جزئیات هک تاریخی بایننس؛ چطور ۶.۳ میلیارد دلار به سرقت رفت

بایننس می‌گوید مهاجمان در جریان یک رخنه‌ی امنیتی بزرگ، دارایی‌هایی با ارزش تقریبی ۶.۳ میلیارد دلار را جابه‌جا کرده‌اند. بررسی‌های اولیه، نفوذ به لپ‌تاپ یکی از مهندسان دواپس را منشا احتمالی حادثه می‌داند. صرافی برداشت و واریز را موقتا متوقف کرده و تا بامداد ۳۰ اکتبر، مسدودشدن ۳ میلیارد دلار از دارایی‌های سرقت‌شده را تأیید کرده بود.

به‌گزارش cointelegraph.com، تحقیقات همچنان ادامه دارد و رقم دارایی‌های بازیابی‌شده یا مسدودشده ممکن است با ردیابی آدرس‌های بیشتر افزایش یابد. بایننس اعلام کرده که زیان کاربران را پوشش می‌دهد و پس از پایان بررسی‌ها، گزارش فنی کاملی از حادثه منتشر خواهد کرد.

ابعاد رخداد فقط به ترازنامه‌ی یک صرافی محدود نمی‌شود. صادرکنندگان استیبل‌کوین، شبکه‌های بلاک‌چینی، شرکت‌های تحلیل زنجیره، بازارسازها و پروتکل‌های وام‌دهی غیرمتمرکز ظرف چند ساعت ناچار شدند برای مهار جریان دارایی‌ها اقدام کنند. هم‌زمان، قیمت رمزارزهای بزرگ کاهش یافت و بحث قدیمی درباره‌ی ریسک نگهداری دارایی در صرافی‌های متمرکز دوباره برجسته شد.

جمع‌بندی داده‌های منتشرشده از سوی بایننس و نهادهای درگیر، چند واقعیت اصلی را نشان می‌دهد.

• برآورد بایننس از اثر مالی کل حادثه حدود ۶.۳ میلیارد دلار است.
• ارزش تاییدشده‌ی دارایی‌های مسدودشده تا بامداد ۳۰ اکتبر به ۳ میلیارد دلار رسید.
• برداشت و واریز در بایننس موقتا تعلیق شد و معاملات Binance Alpha نیز برای مدتی متوقف ماند.
• دارایی‌های مسدودشده شامل Tether USDt با نماد USDT، USDC، Ripple USD با نماد RLUSD، World Liberty Financial USD با نماد USD1، StraitsX USD با نماد XUSD، USDT0، Wrapped Beacon ETH با نماد WBETH، Tether Gold با نماد XAUT، Pax Gold با نماد PAXG، Pax Dollar با نماد USDP و Arbitrum با نماد ARB بوده‌اند.
• بایننس می‌گوید Binance.US از حادثه تاثیر نگرفته است.

بایننس در ساعت ۲ و ۲۵ دقیقه‌ی بامداد ۳۰ اکتبر به وقت UTC اعلام کرد که بررسی اولیه به لپ‌تاپ آلوده‌ی یکی از مهندسان DevOps رسیده است. طبق توضیح صرافی، مهاجم احتمالا از طریق لپ‌تاپ به یک کانتینر خدماتی دسترسی پیدا کرده و تراکنش‌های برداشت غیرمجاز را برای اجرا فرستاده است.

صرافی تا زمان انتشار گزارش، مدرکی از افشای کلید خصوصی کیف پول پیدا نکرده بود. تمایز میان سرقت کلید و سوءاستفاده از سامانه‌ی امضای تراکنش اهمیت زیادی دارد. در سناریوی دوم، مهاجم لزوما کلید خصوصی را استخراج نمی‌کند، بلکه زیرساخت مجاز امضا را فریب می‌دهد یا کنترل می‌کند تا تراکنش مخرب مانند یک درخواست معتبر تأیید شود.

ایدو بن‌ناتان، هم‌بنیان‌گذار و مدیرعامل Blockaid، ارزیابی مقدماتی تیمش را «سوءاستفاده از کلید» توصیف کرد. به‌گفته‌ی او، الگوی فعالیت‌های درون‌زنجیره‌ای بیشتر با نفوذ به زیرساخت امضا سازگار بود تا نشت مستقیم کلید خصوصی. بن‌ناتان تأکید داشت که ارزیابی هنوز مقدماتی است. میگل مورل، مدیرعامل Arkham، نیز در مراحل نخست هشدار داد که حمله ظاهرا ادامه دارد.

ماجرا در ساعت ۹ و ۱۹ دقیقه‌ی شب ۲۹ اکتبر (۸ آبان‌ماه) به وقت UTC علنی شد. پژوهشگر بلاک‌چین با نام Spreek گزارش داد که دارایی‌های یک کیف پول اتریومی مرتبط با بایننس، از طریق فراخوانی یک قرارداد به آدرسی تازه‌ساخته‌شده منتقل شده‌اند. هزینه‌ی اجرای عملیات نیز بنا بر ادعای مطرح‌شده از Tornado Cash تامین شده بود.

اسپرک کمی بعد خبر داد که کیف پول‌های مرتبط، فروش USDT را در صرافی‌های غیرمتمرکز آغاز کرده‌اند. آرخام اینتلجنس سپس مجموعه‌ای از آدرس‌ها را با برچسب binance-hacker-1029 شناسایی کرد که حدود ۵.۸۴ میلیارد دلار دارایی دیجیتال در اختیار داشتند. رقم مزبور موجودی گزارش‌شده‌ی کیف پول‌ها بود و نباید با برآورد قطعی میزان سرقت یکسان تلقی شود.

چانگ‌پنگ ژائو، هم‌بنیان‌گذار بایننس، فعالیت‌ها را ظاهرا ناشی از هک دانست. او گفت تتر و Circle به‌ترتیب حدود ۹۷۱ میلیون و ۸۲۳ میلیون دلار را مسدود کرده‌اند و انتظار دارد تمام دارایی‌های کاربران پوشش داده شود.

بلاک‌اِید در همان ساعات نخست، نزدیک به ۳.۳ میلیارد دلار انتقال مشکوک میان کیف پول‌های مرتبط با بایننس در شبکه‌های اتریوم، آربیتروم و Avalanche شناسایی کرد. Circle نیز از مسدودکردن بیش از ۸۰۰ میلیون دلار USDC با هماهنگی نهادهای مجری قانون خبر داد. اندکی بعد، پائولو آردوینو، مدیرعامل تتر، گفت بیش از ۱.۵۶۷ میلیارد دلار USDT مرتبط با رخداد احتمالی متوقف شده است. مجموع اعلام‌شده‌ی دو ناشر بزرگ استیبل‌کوین از ۲.۳۶ میلیارد دلار فراتر رفت.

بایننس در ساعت ۱۱ و ۳۵ دقیقه‌ی شب ۲۹ اکتبر، ارزش تاییدشده‌ی دارایی‌های مسدودشده را ۲.۵۴ میلیارد دلار اعلام کرد. توضیح تازه برای رفع اختلاف میان ارقام در گردش، از جمله رقم ۱.۸ میلیارد دلار، منتشر شد. صرافی گفت با نهادهای مجری قانون، صادرکنندگان توکن، شرکت‌های اطلاعات بلاک‌چین و دیگر بازیگران صنعت همکاری می‌کند.

World Liberty Financial نیز ۲۷ میلیون دلار از استیبل‌کوین USD1 و ۲ میلیون دلار توکن WLFI را متوقف کرد. زک ویتکاف، هم‌بنیان‌گذار و مدیرعامل مجموعه، از همکاری با BitGo برای مسدودکردن دارایی‌ها خبر داد. ریپل نیز با تأیید جک مک‌دونالد، معاون ارشد بخش استیبل‌کوین، دارایی‌های RLUSD مرتبط با هک را مسدود کرد؛ بااین‌حال رقم دقیق را منتشر نکرد.

فرست‌دیجیتال در ساعت ۲ و ۲۱ دقیقه‌ی بامداد ۳۰ اکتبر تأیید کرد که FDUSD سرقت‌شده را متوقف کرده است. وینسنت چوک، مدیرعامل First Digital، گفت مجموعه‌ی تحت مدیریت او در کنار تیم بایننس کار می‌کند و اولویت را حفاظت از دارندگان FDUSD و جلوگیری از انتقال دارایی به‌وسیله‌ی مهاجمان می‌داند.

Chainalysisشورای امنیت آربیتروم نیز تراکنشی برای مسدودکردن ۳۰.۵ میلیون دلار اجرا کرد. دارایی‌های مشمول اقدام شامل ۷۴.۶ میلیون ARB و ۸٬۴۲۵ ETH بودند. شورا اعلام کرد وجوه تا ۳۰ اکتبر با موفقیت به یک کیف پول واسط مسدودشده انتقال یافته‌اند و دارنده‌ی آدرس اولیه دیگر به آن‌ها دسترسی ندارد. جابه‌جایی بعدی فقط با اقدام دوباره‌ی شورای امنیت یا رای حاکمیتی Arbitrum DAO امکان‌پذیر خواهد بود.

با اضافه‌شدن اقدامات تازه، بایننس در ساعت ۱۲ و ۵۲ دقیقه‌ی بامداد رقم تاییدشده‌ی دارایی‌های مسدودشده را به ۳ میلیارد دلار افزایش داد.

چین‌الیسیس ارزش دارایی‌های سرقت‌شده در لحظه‌ی خروج را ۵.۹۱۲ میلیارد دلار برآورد کرد. بر پایه‌ی محاسبه‌ی آن مجموعه، هک بایننس تقریبا چهار برابر میزان دارایی سرقت‌شده از صرافی Bybit در سال ۲۰۲۵ بوده است. بایننس ساعاتی بعد اثر مالی کل را حدود ۶.۳ میلیارد دلار اعلام کرد.

تفاوت ارقام الزاما نشانه‌ی تناقض نیست. ارزش دارایی‌های رمزارزی با نوسان قیمت تغییر می‌کند، برخی برآوردها موجودی آدرس‌های منتسب به مهاجم را می‌سنجند و گروهی دیگر ارزش دارایی را در لحظه‌ی سرقت محاسبه می‌کنند. رقم «مسدودشده» نیز فقط وجوهی را در بر می‌گیرد که توقف آن‌ها به‌طور رسمی تأیید شده باشد.

پروتکل وام‌دهی غیرمتمرکز Aave پس از مشاهده‌ی فعالیت آدرس مهاجم، بازارهای استقرارهای V3 و V4 را به‌عنوان اقدام احتیاطی مسدود کرد. گزارش LlamaRisk نشان داد مهاجم ۶۰ میلیون USDT سپرده‌گذاری کرده و ۱۹٬۷۶۲ WETH به ارزش تقریبی ۴۴.۶ میلیون دلار وام گرفته است.

وام‌گیری بین ساعت ۸ و ۵۸ دقیقه تا ۹ و یک دقیقه‌ی شب ۲۹ اکتبر به وقت UTC انجام شد؛ حدود ۴۰ دقیقه پیش از نخستین توقف بازار. موقعیت مزبور تنها موقعیت مهاجم در Aave، میان همه‌ی شبکه‌ها و نسخه‌ها، بود و پس از ساعت ۹ و یک دقیقه تعامل دیگری شناسایی نشد.

در زمان ثبت تصویر وضعیت، ۵۹.۹ میلیون دلار USDT وثیقه در برابر ۴۳.۸ میلیون دلار بدهی قرار داشت. LlamaRisk گفت موقعیت همچنان تابع سازوکار عادی لیکوییدشدن است و تامین‌کنندگان Aave را در معرض خطر قرار نمی‌دهد.

توقف‌ها ۱۷۵ ذخیره‌ی V3 در ۱۶ شبکه و ۱۱۷ ذخیره‌ی V4 در چهار شبکه را پوشش دادند. کاربران همچنان می‌توانند وجوه خود را برداشت کنند، وام‌ها را بازپرداخت کنند و فرایند لیکوییدشدن نیز ادامه دارد. سپرده‌گذاری و وام‌گیری تازه، از جمله افزودن وثیقه، امکان‌پذیر نیست. در نتیجه، بازپرداخت تنها راه بهبود ضریب سلامت موقعیت‌های موجود به‌شمار می‌رود.

LlamaRisk بازگشایی مرحله‌ای بازارها را به توقف حرکت وجوه مهاجم و ارائه‌ی اطلاعات روشن‌تر از سوی بایننس درباره‌ی مهار حادثه مشروط کرد. توقف طولانی ممکن است با کاهش نقدینگی ناشی از برداشت‌ها، نرخ وام‌گیری را افزایش دهد.

Wintermute و GSR از قرارگرفتن بخشی از دارایی‌هایشان در بایننس خبر دادند، اما انتظار اختلال عمده در فعالیت خود را ندارند. بازارسازها با ثبت سفارش‌های خرید و فروش، امکان تکمیل معامله را برای دیگر کاربران فراهم می‌کنند. اختلال در کار آن‌ها می‌تواند معامله را در بازار رمزارز دشوارتر یا پرهزینه‌تر سازد.

شین سونگ، مدیرعامل GSR، گفت میزان مواجهه‌ی مجموعه کمتر از ۵ درصد ارزش خالص حقوق صاحبان سهام بوده است. اوگنی گائووی، مدیرعامل Wintermute، نیز سهم بایننس را کمتر از ۲۰ درصد ارزش خالص حقوق صاحبان سهام اعلام کرد. هیچ‌یک مبلغ دلاری یا زیان مالی قطعی ارائه نکردند.

در ساعت ۱ و ۱۹ دقیقه‌ی بامداد ۳۰ اکتبر، بیت‌کوین نزدیک ۷۶٬۹۳۷ دلار معامله می‌شد و طی ۲۴ ساعت ۴.۹ درصد کاهش داشت. BNB با افت ۸ درصدی به حدود ۶۹۳ دلار رسید و اتر نیز با کاهش ۵.۷ درصدی در محدوده‌ی ۲٬۲۱۱ دلار قرار گرفت.

توکن‌های حوزه‌ی مالی غیرمتمرکز هم از فشار فروش مصون نماندند. AAVE طی دوره‌ی مشابه ۱۱.۳ درصد و UNI حدود ۱۰.۷ درصد افت کردند. شاخص ترس و طمع بیت‌کوین با امتیاز ۳۰ وارد محدوده‌ی «ترس» شد؛ سطحی که از ماه اوت مشاهده نشده بود.

جفری کندریک، مدیر جهانی تحقیقات دارایی‌های دیجیتال در Standard Chartered، معتقد است هک بایننس می‌تواند سهم صرافی‌های غیرمتمرکز را افزایش دهد و در افق بلندمدت به Uniswap کمک کند. او هدف قیمتی ۱۰۰ دلاری توکن UNI تا سال ۲۰۳۰ را حفظ کرد و رخداد اخیر را عاملی دانست که حتی ممکن است برآورد مزبور را محافظه‌کارانه جلوه دهد.

داده‌های CoinGecko نشان می‌دهد نسبت معاملات نقدی ۱۰ صرافی غیرمتمرکز برتر به صرافی‌های متمرکز در سه‌ماهه‌ی دوم ۲۰۲۶ به ۲۳.۵ درصد رسیده بود. میزان ثبت‌شده نسبت به سه‌ماهه‌ی نخست همان سال ۲.۱ واحد درصد افزایش داشت.

کندریک به سرمایه‌گذاران توصیه کرد بار دیگر Uniswap را بررسی کنند. به‌گفته‌ی او، Uniswap تاکنون هدف بهره‌برداری امنیتی موفق قرار نگرفته و رخنه در بزرگ‌ترین صرافی متمرکز جهان می‌تواند روند افزایش نسبت معاملات DEX به CEX را تقویت کند. ادعا درباره‌ی سابقه‌ی امنیتی Uniswap دیدگاه کندریک است و به‌تنهایی تضمینی برای نبود ریسک در قراردادهای هوشمند، رابط‌های کاربری یا دارایی‌های معامله‌شده فراهم نمی‌کند.

بایننس ابتدا برداشت‌ها و سپس واریزها را برای انجام بررسی امنیتی، مسدودکردن وجوه و هماهنگی با نهادهای مجری قانون متوقف کرد. صرافی وعده داد پس از رفع مشکل امنیتی، برداشت‌ها از سر گرفته شوند. زمان مشخصی برای بازگشت کامل خدمات اعلام نشد.

پوشش همه‌ی زیان‌ها، وعده‌ی مهم بایننس در ساعات نخست بحران بود، اما پاسخ نهایی به چند پرسش به گزارش پس از حادثه وابسته خواهد ماند. سطح دسترسی لپ‌تاپ مهندس، سازوکار ارسال تراکنش‌های غیرمجاز، کنترل‌های چندلایه‌ی امضا و دلیل عبور درخواست‌ها از سامانه‌های تشخیص خطر باید با جزئیات روشن شوند.

رخداد بایننس ساعاتی پس از توقف موقت معاملات در Polymarket اتفاق افتاد. پلتفرم بازار پیش‌بینی، نفوذ به یک ارائه‌دهنده‌ی شخص ثالث را علت مشکل خود معرفی کرد، وعده‌ی جبران خسارت کاربران آسیب‌دیده را داد و اعلام کرد همه‌ی سامانه‌ها تا ساعت ۷ و ۵ دقیقه‌ی عصر پنجشنبه به وقت UTC دوباره عملیاتی شده‌اند. شواهد منتشرشده ارتباطی میان دو حادثه نشان نمی‌دهد.

کارزار چندجانبه برای مسدودکردن میلیاردها دلار نشان داد که صادرکنندگان استیبل‌کوین و شوراهای امنیتی بعضی شبکه‌ها توان توقف دارایی را دارند. همان توانایی، پرسش‌هایی درباره‌ی تمرکز کنترل در بخش‌هایی از اقتصاد رمزارزی نیز مطرح می‌کند. در سوی دیگر، سرعت واکنش مانع جابه‌جایی بخش قابل‌توجهی از وجوه شد و فاصله‌ی میان رقم ۶.۳ میلیارد دلاری حادثه و ۳ میلیارد دلار دارایی مسدودشده را کاهش داد.

نتیجه‌ی نهایی به ردیابی وجوه باقی‌مانده، اعتبارسنجی برآوردها و انتشار گزارش فنی بایننس بستگی دارد. تا آن زمان، نفوذ احتمالی به یک لپ‌تاپ مهندسی نمونه‌ای روشن از واقعیتی گسترده‌تر به‌شمار می‌رود؛ امنیت سامانه‌های مالی فقط به حفاظت از کلید خصوصی وابسته نیست و هر حلقه‌ی دارای مجوز امضا می‌تواند به نقطه‌ی ورود مهاجم تبدیل شود.

نظر شما درباره‌ی پیامدهای هک بایننس برای آینده‌ی صرافی‌های متمرکز چیست؟