در ۲۹ اکتبر ۲۰۲۶، حدود ساعت ۴:۲۰ بعدازظهر به وقت شرقی، وجوهی شروع به خروج از کیف‌پول‌های داغ بایننس کردند که هیچ‌کس در بایننس آن را تأیید نکرده بود. تا صبح روز بعد که غبار فرو نشست، چینالیسیس میزان سرقت را حدود ۶.۴ میلیارد دلار و بایننس را ۶.۳ میلیارد دلار اعلام کرد. این بزرگ‌ترین سرقت کریپتویی ثبت‌شده است، تقریباً چهار برابر هک بای‌بیت که از فوریه ۲۰۲۵ عنوان را در دست داشت. عدد تیتر خشن است. عدد جالب‌تر دیگری است: نزدیک به ۳ میلیارد دلار از آن در عرض چند ساعت روی زنجیره مسدود شد و تقریباً همه آن از یک منبع واحد می‌آمد. ناشران استیبل‌کوین یک دکمه را فشار دادند.
آن دکمه همان بخشی از کریپتو است که بیشتر کریپتو-nativeها عاشق شکایت از آن هستند. این هفته تنها چیزی بود که کار کرد.
در هک بایننس چه اتفاقی افتاد؟
تحقیقات اولیه بایننس به یک لپ‌تاپ مهندس DevOps نفوذشده اشاره می‌کند. از آنجا، مهاجم به یک کانتینر سرویس دسترسی پیدا کرد و تراکنش‌های برداشتی را ارسال کرد که سیستم آن‌ها را قانونی تلقی کرد. بایننس بعداً گفت که نقاط نفوذ بیشتری فراتر از لپ‌تاپ پیدا کرده و هیچ مدرکی از افشای کلید خصوصی کیف‌پول ندیده است..... یک گزارش کامل پس از تأیید حقایق وعده داده شده است. با این حال، ریچارد تنگ، هم‌مدیرعامل، چیزی جراحی‌تر از یک حمله و گریز توصیف کرد. او گفت که حمله یک اقدام «یک کلیکی» نبود، که مهاجم از یک مکانیزم خودتخریبی برای پاک کردن ردپاها استفاده کرد.... و اینکه یک تفویض EIP 7702 به مهاجم اختیار اجرا بر یک کیف‌پول داغ داد و کنترل‌های تأیید عادی را دور زد. ایدو بن ناتان از Blockaid صریح گفت: این ارتقا به مهاجمان «راهی برای انجام این کار در یک جاروب» داد. بدون آن، همان تخلیه به تراکنش‌های جداگانه بسیاری نیاز داشت که هر یک فرصتی برای فعال شدن نظارت بود.چینالیسیس و TRM Labs هر دو این سرقت را به TraderTraitor نسبت می‌دهند، همان واحد کره شمالی که FBI برای هک بای‌بیت نام برد. TRM می‌گوید این نظر را با اطمینان بالا دارد. محقق آن‌چین ZachXBT و چینالیسیس هر دو دریافتند که عواید بایننس با وجوه بهره‌برداری Bitget ماه گذشته ترکیب شده و از طریق THORChain به همان آدرس رسیده است. همان بازیگر، دومین صرافی در حدود چهار هفته.
EIP 7702 چگونه تخلیه را سریع‌تر کرد؟
EIP 7702 همراه با ارتقای Pectra اتریوم عرضه شد.. این امکان را می‌دهد که یک حساب معمولی خارجی مالکیت اجرای خود را به کد قرارداد هوشمند تفویض کند، بنابراین یک کیف‌پول عادی می‌تواند تراکنش‌ها را دسته‌بندی کند، گس را حمایت مالی کند یا قوانین خرج سفارشی را دنبال کند. ، طبق مشخصات EIP-7702، این تفویض با یک مجوز امضاشده تنظیم می‌شود و تا زمانی که جایگزین یا پاک نشود معتبر می‌ماند.
برای کاربران، این یک ویژگی راحتی است. برای مهاجمی که یک مجوز معتبر از داخل زیرساخت یک صرافی دریافت می‌کند، این یک کلید اصلی با پردازنده دسته‌ای داخلی است.. به جای هل دادن برداشت‌ها یکی‌یکی از صف‌های تأیید، کد تفویض‌شده می‌تواند یک کیف‌پول را در یک جریان واحد جاروب کند. ایوو گئورگیف از Ambire ریسک بعدی را علامت زد: مهندسانی که کنترل یک حساب نفوذشده را دوباره به دست می‌آورند ممکن است متوجه نشوند که یک تفویض مخرب هنوز به آن متصل است.
هیچ‌کدام از اینها به معنای خراب بودن EIP 7702 نیست. به این معناست که زیرساخت امضای صرافی اکنون کلاس جدیدی از مجوز برای نظارت دارد. و حداقل یکی از بزرگ‌ترین اپراتورهای صنعت به اندازه کافی آن را زیر نظر نداشت.
چه کسی چه چیزی را مسدود کرد، و چقدر سریع؟
چینالیسیس اولین مسدودسازی‌ها را ساعت ۵:۱۴ بعدازظهر به وقت شرقی، حدود ۵۴ دقیقه پس از اولین خروج‌ها زمان‌بندی کرد.... پائولو آردوینو از تتر و جرمی آلر از سیرکل حتی قبل از توقف برداشت‌ها توسط بایننس، مجموع مسدودسازی‌ها را منتشر می‌کردند.. اینجا چیزی است که ناشران و پروتکل‌ها گزارش دادند.
| طرف مسدودکننده | دارایی | مبلغ مسدودشده | مکانیزم مسدودسازی |
|---|---|---|---|
| تتر | USDT | بیش از ۱.۵۶۷ میلیارد دلار | لیست سیاه ناشر در قرارداد توکن |
| سیرکل | USDC | بیش از ۸۰۰ میلیون دلار | لیست سیاه ناشر در قرارداد توکن |
| شورای امنیت آربیتروم | ۷۴...۶ میلیون ARB و ۸,۴۲۵ ETH | حدود ۳۰.۵ میلیون دلار | اقدام اضطراری حاکمیتی در آربیتروم |
| World Liberty Financial | USD1 و WLFI | ۲۷ میلیون دلار USD1، ۲ میلیون دلار WLFI | لیست سیاه ناشر |
| ریپل | RLUSD | افشا نشده | لیست سیاه ناشر |
| First Digital | FDUSD | افشا نشده | لیست سیاه ناشر |
| هیچ‌کس | ETH روی مین‌نت، BTC | ۰ دلار | هیچ‌کدام وجود ندارد |
مجموع در حال اجرای خود بایننس به حدود ۳ میلیارد دلار مسدودشده رسید. چینالیسیس آن را نزدیک به ۲...۸ میلیارد دلار می‌داند و الیپتیک تخمین زد که حدود ۴۴ درصد از دارایی‌های stolen مسدود شده‌اند، و استیبل‌کوین‌ها تقریباً همه آن را تشکیل می‌دهند. تتر و سیرکل به تنهایی حدود ۲..۳۷ میلیارد دلار را شامل می‌شوند. اگر ناشران استیبل‌کوین را کنار بگذارید، تلاش جمعی صنعت برای مسدودسازی به چند ده میلیون دلار می‌رسد که بیشتر آن از یک اقدام اضطراری واحد توسط شورای امنیت آربیتروم است.
چرا هکرها توانستند ۳ میلیارد دلار دیگر را نگه دارند؟
چون ۳ میلیارد دلار دیگر، دارایی‌هایی بودند یا به سرعت تبدیل به دارایی‌هایی شدند که هیچ‌کس کنترلشان را ندارد. ETH بومی و BTC هیچ کلید ادمین و هیچ عملکرد لیست سیاهی ندارند.... وقتی ارزش stolen آنجا می‌نشیند، تنها ابزارهای باقی‌مانده ردیابی، همکاری صرافی و شانس است. البته، مهاجمان این را می‌دانستند و بر همین اساس حرکت کردند.... چینالیسیس حدود ۵۰۰ میلیون دلار استیبل‌کوین را به کیف‌پولی که برای یک کار ساخته شده بود ردیابی کرد و دارایی‌های قابل مسدودسازی را به غیرقابل مسدودسازی تبدیل کرد. در حدود ۲۰ دقیقه، ۳۲۵ میلیون دلار استیبل‌کوین به ۲۸۵ میلیون دلار ETH تبدیل شد. حدود ده دقیقه بعد، ۱۷۵ میلیون دلار باقی‌مانده به کیف‌پول‌های واسطه منتقل شد. ، TRM Labs می‌گوید مهاجمان همچنین USDT را به بازارسازان فروختند و ETH را در برابر وثیقه استیبل‌کوین قرض گرفتند.جالب اینکه، آخرین تاکتیک مستقیماً به Aave ضربه زد. حدود ۴۰ دقیقه قبل از اعمال مسدودسازی‌ها، بهره‌بردار ۶۰ میلیون USDT واریز کرد و حدود ۱۹,۷۶۲ WETH قرض گرفت که ارزشی معادل حدود ۴۴.۶ میلیون دلار داشت..... LlamaRisk تأیید کرد که موقعیت بیش از حد وثیقه‌گذاری شده بود و هیچ ریسکی برای تأمین‌کنندگان نداشت. Aave با این حال ۱۷۵ ذخیره V3 در ۱۶ شبکه و ۱۱۷ ذخیره V4 در چهار شبکه را به عنوان احتیاط مسدود کرد، سپس وام‌دهی و وام‌گیری را در ۳۰ اکتبر دوباره فعال کرد... منطق معامله به‌طور جدی هوشمندانه است: USDT را که ممکن است مسدود شود واریز کن، با ETH که نمی‌تواند مسدود شود برو، و بگذار پروتکل وام‌دهی کیسه وثیقه لیست سیاه‌شده را نگه دارد.
تحلیل ما از داده‌های جریان چینالیسیس نشان می‌دهد که سرعت برای مهاجم چه ارزشی داشت. تبدیل ۳۲۵ میلیون دلار استیبل‌کوین به ۲۸۵ میلیون دلار ETH حدود ۴۰ میلیون دلار هزینه داشت، یک کاهش ۱۲.۳ درصدی از لغزش و اجرای عجولانه. پرداخت بیش از یک دلار از هر هشت دلار برای فرار از لیست مسدودسازی نشان می‌دهد که اپراتورهای کره شمالی چقدر زمان پاسخ تتر و سیرکل را جدی می‌گیرند. چینالیسیس همچنین هزاران تراکنش خودکار را علامت زد، که بسیاری از آدرس‌های تازه ابتدا دقیقاً ۱ TRX دریافت کردند، و لوین گفت مبالغ بزرگی به آدرس‌های ترون منتقل شد.
هک بایننس در مقابل هک بای‌بیت چه چیزی تغییر کرد؟
| معیار | بای‌بیت (فوریه ۲۰۲۵) | بایننس (اکتبر ۲۰۲۶) |
|---|---|---|
| مبلغ stolen | حدود ۱.۵ میلیارد دلار | ۶.۳ تا ۶.۴ میلیارد دلار |
| نسبت داده شده به | TraderTraitor (FBI) | TraderTraitor (چینالیسیس، TRM Labs) |
| نقطه ورود | ماشین توسعه‌دهنده نفوذشده در یک ارائه‌دهنده کیف‌پول | لپ‌تاپ مهندس DevOps نفوذشده، به علاوه نقاط نفوذ بیشتر |
| ترکیب دارایی stolen | عمدتاً ETH و ETH استیک‌شده | سهم بزرگ استیبل‌کوین به علاوه ETH، BTC و توکن‌های دیگر |
| سهم مسدودشده | کسر کوچکی | حدود ۴۴ تا ۴۸ درصد |
| اولین مسدودسازی ناشران | محدود، دارایی‌های قابل مسدودسازی کم | حدود ۵۴ دقیقه پس از اولین خروج‌ها |
تضاد داستان است.. بای‌بیت تقریباً تماماً ETH غیرقابل مسدودسازی را از دست داد و تلاش برای بازیابی بیشتر تمرینی در تماشای شست‌وشوی آن بود.. بایننس توده بسیار بزرگ‌تری را از دست داد، اما سهم بسیار بزرگ‌تری از آن در توکن‌هایی بود که ناشری پشت آن‌هاست. ، هر چه بیشتر کیف‌پول داغ یک صرافی در استیبل‌کوین‌های صادرشده مرکزی نگهداری شود، بیشتر یک سرقت می‌تواند پس گرفته شود.... ، این درسی ناراحت‌کننده برای هر کسی است که استیبل‌کوین‌ها را به عنوان «کریپتو بدون نوسان» فروخت و بخش «با یک کلید کشتار» را نادیده گرفت.
آیا مشتریان بایننس پوشش داده می‌شوند؟
بایننس می‌گوید بله. یی هه، هم‌بنیان‌گذار، گفت که صرافی تمام ضررها را پوشش خواهد داد و چانگپنگ ژائو پست کرد که انتظار دارد وجوه کاربران به طور کامل پوشش داده شود. بایننس می‌گوید بیش از ۶.۳۴ میلیارد دلار از وجوه شرکت را کنار گذاشته است که حدود ۵ میلیارد دلار آن از قبل در همان توکن‌هایی نگهداری می‌شود که stolen شده بودند. بقیه را به صورت OTC و در صرافی‌ها خریداری می‌کند و هشدار می‌دهد که نقدینگی کم ممکن است برخی خریدها را کند کند.
به طور شگفت‌انگیزی، واریزها همچنان کار می‌کردند... برداشت‌ها در ساعت ۶:۵۵ بعدازظهر به وقت شرقی در ۲۹ اکتبر متوقف شدند و آخرین راهنمایی، راه‌اندازی مجدد مرحله‌ای را در حدود ۴۰ ساعت پس از به‌روزرسانی ۳۰ اکتبر بایننس هدف قرار می‌دهد که این آخر هفته می‌رسد... اثبات ذخایر به‌روزشده تا دوشنبه موعد مقرر است.. بایننس ظاهراً با FBI همکاری می‌کند.
فقط برای اطلاع شما، طرف‌های مقابل به سرعت مواجهه خود را افشا کردند. وینترموت گفت مواجهه آن کمتر از ۲۰ درصد از حقوق صاحبان سهام خالص بود و GSR گفت کمتر از ۵ درصد. بای‌بیت تأیید کرد که تحت تأثیر قرار نگرفته است.
بازار کریپتو چگونه واکنش نشان داد؟
بد، هرچند هک در روزی که از قبل متزلزل بود پس از توقف فدرال رزرو و درآمدهای ضعیف فناوری رخ داد.... تا ۳۰ اکتبر، داده‌های CoinGecko نشان داد بیت‌کوین در ۲۴ ساعت ۴...۹ درصد کاهش یافت به حدود ۷۶,۹۳۷ دلار.... اتر ۵...۷ درصد کاهش یافت به حدود ۲,۲۱۱ دلار. BNB ۸ درصد کاهش یافت به حدود ۶۹۳ دلار، AAVE ۱۱...۳ درصد و UNI ۱۰.۷ درصد از دست دادند.... شاخص ترس و طمع بیت‌کوین به ۳۰ رسید، پایین‌ترین خوانش از آگوست.
این برای هر کسی که کریپتو را در یک صرافی نگه می‌دارد چه معنایی دارد
چند نکته عملی، هیچ‌کدام جدید نیستند، همه به تازگی زیر خط کشیده شده‌اند. مهم‌تر از همه، موجودی صرافی یک IOU است. به نظر می‌رسد بایننس قادر به جذب ضرر ۶ میلیارد دلاری است. تعداد بسیار کمی از اپراتورها روی زمین می‌توانستند.... توقف برداشت‌ها حتی زمانی که صرافی حلال است اتفاق می‌افتد، و دقیقاً زمانی رخ می‌دهد که بیشتر از همه سکه‌هایتان را می‌خواهید.مسدودسازی استیبل‌کوین دو طرفه است. همان لیست سیاهی که در اینجا حدود ۲.۴ میلیارد دلار را نجات داد، همان است که می‌تواند یک کیف‌پول بی‌گناه را که اتفاقاً وجوه آلوده دریافت کرده قفل کند. اگر پس از یک هک بزرگ USDT یا USDC از منبع ناشناخته دریافت می‌کنید، قبل از انتقال بیشتر، آدرس فرستنده را با ردیاب‌های عمومی بررسی کنید.
وجوه بیکار را در خودحفاظتی نگه دارید. این برای حساب‌های معاملاتی و موجودی‌های قمار به طور یکسان صدق می‌کند. پلتفرم‌هایی مانند CryptoCasino.Vegas که برداشت‌ها را مستقیماً به کیف‌پول خود بازیکن پرداخت می‌کنند، پیروی از این اصل را آسان می‌کنند: هر چه زمان کمتری سکه‌های شما در کیف‌پول داغ شخص دیگری بنشیند، یک لپ‌تاپ نفوذشده در نیمه دیگر جهان کمتر می‌تواند برای شما هزینه داشته باشد.
رقم نهایی بازیابی با ادامه ردیابی تغییر خواهد کرد و تاریخ می‌گوید پایین می‌رود، نه بالا. خلاصه خود لوین از مرحله شست‌وشو همان چیزی است که باید به یاد داشته باشید: هر چه وجوه دورتر سفر کنند، فرصت‌های توقیف کمتر می‌شوند... دکمه مسدودسازی نزدیک به نیمی را در عرض یک ساعت پس گرفت... هر چیزی بعد از آن یک تعقیب است.
