خبرگزاری آریا - تازه ترین تحقیقات نشان می دهد هکرهای بایننس، بزرگ‌ترین صرافی رمزارز جهان، با پرداخت تنها 15 دلار کارمزد شبکه توانستند حدود 2.5 میلیارد دلار از دارایی‌های دیجیتال سرقت‌شده را در یک تراکنش جابه‌جا کنند.
بررسی تراکنش‌های ثبت‌شده در بلاک‌چین اتریوم نشان می‌دهد سارقان از قابلیتی استفاده کردند که با هدف ساده‌تر کردن کار با کیف پول‌های ارز دیجیتال طراحی شده است. این قابلیت به یک حساب کاربری اجازه می‌دهد به‌جای تأیید جداگانه هر انتقال، مجوز جابه‌جایی دارایی را به نرم‌افزار دیگری واگذار کند.
شرکت امنیت بلاک‌چین «بلاک‌اید» اعلام کرده است که هکرها حدود 15 دلار کارمزد شبکه پرداخت کردند تا این مجوز را فعال کنند و سپس با استفاده از آن، نزدیک به 2.5 میلیارد دلار رمزارز را در یک تراکنش واحد انتقال دادند؛ رقمی که معادل 40 درصد از کل دارایی‌های سرقت‌شده در این حمله عنوان شده است.
بایننس روز سه‌شنبه جزئیات زمانی این حمله را منتشر کرد و توضیح داد که مهاجمان با انتشار آگهی‌های شغلی جعلی، یکی از مهندسان این صرافی را فریب دادند تا کد مخربی را دانلود کند. این صرافی این نفوذ را یک «کارزار پیچیده و چندمرحله‌ای» توصیف کرده که در آن از مهندسی اجتماعی، دستگاه‌های دستکاری‌شده و تکنیک‌های هوش مصنوعی استفاده شده است.
پس از نفوذ، هکرها کیف پول گرم موسوم به «بایننس 14» را هدف قرار دادند؛ کیف پولی که این صرافی از آن برای پردازش برداشت‌های مشتریان استفاده می‌کند. اطلاعات ثبت‌شده در پلتفرم تحلیلی «اتراسکن» نیز نشان می‌دهد این کیف پول در جریان حمله مورد هدف قرار گرفته است.
کیف پول گرم را می‌توان به صندوق پول آنلاین تشبیه کرد. از آنجا که بایننس بزرگ‌ترین صرافی رمزارز جهان است، این کیف پول معمولاً مقادیر زیادی اتر، استیبل‌کوین و ده‌ها توکن دیجیتال دیگر را در خود نگهداری می‌کند.
میانبری که به هکرها برای انتقال سریع‌تر دارایی‌ها کمک کرد
انتقال حجم زیادی از دارایی‌های دیجیتال و توکن‌های مختلف معمولاً به چندین تراکنش جداگانه نیاز دارد. هر انتقال زمان‌بر است و فرصت بیشتری در اختیار سامانه‌های امنیتی قرار می‌دهد تا فعالیت‌های غیرعادی را شناسایی کنند.
اما ارتقای نرم‌افزاری اتریوم با نام EIP-7702 میانبری برای این فرایند فراهم کرده است. پیش از اجرای این ارتقا در ماه مه 2025، کیف پول‌های ساده رمزارزی بیشتر شبیه حساب‌های جاری بودند و مالک معمولاً باید هر تراکنش را به‌صورت جداگانه امضا می‌کرد.
این ارتقا قابلیتی شبیه پرداخت خودکار به کیف پول اضافه کرد و به آن اجازه داد اختیار انجام برخی اقدامات را به نرم‌افزار دیگری واگذار کند؛ قابلیتی که امکان ترکیب چند عملیات را نیز فراهم می‌کند.
دن کاسپی، هم‌بنیان‌گذار و مدیر ارشد فناوری شرکت «هایپرنیتیو»، در این باره گفت: «در جریان یک حمله، هدف مدافع این است که سرعت مهاجم را کاهش دهد. اما استاندارد EIP-7702 به هکرها کمک کرد تا سریع‌تر عمل کنند و حتی پس از آنکه بایننس متوجه نفوذ شد، همچنان کنترل کیف پول را در دست داشته باشند.»
بر اساس گزارش بایننس درباره این حادثه، از آنجا که مجوز مورد استفاده مهاجمان در بستر شبکه اتریوم ثبت شده بود، غیرفعال کردن قابلیت برداشت یا توقف خدمات کیف پول گرم از سوی این صرافی، به‌طور خودکار باعث لغو آن مجوز نمی‌شد.
از سوی دیگر، بخش واریزها تحت تأثیر حمله قرار نگرفته بود و ورود دارایی به کیف پول «بایننس 14» همچنان ادامه داشت. در نتیجه، هکرها امکان آغاز تراکنش‌های جدید را حفظ کردند.
بر اساس گزارش شرکت اطلاعات بلاک‌چینی «الیپتیک»، مهاجمان در نهایت با استفاده از همان مجوز، مجموعاً حدود 3.6 میلیارد دلار دارایی را خارج کردند. این رقم شامل 2.5 میلیارد دلار اولیه، 823 میلیون دلار برداشت‌شده از یک حساب دیگر بایننس و چهار مرحله تخلیه موجودی از کیف پول «بایننس 14» بود.
سخنگوی بایننس تأیید کرد که استاندارد EIP-7702 «نقش مهمی» در این هک داشته است و گفت این صرافی اقداماتی را برای مقابله با ریسک‌های ناشی از این قابلیت انجام داده است.
بایننس اعلام کرد: «ما مجوز دسترسی آسیب‌دیده را لغو کردیم، زیرساخت کیف پول آسیب‌دیده را بازسازی کردیم و کنترل‌های امضا و نظارت خود را برای رسیدگی به این نوع از ریسک مجوز به‌روزرسانی کردیم. این اقدامات شامل سیاست‌های سخت‌گیرانه‌تر درباره تراکنش‌های مبتنی بر مجوز، نظارت رفتاری پیشرفته، کنترل‌های اضافی در سطح تراکنش و رویه‌های لغو اضطراری می‌شود.»
سخنگوی این صرافی همچنین گفت بایننس اجرای کنترل‌های دسترسی را تقویت کرده تا مسیر دسترسی مورد استفاده مهاجمان دوباره تکرار نشود. وی افزود: «وجوه کاربران همچنان محافظت‌شده باقی می‌ماند و بایننس تأثیر مالی این حادثه را متحمل شده است.»
این حمله بار دیگر نشان داد ابزارهایی که با هدف ساده‌سازی استفاده از کیف پول‌های رمزارزی طراحی می‌شوند، در صورت نفوذ مهاجمان به زیرساخت‌های مرتبط، می‌توانند دامنه خسارت را به‌شدت افزایش دهند.
بر اساس گزارش بلومبرگ، اف‌بی‌آی این حمله را که بزرگ‌ترین سرقت رمزارزی تاریخ توصیف شده، به کره شمالی نسبت داده است؛ با این حال، پیونگ‌یانگ هرگونه دخالت در این حمله را رد کرده است.