هی یی، هم‌بنیان‌گذار بایننس، به انتقادات در مورد امنیت پاسخ می‌دهد و بر تعهد به حفاظت از دارایی کاربران تأکید می‌کند
تایپه، ۴ نوامبر – هی یی (Yi He)، هم‌بنیان‌گذار و مدیر اجرایی مشترک بایننس، در پستی که شامگاه ۴ نوامبر به وقت تایپه منتشر شد، به طور عمومی انتقادات و پیشنهادات مربوط به «امنیت و مدیریت مجوزها» در این صرافی را پذیرفت و به تشریح نحوه رسیدگی به سه موضوع کلیدی پرداخت: تأثیر بر وجوه کاربران، علل حمله و اقدامات پیشگیرانه آتی.
این اظهارات در پی حادثه کیف پول داغ در ۲۹ اکتبر و گزارش اولیه تحقیقات بایننس در ۳ نوامبر منتشر شد. گزارش اولیه حاکی از آن بود که حدود ۶.۳۴ میلیارد دلار دارایی دیجیتال تحت تأثیر قرار گرفته است، ۲.۸۵ میلیارد دلار مسدود یا توقیف شده و حدود ۹۸ درصد از توکن‌های تحت تأثیر بازگردانده شده‌اند. بایننس مسئولیت کسری مالی را بر عهده گرفته است. هی یی در این پست، به جای تکرار جزئیات حمله، بر نحوه دریافت انتقادات و چگونگی جلوگیری از حوادث مشابه در آینده تمرکز کرد.
هی یی تأکید کرد که به عنوان یک پلتفرم معاملاتی، بایننس باید سه موضوع را روشن کند. اول، آیا وجوه کاربران تحت تأثیر قرار خواهد گرفت؟ او قاطعانه اعلام کرد که بایننس مسئولیت کامل را بر عهده می‌گیرد و این موضوع را به عنوان یک اصل قراردادی و تعهد اخلاقی تلقی می‌کند. در مقابل، در شرایط قانونی که کسری مالی قابل توجه باشد، ممکن است مسیر ورشکستگی در نظر گرفته شود، اما بایننس رویکردی کاربرمحور را انتخاب کرده است.
دوم، علت وقوع مشکل چه بوده است؟ او اشاره کرد که قبل از انتشار گزارش اولیه، برخی او را از ارائه جزئیات منع کرده بودند، اما او به دلیل اعتقاد به اینکه شفافیت، اعتماد را بنا می‌نهد، تصمیم به انتشار عمومی گرفت. او معتقد است که اگر این گزارش بتواند پیچیدگی مهندسی اجتماعی و نحوه تعیین خطوط هشدار برای مرزهای مجوزهای هوش مصنوعی را برای همکاران صنعت روشن کند، انتشار آن ارزشمند بوده است.
سوم، چگونه از تکرار آن جلوگیری خواهد شد؟ او اعلام کرد که بایننس با تمرکز بر مدیریت مجوزهای بخش‌ها، محیط امنیتی، به‌روزرسانی تجهیزات و بازنشانی ابزارهای هوش مصنوعی، مرزهای امنیتی را بر اساس اصول «عدم اعتماد» (Zero Trust) و «حداقل مجوز» (Least Privilege) بازسازی کرده است. گزارش‌های بعدی توسط ممیزی امنیتی منتشر خواهد شد. در پایان پست، او از متخصصان برجسته امنیت هوش مصنوعی و استعدادهای فنی دعوت کرد تا با ارسال پیام خصوصی به او یا مراجعه به وب‌سایت بایننس برای موقعیت‌های شغلی، به این شرکت بپیوندند.
انتقادات آنلاین در مورد این حادثه فراتر از صرف «هک شدن» است. شرکت امنیتی Vectra AI در تحلیلی اشاره کرد که ابزارهای داخلی هوش مصنوعی در زنجیره حمله مانند راهروهایی بین تیم‌ها عمل می‌کنند: مهاجمان پس از احراز هویت، از ابزارها به گونه‌ای استفاده می‌کنند که شبیه همکاری عادی به نظر می‌رسد و نیازی به حمله به خود ابزارها نیست. حرکت جانبی در میان مرزهای مختلف عملکردی و ثبت در لاگ‌های متفاوت، حتی با وجود کنترل‌های مجزا که هر کدام «کاری انجام می‌دهند»، ممکن است مانع از دیدن زنجیره حمله کامل شود.
Vectra سه نقطه ضعف در تشخیص را شناسایی کرد: ظاهر عادی (استفاده از ابزارهای قانونی به جای آسیب‌پذیری‌های روز صفر)، احراز هویت موفق (امضا از مسیر عادی) و حرکت نامرئی. به زبان ساده، بسیاری از کنترل‌ها به تنهایی موفق می‌شوند، اما هیچ‌کس در میانه زنجیره بر «عبور فرد و استفاده از ابزار به عنوان سکوی پرتاب» نظارت نمی‌کند.
صنعت نیز در مورد دسترسی DevOps (توسعه و عملیات) سؤالات مشابهی مطرح کرده است. در یک تفسیر از TechBooky، آمده است که اگر لپ‌تاپ‌های مهندسان به طور مداوم توکن‌های با مجوز بالا مانند استقرار کانتینر را نگه دارند، مسیر تولید به یک نقطه پایانی واحد گره می‌خورد. باید از حداقل مجوز و دسترسی در لحظه (JIT) استفاده شود. هویت ماشین و توکن‌های سرویس نباید به طور طولانی مدت روی لپ‌تاپ توسعه‌دهندگان باقی بمانند و عملیات با ارزش بالا باید دارای جداسازی وظایف، لیست مجاز و کنترل سهمیه باشد. اجماع جامعه نیز اغلب بر این نکته متمرکز است: حفاظت از نقطه پایانی، آسیب‌پذیری‌های روز صفر در عملیات شبیه‌سازی شده را مسدود نمی‌کند و مجوزهای استقرار بیش از حد به مسیر امضای کیف پول نزدیک هستند.
برای کاربران، تأکید هی یی بر اینکه «چه کسی هزینه را می‌پردازد» و فهرست کردن عدم اعتماد، حداقل مجوز، به‌روزرسانی تجهیزات و بازنشانی ابزارهای هوش مصنوعی به عنوان اقدامات فعال، گامی فراتر از عذرخواهی برای ترمیم اعتماد پس از گزارش اولیه و پیشبرد آن به سمت جنبه‌های سیستمی است. برای صنعت، پرداختن فعالانه او به مرزهای مجوزهای هوش مصنوعی، مشکل راهرویی را که Vectra و حوزه DevOps به آن اشاره کرده‌اند، به فهرستی از مواردی تبدیل می‌کند که صرافی‌ها باید به طور عمومی آن‌ها را اصلاح کنند.
تأثیر بر استعدادها نیز مستقیم‌تر است: او به طور عمومی به دنبال متخصصان امنیت هوش مصنوعی است و می‌گوید که پیوستن به بایننس و تأیید شخصی این سیستم امنیتی، بهترین راه برای اثبات آن است. آنچه در ادامه مورد توجه قرار خواهد گرفت، زمان انتشار گزارش ممیزی امنیتی و اینکه آیا مرزهای مجوزهای بخش‌ها و ابزارهای داخلی هوش مصنوعی واقعاً از «راحتی همکاری» به «مرز اعتماد قابل مشاهده» تغییر خواهند کرد، می‌باشد.
