گزارش اولیه بورس ارز دیجیتال بایننس از حادثه امنیتی اخیر: هکرهای کره‌شمالی عامل سرقت ۶.۳۴ میلیارد دلاری
تهران، ایران – شرکت بایننس، بزرگترین بورس ارز دیجیتال جهان، در گزارشی اولیه که در تاریخ ۳ نوامبر منتشر شد، جزئیات حادثه امنیتی بزرگی را که در تاریخ ۲۹ اکتبر رخ داد، فاش کرد. طبق این گزارش، هکرهای منتسب به جمهوری دموکراتیک خلق کره (DPRK) با استفاده از روش‌های پیچیده‌ای شامل استخدام جعلی کارکنان، بدافزار و ابزارهای هوش مصنوعی داخلی مورد نفوذ قرار گرفته، توانسته‌اند به روند امضای تراکنش‌های کیف پول دسترسی یافته و دارایی‌هایی به ارزش تقریبی ۶.۳۴ میلیارد دلار را به سرقت ببرند.
تا زمان انتشار این گزارش، مبلغ ۲.۸۵ میلیارد دلار از دارایی‌های مسروقه مسدود شده و ۹۸ درصد از توکن‌های تحت تاثیر این حادثه، جبران شده‌اند.
جزئیات حمله و روش هکرها
گزارش بایننس نشان می‌دهد که مهاجمان با بهره‌گیری از فرآیند مصاحبه شغلی، بدافزار و ابزارهای هوش مصنوعی داخلی که مورد نفوذ قرار گرفته بودند، به تدریج کنترل دستگاه‌های چندین کارمند را به دست آورده و در نهایت به مجوزهای امضای کیف پول دسترسی پیدا کرده‌اند. آن‌ها سپس با استفاده از مکانیزم مجوزدهی EIP-7702 اتریوم، فرآیند عادی برداشت وجه را دور زده و این حجم عظیم از دارایی‌های دیجیتال را به سرقت برده‌اند.
بایننس اعلام کرده است که کلیه خسارات مالی ناشی از این حادثه را به طور کامل تقبل خواهد کرد. تا زمان انتشار گزارش، حدود ۲.۸۵ میلیارد دلار از دارایی‌ها مسدود یا رهگیری شده و ۹۸ درصد از دارایی‌های توکنی تحت تاثیر این حادثه، جبران شده است.
جدول زمانی حمله
بر اساس گزارش بایننس، در تاریخ ۲۹ اکتبر، بین ساعات ۲۰:۰۵ تا ۲۰:۰۹ به وقت جهانی هماهنگ (UTC)، پنج کیف پول داغ بایننس، ۲۳۳.۴۶ میلیون توکن XRP را به آدرس‌های تحت کنترل مهاجمان منتقل کردند. پس از آن، کیف پول‌های داغ مستقر در شبکه‌های Solana و Optimism به ترتیب حدود ۹۷۰.۵ هزار SOL و ۴۴.۲۰ میلیون OP را منتقل کردند. با وجود دریافت هشدار داخلی توسط بایننس و آغاز تحقیقات، مهاجمان به فعالیت خود ادامه داده و ۱۸,۲۷۰ بیت‌کوین دیگر را از یک کیف پول داغ خارج کردند.
سوءاستفاده از مکانیزم EIP-7702
نقطه کلیدی این حمله، سوءاستفاده از مکانیزم مجوزدهی EIP-7702 اتریوم بود. این مکانیزم به حساب‌ها اجازه می‌دهد تا بخشی از اختیارات اجرایی را بدون افشای کلید خصوصی به قراردادهای هوشمند واگذار کنند. مهاجمان با استفاده از این قابلیت، به یک قرارداد هوشمند تحت کنترل خود، بخشی از اختیارات اجرایی یکی از کیف پول‌های داغ بایننس را اعطا کرده و با ارسال ۵۰ تراکنش امضا شده، از طریق دستکاری Nonce حساب، مجوزهای واگذاری مخرب را ایجاد کردند.
این مجوزها به صورت آن‌چین (on-chain) وجود داشتند و مستقل از زیرساخت عادی برداشت وجه بایننس عمل می‌کردند، بنابراین حتی با وجود تعلیق برداشت وجه توسط بایننس، مهاجمان قادر به انتقال دارایی‌ها بودند.
تیم بایننس برای لغو این مجوزهای آن‌چین مجبور به انجام تراکنش‌های اضافی شد. از آنجایی که کیف پول‌های داغ درگیر از فناوری محاسبات چندجانبه (MPC) استفاده می‌کردند و کلید خصوصی واحدی برای لغو فوری وجود نداشت، تیم مجبور به توسعه و اجرای یک فرآیند لغو ویژه شد.
آخرین انتقال غیرمجاز، ۲,۹۶۱.۹ اتر بود که در ساعت ۲۳:۵۶ UTC در بلاک‌چین تایید شد. تا ساعت ۰۰:۱۰ UTC روز ۳۰ اکتبر، بایننس با اجرای تراکنش مجوزدهی از طریق کیف پول داغ Binance14 به آدرس صفر، کد واگذاری EIP-7702 را پاکسازی کرد و به این ترتیب جریان خروج سرمایه را به طور کامل متوقف نمود.
حمله چندمرحله‌ای و پیچیده
بایننس تاکید کرده است که این حمله یک نفوذ منفرد و ایزوله نبوده، بلکه یک حمله چندمرحله‌ای و پیچیده بوده است. مهاجمان از ترکیبی از مهندسی اجتماعی، بدافزار، نفوذ به ابزارهای هوش مصنوعی داخلی و فناوری‌های پیشرفته مجوزدهی تراکنش استفاده کرده‌اند.
جدول زمانی این حمله از ژوئن ۲۰۲۶ آغاز می‌شود: مهندس A از تیم DevOps کیف پول، هنگام جستجو برای یک ابزار برنامه‌نویسی محبوب هوش مصنوعی در موتور جستجو، بسته نصب Homebrew دستکاری شده‌ای را دانلود کرد. اگرچه تیم امنیتی بایننس ناهنجاری را شناسایی و دستگاه را تعویض و گواهینامه‌ها را ابطال کرد، اما اطلاعات شغلی مهندس A و اطلاعات همکارانش به مهاجمان فاش شد.
در طول سال ۲۰۲۶، تیم امنیتی بایننس ۵۷ مورد تهدید سایبری مشکوک مرتبط با کره شمالی را شناسایی و مسدود کرده بود، از جمله استخدام‌های جعلی، بدافزارهایی که خود را به عنوان ابزارهای توسعه معرفی می‌کردند، بسته‌های نرم‌افزاری و افزونه‌های مرورگر دستکاری شده، و اپلیکیشن‌های کنفرانس ویدیویی جعلی.
در ماه سپتامبر، مهندس نرم‌افزار B از طریق یک پلتفرم کاریابی رسمی، با فردی که خود را مدیر پروژه معرفی می‌کرد، تماس گرفت. این فرد دو دور مصاحبه ترتیب داد: دور اول توسط یک مسئول منابع انسانی جعلی به صورت ویدیویی زنده انجام شد و برای ایجاد اعتماد، حساب‌های شبکه‌های اجتماعی به اشتراک گذاشته شد. در دور دوم، از مهندس B خواسته شد تا فایلی به نام “تکلیف” را در کامپیوتر کاری خود دانلود کند که حاوی مخزن کد مخرب بود و هنگام نصب به طور خودکار اجرا می‌شد.
این بدافزار از تکنیک‌های پیچیده مبهم‌سازی کد و گریز از تشخیص استفاده می‌کرد و اجزای ابزارهای توسعه قانونی را با نسخه‌های مخرب جایگزین می‌کرد و با سرورهای خارجی تحت کنترل مهاجمان ارتباط برقرار می‌کرد. در آن زمان، ابزارهای امنیتی پایانه (endpoint security) قادر به شناسایی این بدافزار روز صفر (0-day) نبودند.
در تاریخ ۲۰ اکتبر، مهاجمان با استفاده از کامپیوتر مهندس B که مورد نفوذ قرار گرفته بود، از طریق ابزارهای هوش مصنوعی داخلی بایننس، کنترل دستگاه‌های مهندس A (DevOps کیف پول) و مهندس نرم‌افزار C (کیف پول) را بیشتر گسترش دادند و متوجه شدند که کامپیوتر مهندس A حاوی توکن‌هایی با مجوز استقرار کانتینر است. در تاریخ ۲۹ اکتبر بین ساعت ۱۷:۱۵ تا ۱۹:۵۶، مهاجمان وارد کامپیوتر مهندس C شده، با استفاده از اعتبارنامه‌های سرقت شده، کانتینرها را مستقر کرده و اسکریپت‌های مخرب را فعال نمودند و در نهایت حمله را آغاز کردند.
اقدامات اضطراری و جبران خسارت
پس از وقوع حادثه، تیم بایننس بلافاصله چندین اقدام اضطراری را آغاز کرد، از جمله تعلیق برداشت وجه، هماهنگی با شرکا برای مسدود کردن توکن‌های تحت تاثیر، و ابطال مجوزهای غیرمجاز. از طریق این اقدامات، در مجموع ۲.۸۵ میلیارد دلار از دارایی‌ها مسدود شد. بایننس تاکید کرده است که خسارات مالی ناشی از این سرقت توسط بایننس جبران خواهد شد و به کاربران منتقل نخواهد شد و بیش از ۱۰۰ درصد مبلغ خسارت، به عنوان ذخیره برای جبران در نظر گرفته شده است.
تا تاریخ ۳۱ اکتبر، ۹۸ درصد از دارایی‌های توکنی تحت تاثیر حادثه جبران شده‌اند و کاربران می‌توانند از طریق صفحه اثبات ذخایر (Proof of Reserves) این موضوع را تأیید کنند. برای دارایی‌های با نقدینگی پایین که هنوز جبران نشده‌اند، بایننس در حال خرید آن‌ها است.
بازسازی سیستم و اقدامات امنیتی آینده
در زمینه بازسازی سیستم، بایننس سیستم کیف پول، ابزارهای هوش مصنوعی داخلی و سیستم کنترل دسترسی مربوطه را در محیطی کاملاً جدید بازسازی کرده است. دستگاه‌های تحت تاثیر تعویض شده‌اند، گواهینامه‌ها و توکن‌های مربوطه ابطال شده‌اند و اسکن امنیتی تقویت شده برای تمام دستگاه‌های کارکنان انجام شده است. همزمان، بایننس قابلیت‌های تشخیص ناهنجاری رفتاری مبتنی بر هوش مصنوعی را افزایش داده، اقدامات کنترل ریسک برای خدمات کیف پول را تقویت کرده و با نهادهای اجرای قانون، شرکت‌های اطلاعاتی بلاک‌چین و شرکای صنعتی برای ردیابی و مسدود کردن دارایی‌ها همکاری می‌کند.
بایننس اعلام کرده است که تحقیقات همچنان ادامه دارد و نتایج آن توسط یک شرکت امنیتی سایبری مستقل شخص ثالث به طور کامل مورد بررسی قرار خواهد گرفت تا یافته‌های فعلی تأیید شده و توصیه‌هایی برای بهبود ارائه شود. بایننس همچنین سرمایه‌گذاری خود را در زمینه‌هایی مانند تشخیص تهدیدات مبتنی بر هوش مصنوعی، حفاظت از پایانه، امنیت محیط توسعه و نظارت بر ناهنجاری‌های رفتاری افزایش خواهد داد و قصد دارد با شرکت‌های پیشرو هوش مصنوعی، بازیگران صنعتی و شرکت‌های امنیتی برای راه‌اندازی یک صندوق تحقیقات امنیتی همکاری کند تا تحقیقات و همکاری‌های ویژه‌ای را در زمینه امنیت هوش مصنوعی در محیط بلاک‌چین انجام دهد.
در پایان گزارش، بایننس تاکید کرده است که انتشار این گزارش اولیه به این دلیل صورت گرفته است که تنها با درس گرفتن کل صنعت از این تجربیات، می‌توان سطح امنیت را به طور مداوم ارتقا داد. برخی جزئیات فنی به منظور جلوگیری از سوءاستفاده مهاجمان از اطلاعات مربوطه برای برنامه‌ریزی حملات بیشتر، همچنان محرمانه باقی خواهند ماند.
