شرح سرقت بی‌سابقه بایننس؛ چگونگی دزدی ۶.۳ میلیارد دلار

صرافی بایننس گزارش می‌دهد که در نتایج یک رخنه‌ی امنیتی جدی، دارایی‌هایی به ارزشی در حدود ۶.۳ میلیارد دلار تحت تأثیر قرار گرفته‌اند. بررسی‌های ابتدایی نشان‌دهنده این است که مشکل از نفوذ به لپ‌تاپ یکی از مهندسان دواپس نشأت گرفته است. در پی این حادثه، صرافی به‌طور موقت خدمات واریز و برداشت را متوقف کرده و تا بامداد ۳۰ اکتبر از مسدود شدن ۳ میلیارد دلار از دارایی‌های سرقت‌شده خبر داده است.

بر اساس اطلاعات ارائه‌شده توسط cointelegraph.com، تحقیقات همچنان در حال انجام است و مقدار دارایی‌های بازیابی شده یا مسدود شده ممکن است با شناسایی آدرس‌های جدید بیشتر گردد. بایننس اعلام کرده که خسارات کاربران را جبران خواهد کرد و پس از پایان تحقیقات، گزارشی فنی کامل از حادثه به اشتراک خواهد گذاشت.

پیامدهای این حادثه فراتر از ترازنامه‌ی یک صرافی بوده و برای صادرکنندگان استیبل‌کوین، شبکه‌های بلاک‌چینی، شرکت‌های تحلیلی زنجیره‌ای و پروتکل‌های وام‌دهی غیرمتمرکز به‌سرعت لازم بود برای جلوگیری از حرکت دارایی‌ها اقدام کنند. در عین حال، ارزش رمزارزهای بزرگ به‌شدت کاهش یافت و موضوع ریسک نگهداری دارایی‌ها در صرافی‌های متمرکز دوباره به کانون توجه تبدیل شد.

بررسی داده‌های منتشرشده از سوی بایننس و نهادهای مربوطه، چند واقعیت کلیدی را به نمایش می‌گذارد.

• بایننس برآورد کرده که اثر مالی کل این رخداد حدود ۶.۳ میلیارد دلار می‌باشد.
• مقدار اعلام شده‌ی دارایی‌های مسدودشده تا بامداد ۳۰ اکتبر به ۳ میلیارد دلار رسید.
• خدمات برداشت و واریز در بایننس به‌طور موقت متوقف گردید و معاملات Binance Alpha نیز برای مدتی تعطیل شد.
• دارایی‌های مسدودشده شامل Tether USDt (USDT)، USDC، Ripple USD (RLUSD)، World Liberty Financial USD (USD1)، StraitsX USD (XUSD)، USDT0، Wrapped Beacon ETH (WBETH)، Tether Gold (XAUT)، Pax Gold (PAXG)، Pax Dollar (USDP) و Arbitrum (ARB) بوده‌اند.
• بایننس تأکید کرده که Binance.US تحت تأثیر این حادثه قرار نگرفته است.

بایننس در ساعت ۲ و ۲۵ دقیقه‌ی بامداد ۳۰ اکتبر به وقت UTC اعلام کرد که بررسی ابتدایی به لپ‌تاپ هک‌شده‌ی یک مهندس DevOps مرتبط است. به گفته‌ی صرافی، مهاجم احتمالا از طریق این لپ‌تاپ به یک کانتینر خدماتی دسترسی پیدا کرده و تراکنش‌های برداشت غیرمجاز را برای اجرا ارسال کرده است.

تا زمان انتشار گزارش، صرافی مدرکی از افشای کلید خصوصی کیف‌پول پیدا نکرده بود. تمایز میان سرقت کلید و سوءاستفاده از سامانه‌ی امضای تراکنش، اهمیت بالایی دارد. در سناریوی دوم، مهاجم به‌جای استخراج کلید خصوصی، زیرساخت مجاز امضا را به چالش می‌کشد یا کنترل می‌کند تا تراکنش مخرب به‌عنوان یک درخواست معتبر تأیید شود.

ایدو بن‌ناتان، هم‌بنیان‌گذار و مدیرعامل Blockaid، ارزیابی اولیه تیمش را «سوءاستفاده از کلید» توصیف کرد. او بیان کرد که الگوی فعالیت‌های درون‌زنجیره‌ای بیشتر با نفوذ به زیرساخت امضا همخوانی دارد تا نشت مستقیم کلید خصوصی. بن‌ناتان تأکید کرد که این ارزیابی در مراحل ابتدایی قرار دارد. میگل مورل، مدیرعامل Arkham، نیز در مراحل اولیه هشدار داد که این حمله ظاهراً هنوز در حال اجراست.

این حادثه در ساعت ۹ و ۱۹ دقیقه‌ی شب ۲۹ اکتبر (۸ آبان) به وقت UTC به‌طور عمومی اطلاع‌رسانی شد. پژوهشگر بلاک‌چین با نام Spreek اعلام کرد که دارایی‌های یک کیف‌پول اتریومی متعلق به بایننس، از طریق یک قرارداد به آدرس جدیدی منتقل شده‌اند. ادعا شده که هزینه‌ی این عملیات از Tornado Cash تأمین شده است.

اسپرک بلافاصله بعد از آن اعلام کرد که کیف‌پول‌های مرتبط، فروش USDT را در صرافی‌های غیرمتمرکز آغاز کرده‌اند. سپس آرخام اینتلجنس تعدادی از آدرس‌ها را با برچسب binance-hacker-1029 شناسایی کرد که مجموعا حدود ۵.۸۴ میلیارد دلار دارایی دیجیتال را در خود داشتند. این رقم مربوط به موجودی اعلام‌شده‌ی کیف‌پول‌ها بود و نباید به‌عنوان برآورد قطعی مقدار سرقت در نظر گرفته شود.

چانگ‌پنگ ژائو، هم‌بنیان‌گذار بایننس، مهاجرت‌های انجام گرفته را به‌طور واضح تحت تأثیر نفوذ هکر دانست. او اعلام نمود که تتر و Circle به‌ترتیب حدود ۹۷۱ میلیون و ۸۲۳ میلیون دلار را مسدود کرده‌اند و انتظار دارد تمام دارایی‌های کاربران پوشش داده شود.

بلاک‌اید در دقایق نخست، نزدیک به ۳.۳ میلیارد دلار انتقال مشکوک بین کیف‌پول‌های مرتبط با بایننس را در شبکه‌های اتریوم، آربیتروم و Avalanche شناسایی کرد. Circle نیز از مسدود کردن بیش از ۸۰۰ میلیون دلار USDC با همکاری نهادهای مجری قانون خبر داد. کمی بعد، پائولو آردوینو، مدیرعامل تتر، اعلام کرد که بیش از ۱.۵۶۷ میلیارد دلار USDT که به این حادثه مربوط می‌شد، مسدود شده است. مجموعاً این دو ناشر بزرگ استیبل‌کوین از میزان ۲.۳۶ میلیارد دلار فراتر رفت.

بایننس در ساعت ۱۱ و ۳۵ دقیقه‌ی شب ۲۹ اکتبر، ارزش تاییدشتده‌ی دارایی‌های مسدودشده را ۲.۵۴ میلیارد دلار اعلام کرد. توضیحات جدید برای تعدیل اختلاف میان ارقام مختلف، شامل ۱.۸ میلیارد دلار، منتشر شد. صرافی ذکر کرد که با نهادهای مجری قانون، صادرکنندگان توکن، شرکت‌های اطلاعات بلاک‌چین و دیگر فعالان صنعت همکاری می‌کند.

World Liberty Financial همچنین ۲۷ میلیون دلار از استیبل‌کوین USD1 و ۲ میلیون دلار توکن WLFI را مسدود کرد. زک ویتکاف، هم‌بنیان‌گذار و مدیرعامل این شرکت، از همکاری با BitGo برای متوقف کردن دارایی‌ها خبر داد. ریپل همچنین با تأیید جک مک‌دونالد، مسئول ارشد بخش استیبل‌کوین، دارایی‌های RLUSD مرتبط با هک را مسدود کرد، هرچند که رقم دقیقی در این خصوص ارائه نشد.

فرست‌دیجیتال در ساعت ۲ و ۲۱ دقیقه‌ی بامداد ۳۰ اکتبر تأیید کرد که FDUSD سرقت شده را متوقف کرده است. وینسنت چوک، مدیرعامل First Digital، بیان کرد که تیم تحت مدیریت او با همکاری با بایننس، اولویت خود را حفاظت از دارندگان FDUSD و جلوگیری از انتقال دارایی‌ها به‌وسیله‌ی مهاجمان قرار داده‌اند.

Chainalysis همچنین شورای امنیت آربیتروم را در حال اجرای تراکنشی برای مسدود کردن ۳۰.۵ میلیون دلار تأیید کرد. دارایی‌های شامل این اقدام، ۷۴.۶ میلیون ARB و ۸٬۴۲۵ ETH بودند. شورا اعلام کرد که وجوه تا ۳۰ اکتبر با موفقیت به یک کیف‌پول واسط مسدودشده انتقال یافته و دارنده‌ی آدرس اولیه دیگر به آن‌ها دسترسی نخواهد داشت. جابه‌جایی‌های بعدی تنها با اقدام شورای امنیت یا رأی حاکمیتی Arbitrum DAO ممکن خواهد بود.

با اجرای این تدابیر جدید، بایننس در ساعت ۱۲ و ۵۲ دقیقه‌ی بامداد به ارزش تاییدشده‌ی دارایی‌های مسدودشده، ۳ میلیارد دلار را اعلام کرد.

چین‌الیسیس ارزش دارایی‌های سرقت‌شده در زمان رخداد را ۵.۹۱۲ میلیارد دلار تخمین زد. به‌گزارش این مجموعه، هک بایننس تقریباً چهار برابر بیشتر از خسارت وارده در صرافی Bybit در سال ۲۰۲۵ بوده است. ساعات بعد، بایننس اثر مالی کل را حدود ۶.۳ میلیارد دلار اعلام کرد.

اختلاف در این ارقام الزاما نشان‌دهنده‌ی تناقض نیست. قیمت دارایی‌های رمزارزی به‌طور دائم نوسان دارد و برخی تخمین‌ها به موجودی آدرس‌های مرتبط با مهاجم می‌پردازند درحالی‌که دیگران ارزش دارایی را در لحظه‌ی سرقت محاسبه می‌کنند. میزان «مسدود‌شده» نیز به طور خاص شامل وجوهی است که به‌طور رسمی در جلوگیری از آن‌ها تأیید شده باشد.

پروتکل وام‌دهی غیرمتمرکز Aave پس از رصد فعالیت‌های آدرس مهاجم، بازارهای V3 و V4 را به عنوان اقدام احتیاطی مسدود کرد. گزارش LlamaRisk نشان می‌دهد که مهاجم ۶۰ میلیون USDT را سپرده‌گذاری کرده و ۱۹٬۷۶۲ WETH به ارزش تقریباً ۴۴.۶ میلیون دلار وام گرفته است.

این وام‌گیری بین ساعت ۸ و ۵۸ دقیقه تا ۹ و یک دقیقه‌ی شب ۲۹ اکتبر به وقت UTC انجام شد؛ حدود ۴۰ دقیقه پیش از آنکه بازار به حالت تعلیق درآید. این موقعیت تنها تعامل ثبت شده مهاجم در Aave بود و از آن پس، هیچ فعالیت دیگری شناسایی نشد.

در زمان ثبت این وضعیت، ۵۹.۹ میلیون دلار USDT به عنوان وثیقه و در برابر ۴۳.۸ میلیون دلار بدهی قرار داشت. LlamaRisk اعلام کرده که این موقعیت همچنین تابع مکانیسم‌های عادی لیکوییدشدن خواهد بود و تأثیری بر تأمین‌کنندگان Aave نخواهد داشت.

بر اساس اطلاعات جدید، توقف‌ها شامل ۱۷۵ ذخیره‌ی V3 در ۱۶ شبکه و ۱۱۷ ذخیره‌ی V4 در چهار شبکه بوده است. کاربران همچنان می‌توانند وجوه خود را برداشت و وام‌ها را بازپرداخت کنند، در حالی که فرایند لیکوییدشدن نیز ادامه دارد. ولی ثبت وام‌گیری یا سپرده‌گذاری جدید، بخصوص در زمینه افزودن وثیقه، امکان‌پذیر نیست. در نتیجه، تنها راه بهبود ضریب سلامت موقعیت‌های موجود به بازپرداخت مربوط می‌شود.

LlamaRisk اعلام کرده که بازگشایی مرحله‌ای بازارها به توقف دسترسی‌های مهاجم و فراهم‌سازی اطلاعات شفاف‌تر از سوی بایننس درباره‌ی مهار حادثه وابسته خواهد بود. توقف طولانی ممکن است با کاهش نقدینگی ناشی از برداشت‌ها، نرخ وام‌گیری را افزایش دهد.

شرکت‌های Wintermute و GSR اعلام کردند که بخشی از دارایی‌های خود را در بایننس قرار داده‌اند، اما انتظار نداشته و اختلال قابل توجهی در فعالیت‌های خود را تجربه نمی‌کنند. این بازارسازان با ثبت سفارش‌های خرید و فروش، امکان تعامل برای سایر کاربران را تسهیل می‌کنند. هرگونه اختلال در عملکرد آنها می‌تواند بر خرید و فروش رمزارزها تأثیر بگذارد.

شین سونگ، مدیرعامل GSR، بیان کرد که میزان مواجهه تیم او کمتر از ۵ درصد از مجموع ارزش خالص حقوق سهام‌شان است. اوگنی گائووی، مدیرعامل Wintermute، نیز سهم بایننس را کمتر از ۲۰ درصد ارزش خالص حقوق سهام خود اعلام کرد، اما هیچ‌ یک از آنها مبلغ دقیق یا زیان مالی خاصی را فاش نکردند.

در ساعت ۱ و ۱۹ دقیقه‌ی بامداد ۳۰ اکتبر، بیت‌کوین نزدیک ۷۶٬۹۳۷ دلار معامله می‌شد و در طول ۲۴ ساعت ۴.۹ درصد افت کرده است. همچنین، BNB با کاهشی ۸ درصدی به حدود ۶۹۳ دلار رسید و اتر نیز با کاهش ۵.۷ درصد به محدوده‌ی ۲٬۲۱۱ دلار نزدیک شد.

توکن‌های حوزه مالی غیرمتمرکز نیز تحت تأثیر این فشار فروش قرار نگرفتند. AAVE در دوره‌ی مشابه ۱۱.۳ درصد و UNI حدود ۱۰.۷ درصد کاهش پیدا کردند. شاخص ترس و طمع بیت‌کوین با امتیاز ۳۰ وارد وضعیت «ترس» شد که از ماه گذشته تا کنون بی‌سابقه بوده است.

جفری کندریک، مدیر جهانی تحقیقات دارایی‌های دیجیتال در Standard Chartered، اظهار داشت که هک بایننس می‌تواند به افزایش سهم صرافی‌های غیرمتمرکز کمک کند و در پی آن به Uniswap در درازمدت یاری خواهد رساند. او هدف قیمت ۱۰۰ دلاری برای توکن UNI تا سال ۲۰۳۰ را همچنان حفظ کرده و این رخداد را عاملی می‌داند که ممکن است پیش‌بینی‌های او را به سمت محافظه‌کارانه‌تر پیش ببرد.

آمار CoinGecko نشان می‌دهد نسبت معاملات نقدی ۱۰ صرافی غیرمتمرکز برتر به معاملات صرافی‌های متمرکز در سه‌ماهه‌ی دوم ۲۰۲۶ به ۲۳.۵ درصد رسیده که در مقایسه با سه‌ماهه‌ی اول همان سال ۲.۱ واحد درصد افزایش یافته است.

کندریک به سرمایه‌گذاران پیشنهاد کرد که به نتایج Uniswap توجه کنند. به گفته‌ی او، Uniswap تابحال هیچ گونه نفوذ امنیتی موفقیت‌آمیزی را تجربه نکرده و وقوع رخنه در بزرگ‌ترین صرافی متمرکز جهان احتمالاً روند افزایش نسبت معاملات DEX به CEX را شتاب خواهد بخشید. اما وی تأکید کرد که سابقه‌ی امنیتی Uniswap به‌تنهایی تضمینی علیه ریسک‌های مربوط به قراردادهای هوشمند، رابط‌های کاربری یا دارایی‌های معامله‌شده نخواهد بود.

بایننس در مرحله اول برداشت‌ها را توقف و سپس واریزها را به دلیل انجام بررسی‌های امنیتی، مسدود کرد و تلاش کرد تا وجوه را کنترل کند و با نهادهای مجری قانون همکاری نماید. این صرافی وعده داد که برداشت‌ها دوباره بعد از رفع مشکل امنیتی از سر گرفته خواهد شد. هنوز زمان خاصی برای بازگشت کامل خدمات اعلام نشده است.

پوشش تمامی خسارات، وعده‌ای اساسی از سوی بایننس در ساعات اولیه بحران بود، اما پاسخ نهایی به تعدادی از سوالات بستگی به گزارش پس از حادثه خواهد داشت. بازبینی اینکه لپ‌تاپ مهندس چگونه آسیب‌پذیر شده، فرآیند ارسال تراکنش‌های غیرمجاز، کنترل‌های چندلایه‌ی امضا و چرایی عبور درخواست‌ها از سامانه‌های تشخیص خطر باید به‌طور دقیق مشخص شود.

این حادثه بلافاصله پس از وتوی موقت معاملات در Polymarket روی داد. پلتفرم پیش‌بینی بازار، نفوذ به یک تامین‌کننده‌ی خدمات شخص ثالث را دلیل مشکل خود ذکر کرد و قول جبران خسارات کاربران آسیب‌دیده را داد و بیان کرد که همه‌ی سیستم‌ها تا ساعت ۷ و ۵ دقیقه‌ی عصر پنجشنبه به وقت UTC دوباره قابل استفاده خواهند بود. شواهد موجود هیچ ارتباطی میان دو حادثه را نشان نمی‌دهد.

تلاش‌های چندجانبه برای مسدود کردن میلیاردها دلار نشان داد که صادرکنندگان استیبل‌کوین و شورای برخی شبکه‌ها توان کنترل و جلوگیری از دارایی‌ها را دارند. این توانایی همچنین سوالات زیادی در مورد تمرکز کنترل در بخش‌های مختلف اقتصاد دیجیتال مطرح می‌کند. در عوض، سریع‌ترین واکنش به جلوگیری از نقل و انتقال بخش بزرگی از وجوه منجر شد و فاصله‌ی میان مقدار ۶.۳ میلیارد دلار آسیب و ۳ میلیارد دلار دارایی مسدود شده را کاهش داد.

نتیجه نهایی به دقت در ردیابی وجوه باقیمانده، اعتبارسنجی برآوردها و ارائه گزارش فنی بایننس بستگی دارد. تا آن زمان، نفوذ به لپ‌تاپ مهندس به‌عنوان یک نمونه روشن از واقعیتی گسترده‌تر پذیرفته می‌شود؛ امنیت سامانه‌های مالی تنها به حفاظت از کلید خصوصی بستگی ندارد و هر حلقه‌ی مجاز امضا می‌تواند به ورودی مهاجم تبدیل شود.

نظرات شما در مورد تأثیرات این هک بر آینده‌ی صرافی‌های متمرکز چیست؟