در پشت پرده هک جنون‌آمیز بایننس، بزرگ‌ترین صرافی جهان، چه گذشت و هکرها چگونه بزرگ‌ترین سرقت تاریخ کریپتو را رقم زدند؟
صبح روزی که قرار بود بغداد سقوط کند، نیروهای صدام سه تریلی را جلوی بانک مرکزی عراق پارک کردند و چند ساعت عرق ریختند تا یک میلیارد دلار اسکناس را بار بزنند. اما در عصر بلاکچین، رکوردها جور دیگری جابه‌جا می‌شوند؛ بدون شلیک گلوله و بدون اینکه قطره‌ای خون از دماغ کسی بیاید.
پنجشنبه شب گذشته وقتی بسیاری از ما خواب بودیم، گروهی جرعه‌ای قهوه نوشیدند و تنها با چند ضربه روی کیبورد بیش از ۶.۳ میلیارد دلار از خزانه بایننس غارت کردند. پشت پرده این ۲۰ دقیقه جنون‌آمیز، داستانی است که امنیت تمام دارایی‌های دیجیتال ما را به چالش می‌کشد.
بیست دقیقه در دالان وحشت
هکرها برای این عملیات، بی‌گدار به آب نزده بودند و همه‌چیز مثل یک سمفونی دقیق و برنامه‌ریزی‌شده پیش می‌رفت. آن‌ها با سرویس میکسر «تورنادو کش» اتریوم لازم برای کارمزدها را به آدرس‌هایشان واریز کردند و قراردادهای هوشمند مخربشان را روی شبکه کاشتند. ساعت که به حوالی ۸ شب رسید کلید شروع را زدند.
در دفتر بایننس اوضاع کاملاً عادی به نظر می‌رسید. مهندسان شیفت در سکوت به ترافیک سرورها نگاه می‌کردند که نخستین هشدار روی شبکه ریپل بالا آمد: خروج ناگهانی ۲۳۳ میلیون واحد XRP. هنوز کسی عمق فاجعه را نفهمیده بود که چند دقیقه بعد ضربه دوم به شاهرگ اصلی وارد شد: خروج ۱۸٬۲۷۰ بیت‌کوین با ارزش ۱٫۵ میلیارد دلار، در یک تراکنش برق‌آسا از دست رفت.
سکانس وحشتناک اصلی ساعت ۲۰:۲۴ اکران شد. ۲٫۵۳ میلیارد دلار دارایی روی یکی از کیف‌پول‌های اصلی بایننس در شبکه اتریوم ناگهان از دست رفت. لحظه‌ای بعد نوبت به شبکه‌های ترون، سولانا، آربیتروم، بیس و پالیگان رسید. درست در ۲۰ دقیقه، کار تمام شده بود.
حدود ۳ ساعت بعد و در حالی که بایننس مشغول بستن راه‌های نفوذ بود، کیف‌پول دیگری هم ۱۷۴ میلیون دلار تتر را به آدرس هکرها فرستاد تا مشخص شود دسترسی مهاجمان عمیق‌تر از تصورات اولیه بوده است.
با این حساب ارزش کل دارایی سرقت‌شده از ۶.۳ میلیارد دلار فراتر رفت. برای اینکه مقیاس این عدد دستتان بیاید، باید بدانید هکرهای منتسب به کره شمالی در این همه سال ۶ میلیارد دلار سرقت نکرده بودند.
بایننس بلافاصله واریز و برداشت‌ها را متوقف کرد. مدیرعامل صرافی مقابل دوربین نشست و قول داد که تمام خسارت‌ها از صندوق اضطراری بایننس (SAFU) و دارایی‌های شرکت جبران می‌شود و پول هیچ کاربری از بین نرفته است. اما سؤالی که خواب را از چشم متخصصان امنیت سایبری پراند، مقدار پول سرقت‌شده نبود؛ بلکه روش سرقت بود.
مهاجمان چطور به زیرساخت بایننس دسترسی پیدا کردند؟
اولین بیانیه‌های بایننس به یک سرنخ آشنا اشاره داشت: لپ‌تاپ هک‌شده یکی از مهندسان بخش عملیات توسعه (DevOps). اما هرچه زمان بیشتری گذشت، بیشتر مشخص شد که این یک نفوذ ساده با یک کلیک اشتباه نبوده است. مدیران بایننس بعداً اعتراف کردند که نقاط نفوذ دیگری هم در این حمله پیچیده وجود داشته و پای یک سیستم خودتخریب‌گر در میان بوده که ردپای هکرها را حین اجرای عملیات پاک می‌کرده است.
اینجا باید به یک تفاوت فنی بسیار مهم و حیاتی اشاره کنیم. وقتی حرف از هک کیف پول به میان می‌آید، اولین چیزی که به ذهن می‌رسد لو رفتن «کلید خصوصی» است. کلید خصوصی در دنیای رمزارزها حکم رمز کارت بانکی را دارد. بایننس با قاطعیت اعلام کرده که هیچ مدرکی دال بر لو رفتن کلیدهای خصوصی پیدا نکرده. شرکت‌های تحلیل بلاکچین هم این ادعا را تأیید می‌کنند. پس چطور پول‌ها جابه‌جا شدند؟
پاسخ در «سیستم امضا» نهفته است. هکرها توانسته بودند به هسته مرکزی سیستم تأیید تراکنش‌های بایننس نفوذ کنند و ماشین امضای این صرافی را مجبور کنند تا تراکنش‌های دلخواه آن‌ها را روی شبکه‌های مختلف تأیید کند. در نتیجه روی شبکه بلاکچین و لجر، امضای تراکنش‌های سرقتی معتبر و قانونی به نظر می‌رسید.
جادوی سیاه EIP-7702؛ چگونه کیف‌پول بایننس علیه خودش برنامه‌نویسی شد؟
هکرها در شبکه‌هایی مثل بیت‌کوین و ترون از سیستم امضای بایننس برای خروج پول استفاده کردند، اما در شبکه اتریوم، از یک ترفند فوق‌العاده هوشمندانه کمک گرفتند. از سال ۲۰۲۵ توسعه‌دهندگان اتریوم برای اینکه کار با کیف‌پول‌ها راحت‌تر شود و کاربر مجبور نباشد برای هر تراکنش ساده دائم درگیر جزییات فنی باشد، قابلیتی به نام EIP-7702 ساختند تا حساب کاربری بتواند اختیاراتش را در قالب وکالت‌نامه موقتاً به یک قرارداد هوشمند واگذار کند.
هکرها از همین قابلیت برای خالی کردن یکی از گنجینه‌های اصلی بایننس معروف به «Binance 14» استفاده کردند. هر تراکنش اتریوم یک رقم شمارنده یا نانس (Nonce) دارد. وکالت‌نامه فقط در صورتی معتبر است که شماره آن دقیقاً با شماره تراکنش بعدی کیف‌پول یکی باشد. از آنجا که کیف‌پول بایننس ثانیه‌ای ده‌ها واریز و برداشت کاربران را ثبت می‌کرد، هکر نمی‌توانست حدس بزند شماره بعدی دقیقاً چند است.
آن‌ها با دسترسی به سامانه‌های داخلی، ۵۰ مجوز متوالی با شماره‌های ترتیبی صادر کردند تا بالاخره یکی از آن‌ها با وضعیت تراکنش کیف‌پول جفت شود. به محض فعال شدن مجوز، کیف‌پول بایننس تحت فرمان هکر درآمد و دارایی فعلی و واریزهای بعدی مثل جاروبرقی به حساب هکر کشیده شدند.
تیم فنی بایننس برای اینکه جلوی این جاروبرقی را بگیرد، ساعت‌ها در آشفتگی دست‌وپا زد. آن‌ها باید دستوری با کارمزد بسیار بالاتر می‌فرستادند تا اختیارات واگذارشده را لغو کنند. این کار سرانجام ساعت ۰۰:۱۰ بامداد روز بعد انجام شد، اما کار از کار گذشته بود و خزانه تا آخرین قطره مکیده شده بود. قابلیتی که برای راحتی کاربران طراحی شده بود، به دلیل ضعف در لایه دسترسی، استخوانی در گلوی خود صرافی شد.
سرنوشت پول‌های مسروقه چه می‌شود؟
صبح روز بعد، وقتی خبرها پخش شد، بایننس اعلام کرد که با همکاری شرکت‌های بزرگ رمزارزی موفق شده جلوی جابه‌جایی حدود ۴۴ درصد پول‌ها (نزدیک به ۲٫۸۵ میلیارد دلار) را بگیرد. غول‌های استیبل‌کوین مثل تتر، سرکل و بنیاد ریپل به سرعت دست به کار شدند و آدرس‌های سارق را در لیست سیاه نشاندند. شبکه‌های لایه دوم مثل آربیتروم و آپتیمیزم هم تمام دارایی‌های موجود روی زنجیره خود را قفل کردند.
اما نباید گول واژه‌ها را خورد؛ مسدود شدن پول به معنای بازگرداندن آن به حساب بایننس نیست. در دنیای کریپتو دو دسته دارایی داریم:
- توکن‌های متمرکز: استیبل‌کوین‌هایی مثل تتر (USDT) و یواس‌دی‌سی (USDC) و توکن‌های متمرکز که توسط یک شرکت متمرکز مدیریت می‌شوند. شرکت می‌تواند آدرس‌های خاصی را در لیست سیاه قرار دهد تا پول در آن‌ها فریز شود.
- رمزارزهای نامتمرکز: بیت‌کوین، اتریوم، ریپل و ترون هیچ نهاد مرکزی ندارند. هیچ فرد یا شرکتی در دنیا وجود ندارد که بتواند جلوی انتقال بیت‌کوین‌ها را در شبکه بگیرد یا موجودی یک آدرس را قفل کند.
فریز شدن یعنی پول در کیف‌پول دزد قفل شده و او نمی‌تواند خرجش کند، اما هنوز به جیب بایننس هم برنگشته است. برای اینکه صادرکننده‌ها توکن‌های مسدودشده را بسوزانند (Burn) و معادلش را دوباره ضرب (Mint) کرده و به بایننس تحویل بدهند، باید روندهای پیچیده قضایی پشت سر گذاشته شود.
جدول زیر نحوه توزیع دارایی سرقت‌شده را نشان می‌دهد:
| شبکه / دارایی | حجم غارت‌شده (تقریبی) | واکنش و وضعیت مهار |
| اتریوم | ۳٫۸۰ میلیارد دلار (شامل ۱۸۶ توکن مختلف) | بخشی از استیبل‌کوین‌ها مسدود شد |
| بیت‌کوین | ۱٫۴۸ میلیارد دلار (۱۸٬۲۷۰ بیت‌کوین) | از نظر فنی قابل مسدودسازی نیست |
| ترون | ۶۱۲٫۷ میلیون دلار (عمدتاً تتر) | فریز سریع توسط شرکت تتر |
| ریپل | ۲۳۳ میلیون واحد XRP | صفر درصد مسدودسازی |
| سولانا و نیر | ده‌ها میلیون دلار از توکن‌های بومی | بدون فریز موفق |
| آربیتروم و آپتیمیزم | بیش از ۱۰۰ میلیون دلار استیبل‌کوین | ۱۰۰ درصد مهار شد (اقدام سریع شوراها) |
شگرد زیرکانه هکرها برای پول‌شویی
سارقان قبل از اینکه موج فریزها برسد، حدود ۷۸۶ میلیون دلار از استیبل‌کوین‌ها را در صرافی‌های غیرمتمرکز به اتریوم و ترون تبدیل کردند. آن‌ها حتی تن به تخفیف‌های سنگین ۲۶ درصدی دادند تا دارایی سریع‌تر تبدیل شود. کسی که چند میلیارد دلار بادآورده در دست دارد، برایش مهم نیست که چند صد میلیون دلار را به عنوان هزینه فرار از مهلکه بسوزاند.
بخشی از سرمایه هم وارد پلتفرم‌های وام‌دهی مثل آوه (Aave) شد؛ هکرها پول سرقتی را گرو گذاشتند، در ازای آن ارز تمیز وام گرفتند و به همین سادگی رد پای دزدی را در شبکه بلاکچین پاک کردند.
تحلیل‌های شرکت Elliptic نشان می‌دهد که هکرها روی شبکه ترون، ۵۴۶ تراکنش پیچیده را با فاصله زمانی متوسط ۹۶ ثانیه انجام داده‌اند. هیچ انسانی نمی‌تواند با این سرعت و دقت صدها تراکنش را بدون خطا در صرافی‌های مختلف بچرخاند؛ آن‌ها از قبل اسکریپت‌ها و ربات‌های پول‌شویی اختصاصی برای این شب نوشته بودند.
درحال‌حاضر مهاجمان حدود ۳.۲۱ میلیارد دلار دارایی شامل اتریوم، بیت‌کوین، ریپل و ترون را در اختیار دارند که هیچ‌کس در دنیا نمی‌تواند آن‌ها را فریز کند. آن‌ها بیت‌کوین‌ها را بین ۱۹ آدرس تقسیم کرده‌اند و منتظرند تا در زمان مناسب آن‌ها را پول‌شویی کنند.
عاملان حمله؛ چرا همه نگاه‌ها به کره شمالی است؟
بایننس می‌گوید تحقیقات برای یافتن مقصر واقعی ادامه دارد. شرکت‌های بزرگ ردیابی بلاکچین (مثل Elliptic) با بررسی شواهد، انگشت اتهام را به سمت گروه هکری «TraderTraitor» که وابسته به دولت کره شمالی است، نشانه رفته‌اند. اما چرا کره شمالی؟
- الگوی پول‌شویی: دستکاری کدهای امضا، هدف قرار دادن کارکنان کلیدی و انتقال‌های لایه‌به‌لایه با ربات‌های خودکار، امضای همیشگی هکرهای کره شمالی است.
- ترکیب با پول‌های سرقتی دیگر: بخشی از دارایی دزدیده شده وارد همان والت‌هایی شده که یک ماه پیش، توکن‌های سرقتی از صرافی «بیت‌گت» از آن سردرآورده بود. (که آن هم کار کره شمالی بود)
- مقیاس و سرعت حمله: هماهنگی یک شبیخون در این سطح روی ۱۱ بلاکچین مختلف فقط از عهده ارتش‌های سایبری سازمان‌یافته با منابع نامحدود برمی‌آید، نه چند جوان بااستعداد در یک زیرزمین.
البته کارشناسان جانب احتیاط را هم رعایت می‌کنند. هکرها در نقد کردن تترها تعلل عجیبی داشتند و اجازه دادند نیمی از غنیمت‌شان مسدود شود؛ رفتاری که از هکرهای ورزیده کره شمالی کمی بعید بود. بااین‌حال شواهد موجود تا این لحظه، پیونگ‌یانگ را متهم ردیف اول معرفی می‌کند. اف‌بی‌آی نیز رسماً انگشت اتهام را به سمت کره شمالی نشانه گرفته است.
در آخر؛ درسی که باید از حمله گرفت
وقتی آب‌ها از آسیاب افتاد، بایننس اعلام کرد خسارت‌ها را از جیب خودش جبران می‌کند تا خیال همه راحت باشد. اما این غارت سرسام‌آور نشان داد که حتی امن‌ترین قلعه‌های دنیای دیجیتال ممکن است در یک چشم بر زدن فرو بریزند.
بحث بر سر بایننس یا نام دیگری نیست؛ صرافی‌ها هر چقدر هم ثروتمند و معتبر باشند، برای پس‌انداز کردن ساخته نشده‌اند. این پلتفرم‌ها درست مثل صرافی سرِ چهارراه هستند؛ می‌روید ارزتان را تبدیل می‌کنید و راهی خانه می‌شوید. اگر در این بازار پول قابل‌توجهی دارید، تنها پناهگاه واقعی‌تان والت سخت‌افزاری آفلاین است؛ جایی در کشوی میزتان، دور از اینترنت و دست‌نیافتنی برای چشم‌های حریص.