هک بایننس: بزرگ‌ترین سرقت رمزارز تاریخ، ۶٫۳ میلیارد دلار و نزدیک به ۳ میلیارد مسدودشده

۶٫۳ میلیارد دلار دزدیده شد · نزدیک به ۳ میلیارد مسدود شد

روز پنج‌شنبه بایننس، بزرگ‌ترین صرافی رمزارز جهان، اعلام کرد که یک «حادثه‌ی امنیتی» حدود ۶٫۳ میلیارد دلار از دارایی‌های روی پلتفرمش را تحت تأثیر قرار داده است. اگر رقم درست باشد، این بزرگ‌ترین سرقت رمزارز در تاریخ است و از هک ۱٫۵ میلیارد دلاری بای‌بیت در فوریه‌ی ۲۰۲۵ هم جلو می‌زند. خبر خوب: نزدیک به ۳ میلیارد دلار از پول سرقت‌شده تا همین حالا روی بلاک‌چین مسدود شده است.

خلاصه‌ی ماجرا

رقم سرقت بسته به منبع کمی فرق می‌کند، چون روش قیمت‌گذاری دارایی‌ها یکی نیست:

از این مبلغ، Tether بیش از ۱٫۵۶۷ میلیارد USDT و Circle حدود ۸۰۰ میلیون USDC را مسدود کرده‌اند. سهم مسدودشده از کل سرقت (طبق ارقام Elliptic) این‌قدر است:

حمله چطور انجام شد؟

بایننس می‌گوید بررسی اولیه احتمالاً به لپ‌تاپ یک مهندس DevOps می‌رسد: مهاجم از آنجا به یک کانتینر سرویس رسیده و درخواست‌های برداشت غیرمجاز فرستاده است. بایننس تأکید می‌کند کلید خصوصی کیف‌پول‌ها لو نرفته و حمله «یک کلیکی» نبوده؛ بررسی‌ها نقطه‌های نفوذ دیگری هم پیدا کرده است.

ترفند ۵۰ مجوز

تحلیل TRM Labs یک نکته‌ی فنی جالب دارد. هر کیف‌پول شمارنده‌ای برای تراکنش‌هایش دارد (nonce) و هر مجوز فقط در یک شماره‌ی مشخص معتبر است. کیف‌پول داغ بایننس مدام برداشت پردازش می‌کند و شمارنده‌اش جلو می‌رود، پس مهاجم برای ۵۰ شماره‌ی پشت‌سرهم امضا آماده کرد تا یکی‌شان هنگام اجرا حتماً معتبر باشد:

# A simplified illustration of the idea (not real exploit code)
current_nonce = hot_wallet.nonce()          # the wallet's running transaction count
authorizations = [
    sign(delegate_to=sweeper, nonce=n)      # one pre-signed authorization per count
    for n in range(current_nonce, current_nonce + 50)
]
submit(authorizations)                      # whichever count is current when it runs is valid

جمع‌بندی Elliptic (خلاصه): مهاجم ظاهراً کلیدها را ندزدیده، بلکه توانسته خودِ سیستم‌های بایننس را وادار کند تراکنش‌های او را امضا کنند. رمزنگاری مشکلی نداشت؛ زیرساخت و آدم‌های اطراف کیف‌پول هدف بودند.

بایننس هنوز علت اصلی را منتشر نکرده است.

چه کسی پشت آن است؟

TRM Labs و Chainalysis با «اطمینان بالا» حمله را به گروه‌های وابسته به کره‌ی شمالی (TraderTraitor، گروه پشت هک بای‌بیت) نسبت می‌دهند. دلیل‌هایشان:

1. پول دزدیده‌شده‌ی بایننس و هک اخیر Bitget به یک آدرس اتریوم رفته است.

2. کیف‌پول مهاجم با چند برداشت کوچک از Tornado Cash شارژ شده است.

3. کد حمله پیش‌تر تست شده و تراکنش‌های از پیش امضاشده در یک ضربه اجرا شده‌اند.

Elliptic محتاط‌تر است: الگوی پولشویی این بار فرق دارد. مهاجم USDT دزدیده‌شده را ۳۷ دقیقه روی اتریوم و ۴۶ دقیقه روی ترون نگه داشته و از بازارسازها و پروتکل‌های وام‌دهی استفاده کرده، نه پل‌های بین‌زنجیره‌ای مثل بای‌بیت. Chainalysis هم الگوهای خودکار بی‌سابقه دیده است: هزاران تراکنش کوتاه که پول را بین آدرس‌ها می‌چرخاند.

چقدر مسدود شد و چقدر در دست مهاجم است؟

طبق Elliptic، ۲٫۸۴ میلیارد دلار مسدود شده، ولی مهاجم هنوز حدود ۳٫۳۳ میلیارد دلار دارد که هیچ صادرکننده‌ای نمی‌تواند مسدودش کند، چون بیت‌کوین، اتریوم، XRP و TRX است و در حدود ۴۳ آدرس پخش شده (۱۸٬۲۷۰ بیت‌کوین، ۵۱۱٬۸۶۱ اتریوم، ۲۳۳ میلیون XRP و ۶۷۰ میلیون TRX). روی بیت‌کوین، XRP Ledger، سولانا و NEAR هیچ‌چیز مسدود نشده است. نمودار زیر را تعاملی گذاشته‌ام؛ می‌توانی بین «دزدیده‌شده» و «مسدودشده» جابه‌جا شوی:

واکنش بایننس

• برداشت و واریز را متوقف و مجوز آدرس‌های درگیر را باطل کرده است.

• زیرساخت آلوده را مهار و کنترل‌های امنیتی تازه اضافه کرده است.

• با پلیس و شرکت‌های تحلیل بلاک‌چین برای ردیابی و بازگرداندن پول همکاری می‌کند و می‌گوید «مسئولیت کامل» را می‌پذیرد.

• هم‌مدیرعامل، ریچارد تنگ، گفته هنوز تحقیقات مسئولیت را به هیچ فردی نسبت نداده است.

برداشت من

منبع

گزارش The Hacker News (Ravie Lakshmanan، ۳۰ اکتبر ۲۰۲۶) و داده‌های Elliptic، TRM Labs و Chainalysis. نمودارها را من از روی ارقام Elliptic ساخته‌ام. خبر هنوز در حال تغییر است و ارقام ممکن است عوض شوند.