsub نفسه حوافز لتضييق النطاق، لكن الحقيقة المركزية تبقى أن اختراق مورد واحد تتسلسل عبر خمس منصات رئيسية في آن واحد.

• IDMerit، الإفصاح في 18 فبراير 2026. مليار سجل، ست وعشرون دولة، أسماء قانونية كاملة مرتبطة بأرقام هوية وطنية وبيانات وصفية للاتصالات وسجلات قرارات AML توثّق سبب الموافقة على كل عميل أو تحذيره. أظهر تقرير الحادث الصادر عن Bright Defense والمتابعة التي نشرتها Cybernews أن المجموعة المكشوفة شملت ليس المدخلات المحددة للهوية الشخصية فحسب، بل أيضاً النتائج المهيكلة لمكافحة غسل الأموال التي اعتمدتها المؤسسات النزولية. وهذا يعني أن التسريب قابل للاستخدام المزدوج؛ يحصل المجرمون على الهوية، ويحصلون أيضاً على إجابة الامتثال التي ستنتجها هذه الهوية. يتناول [تحليلنا العميق لـ IDMerit](/articles/idmerit-billion-kyc-sim-swap) مخطط السجلات بالتفصيل.

• تسريب مسؤول Kraken المزعوم، مارس 2026. أبلغت TorNews أن بائعاً في الويب المظلم يعرض وصولاً إدارياً للقراءة فقط إلى ملفات المستخدمين وسجل المعاملات الكامل وأرشيف تذاكر الدعم ومستندات KYC المرفوعة من منصة تبادل رئيسية حُدّدت في القائمة بأنها Kraken. لم تؤكد المنصة التقرير، ونعامله على أنه مزعوم. ندرجه هنا لأنه، مؤكد أو لا، القائمة متسقة مع النمط؛ المنتج الأعلى قيمة في السوق الإجرامي لعام 2026 لم يعد يتكون من بيانات بطاقات الائتمان، بل من حزم هوية موثّقة بدرجة منصة تبادل.

• ثغرة توافق Zcash Orchard، 29 مايو 2026. مجال مختلف، نمط فشل مختلف، ويمكن القول مقال مختلف، لكن الدرس يتشابه. بدائية Orchard للخصوصية، التي يعتمد عليها جزء غير تافه من اقتصاد عملات الخصوصية، صدرت بثغرة نجت من عمليات تدقيق متعددة، لأن عدد علماء التشفير المؤهلين لمراجعة كود دوائر zk-SNARK محدود، وسوق التدقيق لهذا العدد ضعيف. البدائيات الحرجة التي تعتمد على عدد قليل من الأعين المؤهلة تفشل بالطريقة الهيكلية نفسها التي تفشل بها البنية التحتية للامتثال الحرجة التي تعتمد على عدد قليل من المزوّدين المؤهلين. ناقشنا حادث Orchard في [مقالنا عن تدقيق البدائيات](/articles/zcash-orchard-4-years-undetected).

لماذا التخصص يضاعف المخاطر

الدفاع القياسي عن البنية الحالية يقول إن المزوّدين المتخصصين يؤدون الامتثال بشكل أفضل مما يمكن لأي منصة أن تفعله داخلياً، وبالتالي فإن تجميع التسجيل عبر المتخصصين يحسّن متوسط جودة النتائج. هذا صحيح، على الأرجح، بالمعنى التقني الضيق لمعدلات الإيجابيات الخاطئة ووقت اتخاذ القرار. وهو أيضاً لا يتعلق بالسؤال الذي يهم فعلاً، ألا وهو المخاطر الذيلية لاختراق مورد واحد. التخصص يحسّن المتوسط ويضعف الذيل في آن واحد، والمنظّم الذي ينظر فقط إلى متوسط جودة الامتثال سيكافئ بالضبط التجميع الذي ينتج أسوأ النتائج الذيلية. تحديث FATF لعام 2025 حول مزوّدي خدمات الأصول الافتراضية، في لغته التوجيهية حول "التطبيق المتسق" لإجراءات العناية الواجبة بالعملاء، يوصي بنشاط بنوع التقييس الذي يقوده المزوّد والذي ينتج هذا التمركز. MiCA في الاتحاد الأوروبي، ولوائح TFR، وقانون GENIUS Act في الولايات المتحدة، كلها تدفع، بالتصميم وبنية الإعفاءات، نحو عدد قليل من جهات الامتثال المعتمدة. النظام مركزي ليس بالصدفة، بل لأن أرخص طريق للامتثال التنظيمي المثبت هو الاستعانة بمزوّد قدّم المنظّم له بركة ضمنية بالفعل.

السجل التاريخي كان مكتوباً على الحائط

يحتفظ مستودع etheralpha/kycisbad، منذ عام 2019، بدفتر عام لعمليات التسريب والاختراق المتعلقة بـ KYC. توثّق الإدخالات ما قبل 2025 وحدها أكثر من عشرة حوادث في منصات التبادل والمحافظ ومزوّدي الهوية المخصصين، بدءاً من تسريب بريد BitMEX في 2019، مروراً بقائمة دائني Celsius في 2022، وحادث بائع دعم Gemini في 2024. النمط المرئي عبر تلك السنوات ليس أن مزوّداً ما كان مهملاً بشكل فريد، بل أن مساحة السطح المحددة بـ "الأماكن التي تكون فيها سجلات الهوية الموثّقة في حالة راحة" تنمو بشكل أحادي كل ربع سنة، وأن احتمال أن لا يتم اختراق أي من تلك الأماكن في أي نافذة اثني عشر شهراً أصبح الآن صفراً فعلياً. حوادث 2026 ليست فئة جديدة من الفشل، بل استمرار متوقع لاتجاه متعدد السنوات جعل البنية التنظيمية أسوأ بشكل مطرد.

ما يكلفه مسرح الامتثال فعلاً

أجرِ الحساب بأمانة. مجموعة IDMerit وحدها، مُسعّرة بسعر السوق المظلم لسجلات الهوية الموثّقة مع بيانات وصفية لـ AML، تساوي أكثر في السوق الإجرامي من أي عملية برمجيات خبيثة فردية حققت إيرادات في عام 2025 بأكمله. هذا اختراق واحد. اقسِم على ذلك الفائدة الهامشية لـ AML، المقاسة كحجم إضافي من الأموال غير المشروعة المكتشفة على طبقة مورد KYC بدلاً من طبقة مراقبة المعاملات في المنصة، ويبدو التبادل، في أرقام صريحة، كارثياً. الصياغة الصادقة هي أن النظام يفرض رفعاً شبه مؤكد لسرقة الهوية على نطاق صناعي على قاعدة المستخدمين، مقابل تحسين هامشي في إشارة AML يمكن لنفس المنصات أن تنتجه من تحليلات السلسلة دون تجميع مجموعة الهوية خارج السلسلة على الإطلاق.

ما يغيره هذا بالنسبة للدليل

نتخذ ثلاث خطوات تحريرية رداً على ذلك. أولاً، ننشر، كمشروع مستمر، خريطة المزوّدين KYC حسب المنصة، بحيث يمكن للمستخدم الذي يقيم منصة تبادل أن يرى أي مورد امتثال سينتهي بحفظ مستنداته، ويمكنه اتخاذ قرار المخاطرة الواضح بنفسه. ثانياً، نرفع في نظام تصنيفنا تلك المنصات التي توجّه الهوية عبر مفاتيح يحتفظ بها المستخدم، أو مخططات إثبات الشخصية، أو شهادات المعرفة الصفرية، على أساس صريح بأن اللامركزية في طبقة تخزين الهوية أصبحت الآن خاصية أمان من الدرجة الأولى وليست تفضيلاً تشفيرياً متخصصاً. ثالثاً، وهذا هو الموقف التحريري الذي سيعتنقه الدليل مطبوعاً حتى تتغير الأدلة، نجادل بأن الإجابة السياسية ليست التخلي عن التزامات AML بل تفكيك البنية التحتية المركزية للمزوّدين التي أنتجتها هذه الالتزامات. يجب أن يتوقف سؤال المنظّم عن "هل قامت المنصة بالتحقق من المستخدم"، ويبدأ في "هل قامت المنصة بالتحقق من المستخدم دون إنتاج نسخة من هويته يمكن للمهاجم سرقتها". هذان سؤالان مختلفان، وفقط أحدهما له إجابة قابلة للدفاع في عام 2026.

المصادر

• Krebs on Security، كندا تغرم Cryptomus الصديقة للجرائم الإلكترونية 176 مليون دولار (أكتوبر 2025)
• Cybernews، تسريب بيانات عالمي يكشف مليار سجل (فبراير 2026)
• Bright Defense، تحليل اختراق بيانات IDMerit
• TorNews، تسريب وصول إداري داخلي لـ Kraken على الويب المظلم
• etheralpha/kycisbad، السجل التاريخي لتسريبات KYC
• FATF، التوجيه المحدث للنهج المبني على المخاطر للأصول الافتراضية وVASPs، مراجعة 2025.
• NoKYC Directory، [عقوبات FINTRAC لـ Cryptomus](/articles/cryptomus-vancouver-shell)
• NoKYC Directory، [IDMerit: مليار سجل وما احتوته فعلياً](/articles/idmerit-billion-kyc-sim-swap)

سجل التعديل

• 2026-04-22 : سحب مستودع etheralpha/kycisbad، تدوين ملاحظات على الحوادث ما قبل 2025 لإثبات النمط الطويل.
• 2026-05-04 : التحقق المتقاطع لقائمة عملاء Sumsub مقابل تقديرات عدد مستخدمي Bitget وBybit وHuobi من CoinGecko لتحديد نطاق حجم التسلسل.
• 2026-05-17 : قراءة تحديث FATF 2025 حول مزوّدي خدمات الأصول الافتراضية، تدوين ملاحظات على لغة التوصية بالتمركز لقسم الآلية الهيكلية.
• 2026-05-28 : صياغة قسم "مسرح الامتثال"، حذف ثلاث فقرات انحرفت نحو الخطابة وإعادة كتابتها مع مصادر صارمة ضد إيداعات IDMerit وCryptomus.
• 2026-06-04 : مرور نهائي، إزالة الشرطات الطويلة في جميع أنحاء النص، إضافة روابط متقاطعة داخلية للمقالات #2 و#3، ضغط فقرة الحكم إلى التزام تحريري من ثلاث خطوات.