هکرها با حمله به بایننس رکورد بزرگ‌ترین سرقت رمزارزی را جابه‌جا کردند
به گزارش خبرگزاری آنا؛ حملات سایبری به زیرساخت‌های نگهداری دارایی‌های دیجیتال طی سال‌های اخیر به یکی از جدی‌ترین تهدید‌های صنعت رمزارز تبدیل شده‌اند، زیرا مهاجمان در صورت دستیابی به مجوز‌های انتقال دارایی می‌توانند مبالغ بسیار بزرگی را در مدت کوتاهی جابه‌جا کنند. تازه‌ترین حمله به بایننس که از نظر ارزش دارایی‌های منتقل‌شده بزرگ‌ترین سرقت رمزارزی ثبت‌شده تاکنون محسوب می‌شود، بار دیگر آسیب‌پذیری زیرساخت‌های عملیاتی صرافی‌ها را برجسته کرده است. برخلاف برخی حملات که از نقص قرارداد‌های هوشمند یا ضعف امنیتی یک شبکه بلاک‌چینی ناشی می‌شوند، شواهد اولیه این پرونده از دسترسی غیرمجاز به بخش‌هایی از زیرساخت داخلی صرافی و سوءاستفاده از مجوز‌های معتبر انتقال دارایی حکایت دارند. مهاجمان توانسته‌اند در جریان عملیاتی هماهنگ، دارایی‌های موجود در چندین کیف پول متصل به اینترنت را به نشانی‌های تحت کنترل خود منتقل کنند و بخش عمده سرقت را تنها در حدود ۲۰ دقیقه انجام دهند.
نفوذ به زیرساخت بایننس انتقال میلیارد‌ها دلار رمزارز را ممکن کرد
براساس بررسی‌های شرکت تحلیل بلاک‌چین TRM Labs، حمله در ۷ آبان انجام شده و مهاجمان دارایی‌هایی به ارزش تقریبی ۶٫۳۶ میلیارد دلار را از کیف پول‌های تحت کنترل بایننس خارج کرده‌اند. این انتقال‌ها در ۱۰ شبکه بلاک‌چینی از جمله بیت‌کوین، اتریوم، ترون، سولانا و XRP Ledger صورت گرفته‌اند و بخش اصلی عملیات در فاصله زمانی کوتاهی به پایان رسیده است. حجم دارایی‌های سرقت‌شده حدود ۴ برابر بیشتر از حمله ۱٫۵ میلیارد دلاری به صرافی بای‌بیت در سال ۲۰۲۵ است؛ حمله‌ای که پیش‌تر یکی از بزرگ‌ترین سرقت‌های تاریخ صنعت رمزارز به شمار می‌رفت. سرعت بالای جابه‌جایی دارایی‌ها و گستردگی شبکه‌های هدف نشان می‌دهد مهاجمان احتمالاً پیش از آغاز انتقال‌ها، مقدمات لازم برای اجرای عملیات را فراهم کرده بودند.
بایننس در نخستین توضیحات رسمی خود اعلام کرد که احتمالاً نفوذ اولیه از طریق لپ‌تاپ آلوده یکی از مهندسان بخش توسعه و عملیات یا DevOps صورت گرفته است. براساس این فرضیه، مهاجم پس از دستیابی به رایانه کارمند، توانسته به یک محیط اجرایی خدمات داخلی دسترسی پیدا کند و درخواست‌های برداشت غیرمجاز را به سامانه ارسال کند. با این حال، بررسی‌های بعدی نشان داده‌اند حمله پیچیده‌تر از سوءاستفاده از سطح دسترسی یک کارمند بوده و نقاط نفوذ دیگری نیز شناسایی شده‌اند. ریچارد تنگ، مدیرعامل مشترک بایننس، تأکید کرده که این اتفاق صرفاً نتیجه استفاده از مجوز‌های یک مهندس یا اجرای یک فرمان ساده نبوده و مهاجمان از فرایندی پیچیده برای دستیابی به دارایی‌ها استفاده کرده‌اند.
یکی از نکات مهم تحقیقات این است که تاکنون مدرکی درباره افشای کلید‌های خصوصی کیف پول‌ها شناسایی نشده است. کلید خصوصی در شبکه‌های بلاک‌چینی برای تأیید مالکیت و امضای تراکنش‌ها استفاده می‌شود و دستیابی مستقیم به آن معمولاً امکان انتقال دارایی را فراهم می‌کند. در این پرونده، شواهد اولیه بیشتر به سوءاستفاده از زیرساخت امضای تراکنش و مجوز‌های معتبر اشاره دارند، اما هنوز مشخص نیست مهاجمان چگونه توانسته‌اند اختیار لازم برای انجام برداشت‌ها را به دست آورند. بایننس وعده داده پس از تکمیل تحقیقات، گزارش فنی جامعی منتشر کند که مسیر نفوذ، عوامل مؤثر در گسترش حمله و ضعف‌های امنیتی شناسایی‌شده را توضیح خواهد داد.
قابلیت جدید اتریوم به انتقال سریع دارایی‌ها کمک کرد
یکی از پیچیده‌ترین بخش‌های حمله در شبکه اتریوم اتفاق افتاده است؛ جایی که مهاجمان با استفاده از قابلیت EIP-۷۷۰۲ توانسته‌اند کنترل عملیاتی یکی از کیف پول‌های داغ بایننس را به یک قرارداد هوشمند تحت اختیار خود منتقل کنند. این قابلیت که در سال ۲۰۲۵ به اتریوم اضافه شد، برای افزایش انعطاف‌پذیری حساب‌های معمولی طراحی شده و به آن‌ها اجازه می‌دهد با ارائه مجوز معتبر، بخشی از عملکرد خود را به یک قرارداد هوشمند واگذار کنند. چنین ساختاری در شرایط عادی می‌تواند انجام چند عملیات در یک تراکنش و استفاده از امکانات پیشرفته مدیریت حساب را آسان‌تر کند، اما در حمله اخیر به ابزاری برای تسریع انتقال دارایی‌ها تبدیل شده است.
براساس بازسازی فنی شرکت امنیتی Blockaid، مهاجمان پیش از اجرای حمله ۵۰ مجوز امضاشده را آماده کرده بودند که هرکدام به مقدار متفاوتی از شمارنده تراکنش‌های کیف پول وابسته بود. این شمارنده که در اتریوم با عنوان Nonce شناخته می‌شود، با هر تراکنش تغییر می‌کند و برای جلوگیری از اجرای تکراری درخواست‌ها اهمیت دارد. از آنجا که کیف پول هدف همچنان تراکنش‌های معمول خود را پردازش می‌کرد، مهاجمان نمی‌توانستند از مقدار دقیق شمارنده در زمان اجرای عملیات مطمئن باشند. به همین دلیل، مجموعه‌ای از مجوز‌ها با مقادیر متوالی آماده شد و در نهایت یکی از آن‌ها با وضعیت لحظه‌ای کیف پول مطابقت پیدا کرد. این مجوز به مهاجم اجازه داد عملکرد حساب موردنظر را به قراردادی منتقل کند که برای برداشت سریع دارایی‌ها طراحی شده بود.
پس از فعال شدن مجوز، مهاجم توانست حدود ۱۶۷ هزار و ۴۶۴ واحد اتریوم، نزدیک به ۱٫۶ میلیارد دلار تتر و بیش از ۶۰ نوع توکن دیگر را در یک تراکنش به ارزش تقریبی ۲٫۵ میلیارد دلار منتقل کند. استفاده از قرارداد هوشمند باعث شد جابه‌جایی مجموعه بزرگی از دارایی‌ها به‌جای اجرای ده‌ها تراکنش مستقل، با سرعت بیشتری انجام شود. با این حال، کارشناسان امنیتی تأکید کرده‌اند این اتفاق به معنای وجود نقص امنیتی ذاتی در قابلیت EIP-۷۷۰۲ نیست، زیرا فعال‌سازی آن همچنان به مجوزی نیاز دارد که با اختیار معتبر کیف پول امضا شده باشد. مسئله اصلی این است که مهاجمان چگونه توانسته‌اند چنین مجوز‌هایی را دریافت کنند و چرا سامانه‌های کنترلی صرافی مانع استفاده غیرمجاز از آن‌ها نشده‌اند.
تحلیل تراکنش‌ها همچنین نشان داده که برخی فرایند‌های خودکار انتقال دارایی در بایننس پس از آغاز حمله همچنان فعال بوده‌اند. این فرایند‌ها معمولاً موجودی نشانی‌های واریز مشتریان را به کیف پول‌های تجمیعی صرافی منتقل می‌کنند تا مدیریت برداشت‌ها و نقدینگی آسان‌تر شود. ادامه فعالیت آن‌ها در شرایطی که یکی از کیف پول‌های مقصد تحت کنترل مهاجم قرار گرفته بود، این احتمال را ایجاد کرد که دارایی‌های تازه نیز به همان محل منتقل شوند و امکان برداشت بیشتر فراهم شود. این موضوع نشان می‌دهد در کنار مسیر اصلی نفوذ، سرعت شناسایی رخداد و متوقف کردن فرایند‌های خودکار نیز نقش مهمی در محدود کردن خسارت حملات سایبری دارد.
شرکت‌های امنیتی ردپای هکرهای کره شمالی را شناسایی کردند
شرکت TRM Labs با اطمینان بالا اعلام کرده که الگوی حمله با فعالیت‌های گروه TraderTraitor ارتباط دارد؛ مجموعه‌ای که به کره شمالی نسبت داده می‌شود و پیش‌تر نیز در پرونده‌های بزرگ سرقت رمزارز مورد توجه قرار گرفته است. تحلیلگران به شباهت‌هایی میان روش آماده‌سازی حمله، استفاده از زیرساخت‌های انتقال دارایی و شیوه جابه‌جایی وجوه با عملیات‌های پیشین اشاره کرده‌اند. این گروه همچنین با شبکه گسترده‌تر هکری لازاروس ارتباط داده می‌شود که نام آن در تحقیقات مربوط به چندین حمله سایبری بزرگ مطرح شده است. با این حال، انتساب حمله اخیر به کره شمالی در این مرحله براساس ارزیابی شرکت‌های تحلیل بلاک‌چین انجام شده و بایننس هنوز هویت عاملان را به‌طور رسمی تأیید نکرده است.
یکی دیگر از شواهد مورد توجه محققان، ارتباط احتمالی دارایی‌های سرقت‌شده با حمله جداگانه‌ای به صرافی بیت‌گت است. زک‌ایکس‌بی‌تی، پژوهشگر شناخته‌شده حوزه بلاک‌چین، گزارش داده که بخشی از وجوه مربوط به حمله بایننس و سرقت ۳۸۸ میلیون دلاری از بیت‌گت پس از عبور از زیرساخت تبادل میان‌زنجیره‌ای THORChain به یک نشانی مشترک منتقل شده‌اند. چنین الگویی می‌تواند نشانه‌ای از ارتباط عاملان ۲ حمله باشد، اما به‌تنهایی برای اثبات هویت مشترک مهاجمان کافی نیست. شرکت‌های امنیتی همچنان در حال بررسی مسیر حرکت دارایی‌ها هستند تا مشخص شود چه مقدار از وجوه در نشانی‌های شناسایی‌شده باقی مانده و چه بخشی به مسیر‌های پیچیده‌تر انتقال وارد شده است.
کره شمالی طی سال‌های اخیر بار‌ها به استفاده از حملات سایبری علیه صرافی‌ها و شرکت‌های رمزارزی برای دستیابی به منابع مالی متهم شده است. برآورد‌های پیشین شرکت‌های تحلیل بلاک‌چین نشان می‌دهند ارزش دارایی‌های دیجیتال منتسب به این حملات در سال‌های گذشته به چندین میلیارد دلار رسیده است. مقام‌های پیونگ‌یانگ چنین اتهاماتی را رد کرده‌اند و آن‌ها را بخشی از ادعا‌های سیاسی آمریکا می‌دانند. در پرونده تازه نیز تعیین مسئولیت نهایی به تکمیل بررسی‌های فنی و شواهد قابل تأیید نیاز دارد، هرچند شرکت‌های امنیتی شباهت‌های قابل توجهی میان این عملیات و سرقت‌های پیشین منتسب به گروه‌های کره شمالی شناسایی کرده‌اند.
بایننس وعده جبران تمام خسارت کاربران را داده است
بایننس در واکنش به حمله اعلام کرده که مسئولیت مالی دارایی‌های سرقت‌شده را برعهده می‌گیرد و قصد دارد تمام زیان‌های مربوط به کاربران را از طریق صندوق حفاظت از دارایی کاربران (SAFU) و منابع مالی شرکت جبران کند. براساس تازه‌ترین اطلاعیه رسمی، این صرافی بیش از ۶٫۳۴ میلیارد دلار منابع مالی برای پوشش خسارت اختصاص داده و معادل بیش از ۵ میلیارد دلار از رمزارز‌های آسیب‌دیده را برای جایگزینی موجودی ازدست‌رفته تأمین کرده است. این رقم حدود ۸۰ درصد دارایی‌های موردنیاز را شامل می‌شود و خرید باقی‌مانده دارایی‌ها از بازار‌های معاملاتی و معاملات خارج از صرافی ادامه دارد. البته جایگزینی دارایی‌ها از منابع شرکت با بازیابی وجوه سرقت‌شده تفاوت دارد و نباید آن را به معنای بازگرداندن پول از مهاجمان دانست.
هم‌زمان، همکاری با ناشران استیبل‌کوین‌ها و مجموعه‌های فعال در شبکه‌های بلاک‌چینی باعث شده نزدیک به ۳ میلیارد دلار از دارایی‌های منتقل‌شده مسدود شوند. مسدود شدن این وجوه مانع جابه‌جایی یا استفاده آزادانه از آن‌ها می‌شود، اما به معنای بازگشت قطعی تمام دارایی‌ها به بایننس نیست و فرایند بازیابی همچنان ادامه دارد. صرافی همچنین مجوز‌های مرتبط با کیف پول‌های آسیب‌دیده را لغو کرده، کنترل‌های امنیتی بیشتری اعمال کرده و برداشت‌ها را به‌صورت موقت برای انجام بررسی‌های فنی متوقف کرده است. خدمات واریز و سایر بخش‌های آسیب‌ندیده پلتفرم همچنان فعال هستند و مسئولان شرکت اعلام کرده‌اند بازگشایی برداشت‌ها پس از اطمینان از امنیت سامانه‌ها به‌صورت مرحله‌ای انجام خواهد شد.
مدیران بایننس همچنین وعده داده‌اند گزارش تازه‌ای از ذخایر دارایی‌های کاربران منتشر کنند تا امکان بررسی وضعیت پشتوانه موجودی حساب‌ها فراهم شود. این اقدام در شرایطی اهمیت دارد که ارزش بالای سرقت نگرانی‌هایی درباره توان مالی صرافی و امنیت دارایی‌های نگهداری‌شده ایجاد کرده است. با وجود این، اطلاعات منتشرشده تاکنون نشانه‌ای از ورشکستگی مجموعه یا مشارکت آگاهانه کارکنان در حمله ارائه نکرده‌اند و فرضیه نفوذ از طریق تجهیزات و زیرساخت داخلی همچنان در دست بررسی است.
حمله اخیر علاوه بر ثبت رکوردی تازه در سرقت دارایی‌های دیجیتال، محدودیت‌های امنیتی زیرساخت‌های متمرکز نگهداری رمزارز را برجسته کرده است. گستردگی شبکه‌های هدف و استفاده از مجوز‌های معتبر نشان می‌دهد مهاجمان برای سرقت دارایی‌ها الزاماً به شکستن سازوکار رمزنگاری بلاک‌چین نیاز ندارند و دسترسی به سامانه‌های عملیاتی یک صرافی می‌تواند پیامد‌های مالی بسیار بزرگی داشته باشد. در شرایط فعلی، بخش مهمی از دارایی‌های سرقت‌شده مسدود شده و بایننس نیز منابع لازم برای جبران خسارت را اختصاص داده است، اما مسیر دقیق نفوذ و نحوه دستیابی مهاجمان به اختیار انتقال میلیارد‌ها دلار رمزارز همچنان از پرسش‌های اصلی تحقیقات محسوب می‌شود.
انتهای پیام/