غول حوزه ارزهای دیجیتال، بایننس (Binance)، روز پنج‌شنبه اعلام کرد که وقوع یک «حادثه امنیتی» در پلتفرم این شرکت، دارایی‌هایی به ارزش تقریبی ۶.۳ میلیارد دلار را تحت تأثیر قرار داده است. بزرگ‌ترین صرافی ارز دیجیتال جهان اعلام کرد که تاکنون نزدیک به ۳ میلیارد دلار از این دارایی‌ها در سطح بلاکچین (On-chain) مسدود شده‌اند.
شرکت‌های تتر (Tether) و سرکل (Circle) اعلام کردند که به‌ترتیب بیش از ۱.۵۶۷ میلیارد واحد USDT و ۸۰۰ میلیون واحد USDT مرتبط با این حادثه را مسدود کرده‌اند.
همچنین گزارش شده است که شورای امنیت آربیتروم تراکنشی را برای مسدود کردن حدود ۳۰.۵ میلیون دلار از دارایی‌های مرتبط با حمله به بایننس اجرا کرده است.
بایننس در اطلاعیه‌ای تکمیلی اعلام کرد: «بر اساس بررسی‌های اولیه، به نظر می‌رسد این حادثه امنیتی ممکن است به لپ‌تاپ یکی از مهندسان DevOps مربوط باشد که امنیت آن به خطر افتاده است. این موضوع به مهاجم اجازه داده تا به یک کانتینر سرویس دسترسی پیدا کند و تراکنش‌های برداشت غیرمجاز را ثبت و ارسال کند.»
این شرکت اعلام کرد که تاکنون هیچ مدرکی مبنی بر افشای کلید خصوصی کیف پول‌ها پیدا نشده است. همچنین تأکید کرد که تمام خسارت‌های واردشده را از محل صندوق حمایت از دارایی کاربران (SAFU) و منابع مالی خود جبران خواهد کرد.
بایننس برای احتیاط بیشتر، اقدامات زیر را انجام داده است:
-
تعلیق موقت واریز و برداشت‌ها: تا زمان تکمیل بررسی‌های امنیتی، عملیات واریز و برداشت به‌طور موقت متوقف شده است.
-
لغو مجوز آدرس آسیب‌دیده: مجوزهای دسترسی مرتبط با آدرس آسیب‌دیده باطل شده‌اند.
-
همکاری با نهادهای قانونی و شرکت‌های اطلاعات بلاکچین: با هدف ردیابی و بازیابی دارایی‌های سرقت‌شده، همکاری با مراجع قانونی و شرکت‌های فعال در حوزه تحلیل بلاکچین آغاز شده است.
بایننس در این‌باره اعلام کرد: «ما از نزدیک با شرکای خود در نهادهای مجری قانون همکاری می‌کنیم تا هویت این مجرمان را شناسایی کرده و آن‌ها را به دست عدالت بسپاریم.»
این شرکت در اطلاعیه دیگری اعلام کرد که انتظار دارد برداشت‌ها طی ۴۸ ساعت آینده از سر گرفته شوند؛ البته پس از آنکه تیم فنی، «بازطراحی و تقویت امنیتی سرویس برداشت و آدرس‌های مرتبط با آن» را تکمیل کند.
این حادثه در صورت تأیید ابعاد اعلام‌شده، به بزرگ‌ترین سرقت ثبت‌شده در تاریخ ارزهای دیجیتال تبدیل می‌شود و از سرقت حدود ۱.۵ میلیارد دلار از صرافی Bybit در فوریه ۲۰۲۵ فراتر می‌رود. مسئولیت آن سرقت نیز بعداً به کره شمالی نسبت داده شد.
شرکت تحلیل اطلاعات بلاکچین Chainalysis در پستی در شبکه اجتماعی X اعلام کرد: «برآورد فعلی ما از میزان دارایی‌های سرقت‌شده، در زمان وقوع سرقت، حدود ۵.۹۱۲ میلیارد دلار است؛ رقمی که تقریباً چهار برابر بزرگ‌ترین سرقت بعدی در تاریخ ارزهای دیجیتال محسوب می‌شود.»
ارتباط حمله با گروه TraderTraitor کره شمالی
شرکت TRM Labs با اطمینان بالایی این حمله بی‌سابقه علیه بایننس را به عوامل تهدید وابسته به کره شمالی نسبت داده است. این شرکت فعال در حوزه تحلیل بلاکچین، حمله را به گروه TraderTraitor منتسب کرده است؛ همان گروهی که مسئولیت سرقت از صرافی Bybit در سال ۲۰۲۵ نیز به آن نسبت داده شده بود.
TRM Labs در گزارش خود اعلام کرد: «چندین ویژگی این حمله با سرقت‌های پیشین مرتبط با کره شمالی، از جمله حمله به Bybit و حمله به KelpDAO در آوریل ۲۰۲۶، مطابقت دارد. این شباهت‌ها شامل موارد زیر هستند:
-
برداشت مبالغ اندک از طریق Tornado Cash برای تأمین مالی یک کیف پول تحت کنترل عامل حمله؛
-
آغاز مراحل آماده‌سازی عملیات مدت‌ها پیش از اجرای سرقت؛
-
دریافت امضاهای دیجیتال (Signatures) از پیش و اجرای آن‌ها به‌صورت یک‌جا و در قالب یک موج تراکنشی.»
این شرکت همچنین افزود: «الگوی پول‌شویی مشاهده‌شده تا این مرحله، که بر مبادلات بزرگ از طریق بازارسازها و پروتکل‌های وام‌دهی متکی است، با الگوی مبتنی بر انتقال دارایی از طریق بریج‌ها که پس از سرقت Bybit مشاهده شد، تفاوت دارد.»
جزئیات فنی حمله؛ آماده‌سازی ۳۶ ساعت پیش از سرقت
به گفته TRM Labs، مهاجمان دست‌کم ۳۶ ساعت پیش از انجام سرقت مراحل آماده‌سازی حمله را آغاز کرده بودند.
آن‌ها در نهایت کنترل یکی از هات ولت‌های بایننس را به دست گرفتند و از آن برای انتقال «تمام موجودی کیف پول به یک آدرس تحت کنترل مهاجم» استفاده کردند.
گزارش فنی TRM Labs جزئیات این فرایند را چنین شرح می‌دهد: در ساعت ۲۰:۲۰ به وقت UTC، عامل حمله یک تراکنش واحد ارسال کرد که شامل ۵۰ مجوز بود. هر یک از این مجوزها توسط هات ولت بایننس امضا شده بود و به یک قرارداد هوشمند تخلیه‌کننده موجودی اشاره می‌کرد؛ قراردادی که فقط دستورهای صادرشده از سوی عامل حمله را می‌پذیرفت.
هر کیف پول، تعداد تراکنش‌های انجام‌شده خود را به‌صورت یک شمارنده پیوسته نگهداری می‌کند که به آن نانس گفته می‌شود. هر مجوز تنها زمانی معتبر است که مقدار نانس آن با مقداری که کیف پول در لحظه اجرای تراکنش به آن رسیده، مطابقت داشته باشد.
هات ولت بایننس به‌طور پیوسته حجم زیادی از درخواست‌های برداشت را پردازش می‌کند؛ بنابراین مقدار نانس آن دائماً افزایش می‌یابد.
مهاجم با آماده‌سازی امضاهایی برای ۵۰ مقدار متوالی نانس، اطمینان حاصل کرد که هنگام اجرای تراکنش، دست‌کم یکی از این امضاها همچنان معتبر خواهد بود. در نهایت، یکی از آن‌ها با مقدار نانس کیف پول مطابقت پیدا کرد و همین برای اجرای حمله کافی بود. تمام این امضاها از قبل و به‌صورت یک مجموعه آماده شده بودند.
سه دقیقه و ۲۴ ثانیه پس از واگذاری اختیار، عامل حمله به هات ولت بایننس دستور داد تمام موجودی خود را به آدرسی تحت کنترل مهاجم منتقل کند.
این تراکنش واحد، ۱۶۷٬۴۶۴ واحد ETH و ۶۳ توکن مختلف، از جمله ۱.۶۱۵ میلیارد واحد USDT را جابه‌جا کرد.
محتمل‌ترین توضیح این است که مهاجم توانسته بود به قابلیتی دست پیدا کند که به او اجازه می‌داد سیستم امضاکننده هات ولت بایننس را وادار کند تراکنش‌های دلخواه او را در شبکه‌های مختلف بلاکچین امضا کند.
وجود مجموعه‌ای شامل ۵۰ مجوز امضاشده از پیش، این احتمال را تقویت می‌کند که دسترسی مهاجم محدود به یک بازه زمانی مشخص بوده یا برای دریافت امضاها مجبور بوده از طریق یک سیستم مشخص درخواست ارسال کند.
بایننس هنوز گزارش رسمی و نهایی خود را درباره علت ریشه‌ای این رخداد منتشر نکرده است.
وضعیت فعلی دارایی‌های سرقت‌شده
بر اساس اطلاعات منتشرشده، تاکنون شرکت‌های Tether، Circle، Ripple و World Liberty Financial در مجموع حدود ۲.۶۷ میلیارد دلار استیبل‌کوین مرتبط با این حمله را مسدود کرده‌اند. همچنین شورای امنیت Arbitrum حدود ۳۰ میلیون دلار دارایی شامل ETH و ARB را مسدود کرده است.
با این حال، مهاجم همچنان کنترل بیش از مقادیر زیر را در اختیار دارد:
| دارایی | مقدار |
|---|---|
| اتریوم (ETH) | بیش از ۴۲۰٬۰۰۰ واحد |
| بیت‌کوین (BTC) | ۱۸٬۲۷۰ واحد |
| ارزش تقریبی مجموع | ۲.۴ میلیارد دلار |
علاوه بر این، مقادیر کمتری از دارایی‌های دیجیتال در سایر شبکه‌های بلاکچین نیز همچنان تحت کنترل مهاجم قرار دارند.
منبع: https://thehackernews.com/2026/10/binance-suffers-security-breach.html
