مهاجم پشت تخلیه کیف پول‌های بایننس، از صرافی‌های غیرمتمرکز مانند یونی‌سواپ (Uniswap) و آوه (Aave) به عنوان مسیر خروج استفاده می‌کند و استیبل‌کوین‌هایی را که صادرکنندگان آن‌ها قادر به مسدود کردنشان هستند، با اتریوم (ETH) که هیچ‌کس قادر به کنترل آن نیست، مبادله می‌کند. این اطلاعات بر اساس رکوردهای ایثراسکین (Etherscan) برای ۱۰ کیف پول، که هشت مورد از آن‌ها به عنوان مهاجم شناسایی شده‌اند، به دست آمده است.
امروز صبح، کیف پول‌های مرتبط با بزرگترین صرافی ارز دیجیتال جهان حداقل ۵.۵ میلیارد دلار تخلیه شدند و این رقم همچنان در حال افزایش است. این شرکت اعلام کرد که در حال بررسی حادثه امنیتی است، اما تأیید نکرد که وجوه کاربران تحت تأثیر قرار گرفته است، هرچند کارشناسان امنیتی به طور گسترده معتقدند که این صرافی مورد حمله قرار گرفته است. این حادثه به بزرگترین هک در تاریخ ۱۸ ساله صنعت ارز دیجیتال تبدیل شده است.
صادرکنندگان استیبل‌کوین، تتر (Tether) و سرکل (Circle)، به سرعت آدرس‌های مظنون مهاجم را مسدود کردند تا بخشی از وجوه را مسدود کرده و غیرقابل دسترس کنند. به عنوان صادرکنندگان متمرکز، هر کدام توانایی مسدود کردن آدرس‌ها را دارند تا توکن‌هایشان قابل انتقال نباشد. تاکنون بیش از ۲ میلیارد دلار از این دو توکن توسط ارائه‌دهندگان مختلف استیبل‌کوین مسدود شده است. اتریوم هیچ صادرکننده‌ای ندارد، بنابراین هر دلاری که قبل از مسدود شدن تبدیل شود، از دسترس آن‌ها خارج است.
مبادلات از طریق یونی‌سواپ، یک صرافی غیرمتمرکز که در آن معاملات به طور خودکار و بدون دخالت هیچ شرکتی تسویه می‌شوند، انجام می‌شود.
یک کیف پول واسطه در ساعت ۲۰:۳۴ UTC، ۲۰,۹۴۰ اتریوم (۴۵.۵۸ میلیون دلار) را از قرارداد UniswapX یونی‌سواپ دریافت کرد. کیف پول دیگری در ساعت ۲۰:۴۷، ۳,۵۵۲ اتریوم (بیش از ۸ میلیون دلار) دریافت کرد و دو کیف پول بعدی حدود ۱۸,۰۸۵ اتریوم (حدود ۴۱ میلیون دلار) را در دسته‌های ۷,۴۴۴ اتریوم و ۱۰,۶۴۲ اتریوم، و حدود ۱۶,۴۹۸ اتریوم (۳۷.۵ میلیون دلار) را در دسته‌های ۶,۹۴۶ اتریوم و ۹,۵۵۲ اتریوم از قراردادهای یونی‌سواپ دریافت کردند.
آوه، یک اپلیکیشن وام‌دهی که در آن کاربران ارز دیجیتال را به عنوان وثیقه واریز می‌کنند تا سکه‌های دیگر را قرض بگیرند، به عنوان مسیر خروج دوم عمل کرد. بین ساعت ۲۰:۵۷ و ۲۱:۰۱ UTC، یک کیف پول ۱۰ میلیون دلار و سپس ۵۰ میلیون دلار USDT واریز کرد و در مقابل آن ۳,۲۷۱ اتریوم (۷.۴۳ میلیون دلار) و سپس ۱۶,۴۹۱ اتریوم (۳۷.۴۷ میلیون دلار) قرض گرفت. این اقدام باعث شد اودیسئاس لام‌تزیدی (Odysseas Lamtzidi)، بنیانگذار Phylax Systems، نسبت به “سرایت کامل” هشدار دهد.
به‌روزرسانی
آن‌ها به تازگی AAVE را تأیید کردند.
سرایت کامل در جریان است.
— Odysseus | phylax.systems (@odysseas_eth) ۲۹ اکتبر ۲۰۲۶
آوه از آن زمان بازارهای V3 خود را در شبکه اصلی اتریوم مسدود کرده است که واریزها و وام‌گیری‌های جدید را مسدود می‌کند.
کامینا (Kamino)، یک پروتکل مالی غیرمتمرکز ساخته شده بر روی بلاک‌چین سولانا (Solana)، نیز به عنوان یک اقدام احتیاطی، بازارهای سولانا و بیت‌کوین خود را متوقف کرد.
کامینا می‌تواند تأیید کند که در حال حاضر تحت تأثیر وضعیت جاری بایننس قرار نگرفته است.
از روی احتیاط فراوان، ما به طور موقت وام‌گیری در بازار SOL/BTC را متوقف کرده‌ایم.
ما به طور فعال در حال نظارت بر وضعیت هستیم و با شرکای مختلف در ارتباط هستیم. هرگونه اقدام بیشتر…
— Kamino (@kamino) ۲۹ اکتبر ۲۰۲۶
اتریوم به جای حرکت رو به جلو، در حال انباشته شدن است. یک کیف پول با برچسب Exploiter 8 در ساعت ۲۲:۰۳ UTC همچنان ۱۹۵,۴۶۰ اتریوم (۴۴۴.۲ میلیون دلار) در اختیار داشت و ۵۷,۸۹۱.۷۷ اتریوم (۱۳۱.۶ میلیون دلار) دیگر به کیف پولی با برچسب Exploiter 11 رسید. مجموع این دو مبلغ حدود ۲۵۳,۰۰۰ اتریوم یا تقریباً ۵۷۰ میلیون دلار است. این انباشت دوم پس از چهار مرحله انتقال در ۲۸ دقیقه، از Exploiter 4 به 5، از 5 به 6، از 6 به 7 و از 7 به 11 صورت گرفت.
مهاجم همچنین ۳۶ میلیون RLUSD، استیبل‌کوین ریپل (Ripple) با پشتوانه دلار، را با ۱۵,۴۳۹ اتریوم مبادله کرد، در حالی که ۵۲.۵۴ میلیون RLUSD مسدود نشده در کیف پول نگهداری باقی ماند، طبق به‌روزرسانی زنجیره‌ای که در X منتشر شد. ایثراسکین نشان داد که کیف پول اصلی دریافت کننده در ساعت ۲۰:۴۱ UTC حدود ۸۸.۵ میلیون دلار RLUSD در اختیار داشت که با مجموع دو رقم مطابقت دارد.
به گفته یی هه (Yi He)، مدیرعامل مشترک بایننس، ریپل از آن زمان حدود ۲۰۰ میلیون دلار را مسدود کرده است. یی هه در X نوشت: “از تیم ریپل برای مسدود کردن سریع تقریباً ۲۰۰ میلیون دلار سپاسگزاریم. وجوه کاربران SAFU است”، که اشاره‌ای به صندوق ذخیره اضطراری صرافی دارد.
جک مک‌دونالد (Jack McDonald)، معاون ارشد استیبل‌کوین‌های ریپل، در بیانیه‌ای گفت: “ریپل در حال نظارت دقیق بر گزارش‌های مربوط به یک بهره‌برداری احتمالی شامل بایننس و دارایی‌های RLUSD مهاجمان آن است و ما به طور فعال در حال مسدود کردن وجوه متأثر هستیم. ما با طرف‌های مربوطه در حال هماهنگی هستیم و آماده حمایت از هرگونه تحقیق و اقدام مناسب برای محافظت از کاربران هستیم.”
ریپل در حال نظارت دقیق بر گزارش‌های مربوط به یک بهره‌برداری احتمالی شامل بایننس و دارایی‌های RLUSD مهاجمان آن است و ما به طور فعال در حال مسدود کردن وجوه متأثر هستیم. ما با طرف‌های مربوطه در حال هماهنگی هستیم و آماده حمایت از هرگونه تحقیق و اقدام مناسب برای محافظت از کاربران هستیم…
— Jack McDonald (@JackMcDonald) ۲۹ اکتبر ۲۰۲۶
تِرنادو کش (Tornado Cash)، یک میکسر که مسیر پرداخت‌های ارز دیجیتال را پنهان می‌کند، تاکنون تنها به عنوان منبع تأمین مالی آدرس آغازگر حمله ظاهر شده است.
پس از هک بای‌بیت (Bybit)، گروه لازاروس (Lazarus Group) کره شمالی ۸۴.۴۵٪ از اتریوم سرقت شده را از طریق تورچین (Thorchain)، یک شبکه مبادله بین زنجیره‌ای، به بیت‌کوین تبدیل کرد، طبق گفته مدیرعامل بای‌بیت. مونرو (Monero)، یک سکه حریم خصوصی که هویت فرستنده و گیرنده را پنهان می‌کند، روز پنجشنبه حدود ۶٪ افزایش یافت که نشان‌دهنده احتمال انتقال به این سکه حریم خصوصی است.
