هک ۶.۳ میلیارد دلاری بایننس/میانبری که ۴۰ درصد سرقت را ممکن کرد
به گزارش بورس نیوز، هکر‌هایی که هفته گذشته ۶.۳ میلیارد دلار از بایننس سرقت کردند، راهی برای به دست آوردن ۴۰ درصد از رمزارز سرقت شده در این حمله پیدا کردند و شانس دستگیری خود را کاهش دادند و این کار فقط ۱۵ دلار برایشان هزینه داشت.
به گزارش ایسنا، بررسی تراکنش‌های ثبت شده در بلاک‌چین اتریوم نشان می‌دهد که چگونه سارقان از یک ویژگی طراحی شده برای آسان‌تر کردن استفاده از کیف پول‌های ارز دیجیتال استفاده کردند. این ویژگی به یک حساب کاربری اجازه می‌دهد تا به جای اینکه برای هر انتقال نیاز به مجوز‌های جداگانه داشته باشد، به نرم‌افزار اجازه دهد تا پول را از طرف خود جابجا کند.
۱۵ دلار کارمزد، ۲.۵ میلیارد دلار سرقت در یک تراکنش
طبق اعلام شرکت امنیت بلاک‌چین «بلاک‌اید» (Blockaid)، هکر‌ها حدود ۱۵ دلار کارمزد شبکه پرداخت کردند تا این مجوز را برقرار کنند، سپس از آن برای سرقت تقریبا ۲.۵ میلیارد دلار در یک تراکنش واحد — ۴۰ درصد از کل مبلغ سرقت شده — استفاده کردند.
روز سه‌شنبه، خود بایننس یک جدول زمانی دقیق را ترسیم کرد و در آن نشان داد چگونه نفوذگران از آگهی‌های شغلی جعلی برای فریب یک مهندس برای دانلود کد مخرب استفاده کردند. طبق اعلام این صرافی، این یک «کارزار پیچیده و چند مرحله‌ای» بود که مملو از مهندسی اجتماعی، دستگاه‌های دستکاری‌شده و تکنیک‌های هوش مصنوعی بود.
پس از ورود، هکر‌ها یک «کیف پول گرم» معروف به «بایننس ۱۴» را هدف قرار دادند که این صرافی از آن برای پردازش برداشت‌های مشتری استفاده می‌کند، سوابق موجود در پلتفرم تحلیلی «اتراِسکن» نشان می‌دهد. این کیف پول کمی شبیه یک صندوق پول آنلاین است و از آنجا که بایننس بزرگترین صرافی رمزارز در جهان است، معمولا مقادیر زیادی اتر، استیبل کوین و ده‌ها توکن دیجیتال دیگر را در اختیار دارد.
میانبری که به گریز سریع‌تر کمک کرد
جابجایی این همه دارایی مختلف معمولا نیاز به یک سری انتقال جداگانه دارد که هر کدام زمان می‌برد و فرصتی دیگر برای سیستم‌های امنیتی ایجاد می‌کند تا اتفاق غیرمعمول را تشخیص دهند.
اما یک ارتقاء نرم‌افزار اتریوم معروف به EIP-۷۷۰۲ یک میانبر ارائه داد. قبل از این ارتقا در ماه مه ۲۰۲۵، یک کیف پول رمزارز ساده بیشتر شبیه یک حساب جاری بود که در آن مالک معمولا باید هر تراکنش را امضا می‌کرد. این ارتقا، قابلیتی شبیه به یک عملکرد پرداخت خودکار اضافه کرد و به یک کیف پول اجازه داد تا به نرم‌افزار این امکان را بدهد که از طرف آن عمل کند و چندین اقدام را با هم ترکیب کند.
«دن کاسپی»، هم‌بنیان‌گذار و مدیر ارشد فناوری در شرکت «هایپرنیتیو» (Hypernative)، می‌گوید: «در جریان یک حمله، هدف مدافع این است که سرعت مهاجم را کاهش دهد. اما استاندارد EIP-۷۷۰۲ به هکر‌ها کمک کرد تا سریع‌تر عمل کنند و حتی پس از آنکه بایننس متوجه نفوذ شد، همچنان کنترل کیف پول را در دست داشته باشند.»
مجوزی که با توقف برداشت لغو نشد
بر اساس گزارش این صرافی درباره حادثه، از آنجا که این مجوز در بستر شبکه اتریوم ثبت شده بود، غیرفعال کردن قابلیت برداشت یا توقف خدمات «کیف پول گرم» توسط بایننس، به‌طور خودکار موجب لغو آن مجوز نشد.
از آنجا که بخش واریز‌ها تحت تاثیر قرار نگرفته بود و جریان ورود دارایی به کیف پول «بایننس ۱۴» ادامه داشت، هکر‌ها همچنان می‌توانستند تراکنش‌های جدیدی را آغاز کنند. طبق گزارش شرکت اطلاعات بلاک‌چینی «الیپتیک» (Elliptic)، هکر‌ها در نهایت با استفاده از همان مجوز، مجموعا حدود ۳.۶ میلیارد دلار را خارج کردند. این مبلغ شامل همان ۲.۵ میلیارد دلار اولیه، به علاوه ۸۲۳ میلیون دلار برداشت‌شده از یک حساب دیگر بایننس و چهار مرحله تخلیه موجودی از کیف پول «بایننس ۱۴» بود.
پاسخ بایننس: لغو مجوز و بازسازی زیرساخت
سخنگوی بایننس تایید کرد که استاندارد EIP-۷۷۰۲ «نقش مهمی» در این هک ایفا کرده است و افزود: این صرافی اقداماتی را برای مقابله با ریسک ناشی از این آسیب‌پذیری انجام داده است. بایننس اعلام کرد: «ما مجوز دسترسی آسیب‌دیده را لغو کردیم، زیرساخت کیف پول آسیب‌دیده را بازسازی کردیم و کنترل‌های امضا و نظارت خود را برای رسیدگی به این نوع از ریسک مجوز به‌روزرسانی کردیم. این شامل سیاست‌های سختگیرانه‌تر در مورد تراکنش‌های از نوع مجوز، نظارت رفتاری پیشرفته، کنترل‌های اضافی در سطح تراکنش و رویه‌های لغو اضطراری می‌شود.»
سخنگوی بایننس گفت که بایننس همچنین اجرای کنترل‌های دسترسی را تقویت کرده است تا مسیر دسترسی مورد استفاده دیگر تکرار نشود و افزود: «وجوه کاربران همچنان محافظت شده باقی می‌ماند و بایننس تأثیر مالی این حادثه را متحمل شده است.»
از ساده‌سازی تا تشدید آسیب‌پذیری
این ماجرا نشان می‌دهد که چگونه ابزار‌هایی که برای ساده‌تر کردن حساب‌های ارز دیجیتال در نظر گرفته شده‌اند، می‌توانند پس از ورود یک نفوذگر، نقض را بسیار مخرب‌تر کنند.
بر اساس گزارش بلومبرگ، اف‌بی‌آی این حمله را که بزرگترین سرقت تاریخی رمزارز اعلام شده، به کره شمالی نسبت داده است. اما پیونگ‌یانگ هرگونه دخالتی را رد کرده است.