کالبدشکافی هک ۶.۳ میلیارد دلاری بایننس؛ بزرگترین سرقت سایبری تاریخ چگونه رقم خورد؟
صرافی ارز دیجیتال بایننس (Binance)، بزرگترین پلتفرم معاملاتی رمزارز در جهان، هدف یک حمله سایبری بی‌سابقه قرار گرفت که طی آن حدود ۶.۳ تا ۶.۳۶ میلیارد دلار دارایی دیجیتال از کیف پول‌های گرم (Hot Wallets) این صرافی خارج شد. این رخداد امنیتی با اختلافی چشمگیر نسبت به هک ۱.۵ میلیارد دلاری صرافی بای‌بیت (Bybit)، به عنوان بزرگترین سرقت مالی و سایبری در تاریخ صنعت کریپتو ثبت شده است.
بر اساس داده‌های درون‌زنجیره‌ای (On-chain) و بیانیه‌های رسمی، بخش عمده‌ای از این سرقت تنها در یک بازه زمانی ۲۰ دقیقه‌ای و در ۱۰ شبکه بلاک‌چینی مختلف به وقوع پیوست که نشان‌دهنده برنامه‌ریزی دقیق و از پیش تعیین‌شده مهاجمان است.
ابعاد مالی حادثه و مسدودسازی دارایی‌ها
مهاجمان در این حمله مجموعه‌ای از دارایی‌های مختلف را در شبکه‌های اتریوم، بیت‌کوین، سولانا، ریپل (XRP Ledger)، آربیتروم، آپتیمیزم و پالیگان هدف قرار دادند. برآوردهای اولیه موسسات تحلیلی نشان می‌دهد که بخش بزرگی از دارایی‌های سرقت‌شده شامل حدود ۱.۴۵ تا ۱.۵ میلیارد دلار بیت‌کوین، بیش از ۸۷۵ میلیون دلار اتریوم و بیش از ۲ میلیارد دلار انواع استیبل‌کوین بوده است.
بلافاصله پس از شناسایی فعالیت‌های مشکوک، بایننس تمامی واریزها و برداشت‌ها را به حالت تعلیق درآورد و با همکاری صادرکنندگان استیبل‌کوین و تیم‌های امنیتی بلاک‌چین، عملیات مسدودسازی دارایی‌ها را آغاز کرد:
- تتر (Tether) و سیرکل (Circle): به ترتیب حدود ۹۷۱ میلیون دلار USDT و ۸۲۳ میلیون دلار USDC را در کیف پول‌های مرتبط با هکر مسدود کردند.
- سایر صادرکنندگان و شبکه‌ها: شرکت‌های First Digital (صادرکننده FDUSD)، ریپل و شورای امنیت شبکه آربیتروم نیز بخش قابل توجهی از توکن‌های سرقتی را فریز کردند.
- مجموع دارایی‌های مسدودشده: تا این لحظه، بیش از ۳ میلیارد دلار از دارایی‌های به سرقت رفته به صورت درون‌زنجیره‌ای مسدود (Frozen) شده و از دسترس هکرها خارج شده است. با این حال، مهاجمان موفق شدند پیش از مسدودسازی کامل، با فروش بخشی از USDTها و وام‌گیری در پلتفرم Aave، حدود ۲.۴ میلیارد دلار دارایی را به اتریوم (بیش از ۴۲۰ هزار ETH) و بیت‌کوین (حدود ۱۸,۲۷۰ BTC) تبدیل کنند که امکان مسدودسازی متمرکز آن‌ها وجود ندارد.
خرید لایسنس ویندوز 11 اورجینال با کمترین قیمت
کالبدشکافی فنی: نفوذ از طریق لپ‌تاپ مهندس DevOps
برخلاف تصور اولیه مبنی بر لو رفتن کلیدهای خصوصی (Private Keys)، تحقیقات اولیه تیم امنیتی بایننس و شرکت امنیت بلاک‌چین Blockaid نشان می‌دهد که هیچ کلید خصوصی به سرقت نرفته است.
نقطه ورود مهاجمان:گزارش‌های اولیه بایننس حاکی از آن است که ریشه این نفوذ، آلوده شدن لپ‌تاپ یکی از مهندسان ارشد DevOps این شرکت بوده است. مهاجمان از این طریق توانستند به زیرساخت امضای تراکنش‌ها (Transaction-Signing Infrastructure) دسترسی پیدا کرده و درخواست‌های مشروع را دستکاری کنند.
سوءاستفاده هوشمندانه از قابلیت EIP-7702 در اتریوم:تحلیل‌های فنی نشان می‌دهد که هکرها روی شبکه اتریوم از قابلیت EIP-7702 (که به حساب‌ها اجازه می‌دهد اجرای تراکنش‌ها را به کدهای قرارداد هوشمند تفویض کنند) سوءاستفاده کرده‌اند:
- مهاجمان از قبل ۵۰ مجوز (Authorization) امضاشده را آماده کرده و در قالب یک تراکنش به سمت کیف پول گرم معروف به
Binance 14ارسال کردند. - با تطابق یکی از مجوزها با نانس (Nonce) حساب، کیف پول گرم بایننس عملاً به یک قرارداد هوشمند تخلیه‌کننده (Sweeper Contract) تحت کنترل هکر تفویض شد.
- تنها ۳ دقیقه و ۲۴ ثانیه پس از تغییر مجوز، اولین تخلیه بزرگ شامل ۱۶۷,۴۶۴ واحد اتریوم و ۶۳ تراکنش توکن‌های ERC-20 (شامل ۱.۶۱۵ میلیارد دلار USDT) به آدرس هکر منتقل شد. همچنین از طریق دسترسی این کیف پول به یک حساب هوشمند دیگر، ۷۸۰ تا ۸۲۳ میلیون دلار USDC از
Hot Wallet 34نیز تخلیه گردید.
متهم ردیف اول: هکرهای حکومتی کره شمالی
موسسات برجسته اطلاعات بلاک‌چین از جمله TRM Labs، Chainalysis و محقق شناخته شده ZachXBT با اطمینان بالا این حمله را به گروه هکری TraderTraitor (زیرمجموعه هکرهای تحت حمایت دولت کره شمالی و مرتبط با گروه لازاروس) نسبت داده‌اند.
الگوی این حمله شباهت بسیار زیادی به هک‌های قبلی این گروه (مانند هک بای‌بیت و Ginco) دارد که در آن‌ها هکرها با استفاده از مهندسی اجتماعی پیشرفته (مانند ارسال تست‌های کدنویسی آلوده در پوشش پیشنهادهای شغلی)، سیستم‌های توسعه‌دهندگان و مهندسان زیرساخت را آلوده کرده و زیرساخت امضای تراکنش‌ها را هدف قرار می‌دهند.
واکنش مدیران بایننس و تاثیر بر بازار
چانگ‌پنگ ژائو (CZ)، بنیان‌گذار بایننس، و ریچارد تنگ (Richard Teng)، مدیرعامل فعلی این صرافی، با انتشار بیانیه‌هایی ضمن تایید وقوع حمله، به کاربران اطمینان دادند که تمامی دارایی‌های کاربران امن است (SAFU). بایننس اعلام کرده است که تمامی خسارت‌های ناشی از این حمله را از طریق «صندوق دارایی امن برای کاربران» (SAFU) و ذخایر مالی شرکت جبران خواهد کرد و پس از پایان بررسی‌های امنیتی، گزارش اثبات ذخایر (Proof of Reserves) به‌روزرسانی‌شده و گزارش فنی کامل (Post-Mortem) را منتشر می‌کند. همچنین شعبه آمریکایی این صرافی (Binance.US) اعلام کرد که تحت تاثیر این حمله قرار نگرفته است.
انتشار خبر این هک شوک شدیدی به بازار ارزهای دیجیتال وارد کرد؛ به طوری که قیمت بیت‌کوین با افت حدود ۵ درصدی به زیر ۷۹,۰۰۰ دلار رسید، اتریوم ۶ درصد کاهش یافت و توکن بومی صرافی بایننس (BNB) نیز ریزش ۸ تا ۱۰ درصدی را تجربه کرد.
درس‌های امنیتی این رخداد برای زیرساخت‌های سازمانی
هک اخیر بایننس بار دیگر نشان داد که در معماری‌های امنیتی مدرن، حلقه ضعیف همواره کدهای رمزنگاری یا کلیدهای خصوصی نیستند، بلکه امنیت نقاط پایانی (Endpoint Security) و دسترسی‌های مهندسان زیرساخت (DevOps) است. نفوذ به سیستم یک توسعه‌دهنده و فریب دادن سرویس‌های امضای خودکار نشان می‌دهد که سازمان‌ها نیازمند پیاده‌سازی سیاست‌های سخت‌گیرانه‌تر در زمینه Zero-Trust، جداسازی کامل محیط‌های کاری روزمره از محیط‌های مدیریت زیرساخت حیاتی و پایش لحظه‌ای تغییرات مجوز (مانند تراکنش‌های EIP-7702) پیش از تایید نهایی در شبکه هستند.