در ۲۹ اکتبر ۲۰۲۶، حدود ۶.۳ میلیارد دلار دارایی دیجیتال از کیف‌پول‌های گرم بایننس خارج شد؛ رخدادی که در گزارش‌های اولیه به‌عنوان یکی از بزرگ‌ترین سرقت‌های تاریخ بازار رمزارز مطرح شد. اما ماجرا ظاهراً با دزدیدن رمز عبور کاربران یا شکستن شبکه بیت‌کوین شروع نشد. بررسی‌های اولیه نشان می‌دهد مهاجمان به بخشی از زیرساخت داخلی بایننس دسترسی پیدا کردند و از سامانه برداشت خود صرافی برای انتقال دارایی‌ها استفاده کردند.
با این حال، هنگام نگارش این مقاله در ۳۱ اکتبر ۲۰۲۶، بررسی فنی بایننس هنوز تمام نشده است. خود صرافی ابتدا از احتمال دسترسی به لپ‌تاپ یکی از کارکنان DevOps خبر داد، اما در به‌روزرسانی بعدی گفت نشانه‌های دیگری از نفوذ هم پیدا شده است. بنابراین جزئیات دقیق زنجیره حمله و هویت عاملان را هنوز نمی‌توان قطعی دانست.
در هک بایننس چه اتفاقی افتاد؟
بر اساس اطلاعیه بایننس، حدود ساعت ۲۰:۰۵ به‌وقت UTC در ۲۹ اکتبر، کیف‌پول‌های گرم این صرافی هدف برداشت‌های غیرمجاز قرار گرفتند. بایننس اثر مالی رخداد را حدود ۶.۳ میلیارد دلار برآورد کرد. تحلیل شرکت‌های رصد بلاک‌چین، از جمله Elliptic و Bitquery، خروج دارایی‌ها را در چند شبکه و از چندین کیف‌پول گرم دنبال کرده‌اند؛ رقم دقیق ممکن است با روش محاسبه و قیمت دارایی‌ها در زمان بررسی کمی تفاوت داشته باشد.
کیف‌پول گرم به کیف‌پولی گفته می‌شود که به اینترنت و سامانه‌های عملیاتی صرافی متصل است تا برداشت‌های روزمره را انجام دهد. در مقابل، بخش زیادی از ذخایر صرافی‌ها در کیف‌پول‌های سرد نگهداری می‌شود که اتصال دائمی به اینترنت ندارند. طبق توضیح بایننس، بیشتر دارایی کاربران در کیف‌پول‌های سرد بوده و حمله گزارش‌شده به کیف‌پول‌های گرم مربوط می‌شد.
مهاجمان احتمالاً از چه مسیری وارد شدند؟
در نخستین اطلاعیه، بایننس گفت بررسی اولیه احتمال می‌دهد لپ‌تاپ یک مهندس DevOps به خطر افتاده باشد. طبق این فرضیه اولیه، مهاجم از طریق این دستگاه به یک کانتینر سرویس دسترسی پیدا کرده و توانسته درخواست‌های برداشت غیرمجاز را به سامانه ارسال کند.
کانتینر سرویس، محیط نرم‌افزاری جداگانه‌ای است که بخشی از برنامه‌های یک شرکت در آن اجرا می‌شوند. در چنین رخدادی، مهاجم لزوماً لازم نیست کل سامانه یا کلید خصوصی کیف‌پول را مستقیماً بدزدد. اگر بتواند وارد بخشی از زیرساخت شود که درخواست‌ها را بررسی یا تراکنش‌ها را امضا می‌کند، ممکن است سامانه را وادار کند تراکنش‌هایی را اجرا کند که در حالت عادی مجاز نیستند.
این توضیح هنوز نتیجه نهایی تحقیقات نیست. در اطلاعیه دوم، بایننس گفت بررسی‌های بعدی «نقاط نفوذ بیشتری» را آشکار کرده و تیم‌های امنیتی در حال بازسازی کامل مسیر حمله‌اند. همچنین این صرافی اعلام کرد تا آن زمان مدرکی از افشای کلیدهای خصوصی کیف‌پول پیدا نکرده است.
چرا از کلید خصوصی دزدیده‌شده صحبت نمی‌شود؟
برای انتقال رمزارز از یک کیف‌پول، تراکنش باید با کلید خصوصی یا سازوکار امضای مجاز تأیید شود. اما در این حادثه، بایننس گفته شواهدی از نشت مستقیم کلید خصوصی نیافته است. توضیح احتمالی این است که مهاجمان به مسیر مجاز امضای تراکنش‌ها دسترسی پیدا کرده یا از سامانه‌های داخلی برای تأیید تراکنش‌های خود استفاده کرده‌اند.
تحلیل‌های زنجیره‌ای Elliptic برای بخشی از تراکنش‌های اتریوم، استفاده از قابلیت EIP-7702 و یک قرارداد هوشمند جمع‌آوری دارایی را مطرح می‌کند. طبق این تحلیل، مهاجمان توانستند اختیار یک کیف‌پول گرم را به قراردادی واگذار کنند که انتقال دارایی‌ها را انجام می‌داد. اما این مشاهده روی بلاک‌چین به‌تنهایی توضیح نمی‌دهد مهاجمان چگونه به زیرساخت یا مجوزهای لازم دست پیدا کردند؛ این بخش هنوز در حال بررسی است.
به زبان ساده، می‌توان بین «سرقت کلید» و «سوءاستفاده از سامانه‌ای که با مجوز معتبر تراکنش را امضا می‌کند» تفاوت گذاشت. بر اساس اطلاعات فعلی، فرضیه دوم با توضیحات اولیه بایننس و تحلیل بخشی از تراکنش‌ها سازگارتر به نظر می‌رسد، اما تا انتشار گزارش فنی نهایی نباید آن را پاسخ قطعی دانست.
چرا کیف‌پول‌های گرم نقطه حساس بودند؟
صرافی‌ها برای پاسخ‌گویی سریع به برداشت کاربران، بخشی از دارایی‌ها را در کیف‌پول‌هایی نگه می‌دارند که تراکنش‌هایشان از طریق سامانه‌های آنلاین انجام می‌شود. این کار عملیات را سریع‌تر می‌کند، اما باعث می‌شود کیف‌پول گرم به سامانه‌های نرم‌افزاری، مجوزهای دسترسی و فرایندهای عملیاتی وابسته باشد.
همین وابستگی، سطح حمله را بزرگ می‌کند: دستگاه کارکنان، حساب‌های مدیریتی، ابزارهای استقرار نرم‌افزار، سرویس‌های امضای تراکنش و کنترل‌های برداشت همگی باید امن باشند. در رخداد بایننس، مسئله اصلی ظاهراً شکستن رمزنگاری بلاک‌چین نبود، بلکه دسترسی غیرمجاز به زیرساختی بود که می‌توانست از مسیر رسمی صرافی تراکنش ثبت کند.
چطور چنین برداشت بزرگی برای مدتی ادامه پیدا کرد؟
داده‌های زنجیره‌ای نشان می‌دهند دارایی‌ها در چند شبکه جابه‌جا شده‌اند و خروج‌ها یک تراکنش منفرد نبوده‌اند. برخی تحلیل‌گران از تراکنش‌های پیاپی در چند ساعت و برخی از بخش بزرگی از خروج‌ها در بازه‌ای کوتاه خبر داده‌اند؛ تفاوت این اعداد به این برمی‌گردد که آیا فقط موج اصلی حمله را می‌شمارند یا همه انتقال‌های مرتبط را.
Bitquery گزارش داده است که حدود ۶.۳ میلیارد دلار دارایی از ۱۷ کیف‌پول گرم بایننس در ۹ شبکه خارج شده است. Elliptic نیز جریان دارایی‌ها را در شبکه‌های بیشتری دنبال کرده است. تفاوت تعداد شبکه‌ها در گزارش‌ها می‌تواند ناشی از طبقه‌بندی و شناسایی دارایی‌ها یا دامنه زمانی بررسی باشد؛ بنابراین بهتر است به‌جای تکیه بر یک عدد جزئی، اصل ماجرا را در نظر بگیریم: چند کیف‌پول گرم و چند شبکه درگیر بوده‌اند.
پس از شناسایی حادثه، بایننس برداشت‌ها را موقتاً متوقف کرد، مجوزهای آدرس‌های آسیب‌دیده را لغو کرد و با شرکت‌های تحلیل بلاک‌چین، صادرکنندگان توکن و نهادهای قانونی برای ردیابی دارایی‌ها همکاری کرد. این اقدامات باعث شد بخشی از دارایی‌ها از طریق امکان مسدودسازی برخی توکن‌ها یا مداخله شبکه‌ها متوقف شود.
چه مقدار از دارایی‌ها مسدود شد و تکلیف کاربران چیست؟
در به‌روزرسانی ۳۰ اکتبر، بایننس اعلام کرد حدود ۳ میلیارد دلار از دارایی‌های مرتبط با حمله با همکاری شرکا در زنجیره مسدود شده است. این رقم به معنی بازگرداندن قطعی تمام وجوه به صرافی نیست؛ «مسدودشدن» یا «توقف انتقال» با بازیابی نهایی دارایی تفاوت دارد و نتیجه آن به نوع توکن و روند حقوقی بستگی دارد.
بایننس همچنین اعلام کرد زیان این رخداد را از صندوق SAFU و منابع مالی شرکت جبران می‌کند و بیش از ۶.۳۴ میلیارد دلار برای پوشش آن کنار گذاشته است. این موضع، اعلام رسمی خود شرکت است و روند اجرای آن را باید از اطلاعیه‌های بعدی بایننس پیگیری کرد. این صرافی گفته است سپرده‌ها تحت تأثیر قرار نگرفته‌اند، اما برداشت‌ها در جریان بررسی‌های امنیتی موقتاً متوقف شده بودند.
آیا هکرهای کره شمالی پشت حمله بودند؟
چند شرکت تحلیل بلاک‌چین، از جمله TRM Labs و Chainalysis، حمله را به گروهی با نام TraderTraitor نسبت داده‌اند که به کره شمالی مرتبط دانسته می‌شود. AP نیز گزارش داده که تحلیل‌گران این گروه را مظنون اصلی می‌دانند. با این حال، بایننس در اطلاعیه‌های خود گفته است برای تأیید هویت مهاجمان با نهادهای قانونی همکاری می‌کند؛ بنابراین ارتباط عاملان با کره شمالی هنوز باید به‌عنوان ارزیابی شرکت‌های ردیابی و نه نتیجه قطعی رسمی بیان شود.
آیا این حمله به معنی هک‌شدن بلاک‌چین بیت‌کوین یا اتریوم است؟
خیر، بر اساس اطلاعات موجود چنین برداشتی درست نیست. گزارش‌ها می‌گویند دارایی‌ها از کیف‌پول‌های گرم بایننس و از طریق زیرساخت و سامانه برداشت این صرافی خارج شده‌اند. این موضوع با شکستن شبکه بیت‌کوین، اتریوم یا رمزنگاری پایه آن‌ها تفاوت دارد.
این تفکیک اهمیت دارد؛ چون وقتی یک صرافی هک می‌شود، مشکل می‌تواند در سامانه نگهداری دارایی، مجوزهای داخلی یا دستگاه‌های کارکنان باشد، نه در خود بلاک‌چین. تراکنش‌های نهایی روی شبکه‌ها ثبت شده‌اند و به همین دلیل شرکت‌های تحلیل بلاک‌چین توانسته‌اند مسیر بخش زیادی از دارایی‌ها را بررسی کنند.
درس اصلی این هک برای بازار ارز دیجیتال چیست؟
حادثه بایننس نشان می‌دهد حتی صرافی‌های بزرگ هم به امنیت چندلایه نیاز دارند. حفاظت از کلیدهای خصوصی ضروری است، اما کافی نیست؛ لپ‌تاپ کارکنان، دسترسی‌های مدیریتی، محیط‌های اجرای سرویس، محدودیت برداشت، سامانه امضا و کنترل مستقل تراکنش‌های غیرعادی نیز اهمیت دارند.
برای کاربران هم این اتفاق یادآوری می‌کند که نگهداری دارایی در صرافی، وابستگی به زیرساخت همان شرکت را به همراه دارد. کاربران باید خبرها را از کانال‌های رسمی دنبال کنند، پیام‌های اضطراری جعلی و لینک‌های ناشناس را باز نکنند و برای «آزادکردن برداشت» یا «دریافت غرامت» هیچ‌وقت عبارت بازیابی کیف‌پول یا کد ورود خود را در اختیار کسی نگذارند.
جمع‌بندی؛ پاسخ نهایی هنوز در راه است
آنچه تا ۳۱ اکتبر ۲۰۲۶ می‌دانیم این است که حدود ۶.۳ میلیارد دلار دارایی از کیف‌پول‌های گرم بایننس خارج شده و مهاجمان احتمالاً از دسترسی به زیرساخت داخلی و سامانه برداشت صرافی استفاده کرده‌اند. فرضیه نخست بایننس به لپ‌تاپ یک مهندس DevOps اشاره داشت، اما شرکت بعداً اعلام کرد نقاط نفوذ دیگری هم در دست بررسی است. هنوز گزارش فنی نهایی منتشر نشده و جزئیات کامل حمله قطعی نیست.
بایننس گفته زیان کاربران را پوشش می‌دهد و حدود ۳ میلیارد دلار از دارایی‌های مرتبط با حمله با همکاری شرکا مسدود شده است. در همین حال، انتساب حمله به گروه‌های مرتبط با کره شمالی بر ارزیابی شرکت‌های تحلیل بلاک‌چین استوار است و باید با همین قید بیان شود. تا انتشار گزارش نهایی، دقیق‌ترین پاسخ به پرسش «هک ۶ میلیارد دلاری بایننس چگونه اتفاق افتاد؟» این است: مهاجمان ظاهراً از سامانه‌های مجاز خود صرافی برای برداشت غیرمجاز استفاده کردند؛ اما مسیر کامل نفوذ هنوز مشخص نشده است.
