کلید خصوصی لو نرفته بود؛ پس چگونه میلیاردها دلار از کیف‌پول‌های بایننس خارج شد؟
سرقت میلیاردی از بایننس پرسشی مهم‌تر از هویت مهاجمان مطرح کرده است: اگر کلیدهای خصوصی کیف‌پول‌ها افشا نشده باشند، چگونه امکان انتقال میلیاردها دلار دارایی فراهم شده است؟
نقطه شکست احتمالی بایننس کجا بود؟
در بررسی حملات سایبری به سامانه‌های مالی، معمولاً توجه اصلی به سرقت رمز عبور، افشای کلید خصوصی یا کشف یک آسیب‌پذیری نرم‌افزاری معطوف می‌شود. اما حادثه امنیتی بایننس نشان می‌دهد که برای ارزیابی یک رخداد بزرگ باید پرسش دیگری را هم مطرح کرد: چه کسی یا چه سامانه‌ای اختیار تأیید و اجرای انتقال دارایی را در اختیار دارد؟
طبق اطلاعیه رسمی بایننس در ۳۰ اکتبر ۲۰۲۶، این صرافی در پی رخدادی که از حدود ساعت ۲۰:۰۵ روز ۲۹ اکتبر آغاز شد، با خروج غیرمجاز دارایی از کیف‌پول‌های گرم خود مواجه شد. بایننس ارزش دارایی‌های تحت تأثیر را حدود ۶٫۳ میلیارد دلار اعلام کرد. شرکت تحلیل بلاک‌چین TRM Labs نیز مجموع انتقال‌ها را با احتساب قیمت دارایی‌ها در زمان تراکنش، حدود ۶٫۳۶ میلیارد دلار برآورد کرد.
اما مهم‌ترین نکته فنی در توضیحات اولیه بایننس، اعلام این موضوع بود که تاکنون شواهدی از افشای کلیدهای خصوصی کیف‌پول‌ها پیدا نشده است. این موضوع به‌تنهایی مشخص نمی‌کند مهاجم دقیقاً چگونه کنترل انتقال دارایی را به دست آورده، اما نشان می‌دهد که بررسی حادثه نباید صرفاً بر احتمال سرقت کلیدها متمرکز بماند.
چرا امنیت کلید خصوصی به‌تنهایی کافی نیست؟
کلید خصوصی یکی از مهم‌ترین اجزای امنیت دارایی‌های رمزارزی است؛ زیرا برای تأیید تراکنش‌ها در بسیاری از سازوکارهای بلاک‌چینی به کار می‌رود. بااین‌حال، در یک صرافی بزرگ، کلید خصوصی تنها بخشی از سامانه‌ای است که برداشت‌ها را مدیریت می‌کند.
در چنین زیرساختی، درخواست برداشت ممکن است از چندین لایه نرم‌افزاری و عملیاتی عبور کند. سامانه مدیریت حساب، کنترل‌های دسترسی، سرویس‌های پردازش تراکنش و سازوکار امضا باید اطمینان حاصل کنند که انتقال با مجوز معتبر و مطابق سیاست‌های امنیتی انجام می‌شود.
اگر یکی از این لایه‌ها به خطر بیفتد، ممکن است مهاجم بتواند از اختیارات یک سرویس یا مسیر تأیید سوءاستفاده کند؛ حتی اگر هنوز مدرکی مبنی بر افشای مستقیم کلید خصوصی وجود نداشته باشد.
تحلیل TRM Labs از انتقال‌های هماهنگ در چندین شبکه نیز این احتمال را مطرح می‌کند که مشکل به زیرساخت امضای تراکنش کیف‌پول‌های گرم محدود به یک شبکه نبوده باشد. این برداشت یک ارزیابی فنی از الگوی تراکنش‌هاست و نباید آن را با نتیجه نهایی تحقیقات بایننس یکسان دانست.
چرا انتقال دارایی در چند شبکه اهمیت دارد؟
بر اساس گزارش TRM Labs، دارایی‌هایی به ارزش تقریبی ۶٫۳۶ میلیارد دلار از کیف‌پول‌های منتسب به بایننس در ۱۰ شبکه بلاک‌چینی خارج شدند. بخش عمده انتقال‌ها در حدود ۲۰ دقیقه انجام شد.
این گستردگی از نظر امنیتی اهمیت دارد؛ زیرا اتریوم، بیت‌کوین، ترون و سولانا از نظر معماری و سازوکار تأیید تراکنش یکسان نیستند. مشاهده خروج دارایی از چند شبکه، این پرسش را مطرح می‌کند که آیا مهاجم به یک نقطه کنترل مشترک دسترسی داشته یا چند مسیر مستقل را تحت تأثیر قرار داده است.
پاسخ قطعی به این پرسش به بررسی معماری داخلی صرافی و گزارش نهایی حادثه وابسته است. بااین‌حال، هم‌زمانی انتقال‌ها نشان می‌دهد بررسی امنیت یک صرافی بزرگ نباید به ممیزی جداگانه هر بلاک‌چین محدود شود.
یک سامانه می‌تواند از نظر فنی با چندین شبکه متفاوت تعامل داشته باشد، اما همچنان به زیرساخت‌های عملیاتی مشترکی وابسته باشد. اگر آن زیرساخت‌ها نتوانند درخواست‌های غیرمجاز را شناسایی و متوقف کنند، جدایی فنی شبکه‌ها لزوماً مانع گسترش دامنه حادثه نخواهد شد.
EIP-7702؛ قابلیت اتریوم یا منشأ اصلی مشکل؟
یکی از جزئیات فنی گزارش TRM Labs، استفاده از EIP-7702 در بخش اتریومی این حمله است. بر اساس گزارش این شرکت، مهاجم از مجوزهای از پیش امضاشده استفاده کرد تا انتقال دارایی‌ها را از کیف‌پول تحت تأثیر ممکن کند.
EIP-7702 سازوکاری در اتریوم است که امکان می‌دهد حساب‌های معمولی، تحت شرایط مشخص، رفتاری مبتنی بر کد قرارداد هوشمند داشته باشند. این قابلیت برای افزایش انعطاف‌پذیری حساب‌ها طراحی شده است و وجود آن به‌خودی‌خود به معنای وجود آسیب‌پذیری در شبکه اتریوم نیست.
برای تحلیل درست حادثه باید سه موضوع را از هم جدا کرد:
-
قابلیت پروتکل: سازوکاری که شبکه برای اجرای عملیات مشخص فراهم می‌کند.
-
مجوز دسترسی: اختیاری که به یک حساب یا عملیات اجازه انجام اقدام مشخص می‌دهد.
-
زیرساخت عملیاتی: سامانه‌هایی که مجوزها را مدیریت و تراکنش‌ها را آماده یا اجرا می‌کنند.
مشکل امنیتی ممکن است از نحوه مدیریت مجوزها یا دسترسی به زیرساخت عملیاتی ناشی شود؛ بنابراین، صرف مشاهده استفاده از EIP-7702 برای نتیجه‌گیری درباره وجود نقص در خود اتریوم کافی نیست.
این تمایز برای جلوگیری از برداشت نادرست کاربران اهمیت دارد. هک یک صرافی که از شبکه اتریوم استفاده می‌کند، به‌معنای هک‌شدن خود شبکه اتریوم یا آسیب‌پذیری تمام کیف‌پول‌های مبتنی بر آن نیست.
چرا احتمال نفوذ از تجهیزات کاری اهمیت دارد؟
بایننس در اطلاعیه خود توضیح داد که بررسی اولیه به احتمال ارتباط حادثه با لپ‌تاپ آلوده یکی از مهندسان DevOps اشاره داشت، اما تحقیقات بعدی نقاط نفوذ دیگری را نیز آشکار کرد. این شرکت تأکید کرده است که بررسی‌ها ادامه دارند و هنوز شواهدی از افشای کلیدهای خصوصی پیدا نشده است.
این توضیحات اهمیت امنیت تجهیزات کاری و دسترسی‌های سازمانی را برجسته می‌کنند. در یک سازمان فناوری، دستگاه کارمند ممکن است به ابزارهای توسعه، سرویس‌های داخلی یا محیط‌های عملیاتی متصل باشد. اگر سطح دسترسی این تجهیزات بیش از نیاز واقعی باشد، نفوذ به یک دستگاه می‌تواند خطراتی فراتر از همان دستگاه ایجاد کند.
البته اطلاعات منتشرشده برای نتیجه‌گیری درباره مسئولیت یک کارمند یا تعیین مسیر کامل حمله کافی نیست. بایننس نیز اعلام کرده که تحقیقات برای مشخص‌کردن تمام عوامل مؤثر در حادثه ادامه دارد.
درس اصلی برای سازمان‌ها این نیست که تجهیزات کارکنان ذاتاً ناامن هستند؛ بلکه باید دسترسی هر دستگاه و حساب کاربری متناسب با نیاز واقعی آن محدود شود و عملیات حساس به یک مجوز یا نقطه کنترل واحد وابسته نباشد.
مسدودسازی میلیاردها دلار چه چیزی را ثابت می‌کند؟
بایننس در اطلاعیه ۳۰ اکتبر از مسدودسازی حدود ۳ میلیارد دلار از دارایی‌های مرتبط با حادثه خبر داد. این شرکت اعلام کرد که با نهادهای مسئول، شرکت‌های تحلیل بلاک‌چین و صادرکنندگان دارایی‌های دیجیتال برای ردیابی و بازیابی وجوه همکاری می‌کند.
مسدودسازی دارایی‌ها نشان می‌دهد واکنش به یک حمله رمزارزی الزاماً با پایان انتقال‌های اولیه تمام نمی‌شود. ردیابی تراکنش‌ها، شناسایی نشانی‌های مرتبط و هماهنگی میان ارائه‌دهندگان خدمات می‌تواند به محدودکردن امکان استفاده از بخشی از دارایی‌های سرقت‌شده کمک کند.
بااین‌حال، دارایی‌های دیجیتال از نظر امکان مسدودسازی یکسان نیستند. برخی توکن‌ها سازوکارهایی برای اعمال محدودیت توسط صادرکننده دارند؛ اما درباره دارایی‌های دیگر، بازیابی ممکن است به همکاری صرافی‌ها، اقدامات قانونی یا شرایط خاص شبکه وابسته باشد.
از همین رو، سه مفهوم باید از هم جدا بمانند: ارزش دارایی منتقل‌شده، ارزش دارایی مسدودشده و ارزش دارایی بازیابی‌شده. هیچ‌یک از این ارقام به‌تنهایی میزان نهایی زیان یا موفقیت کامل بازیابی را مشخص نمی‌کند.
پنج اقدام امنیتی که سازمان‌ها باید از این حادثه جدی بگیرند
اگرچه علت نهایی حادثه بایننس هنوز به‌طور کامل مشخص نشده، سازوکار گزارش‌شده چند محور دفاعی مهم را برای سازمان‌های نگهدارنده دارایی دیجیتال برجسته می‌کند.
۱. جداسازی دسترسی‌ها
حساب‌های کاربری، تجهیزات کاری و سرویس‌های عملیاتی نباید بیش از نیاز خود به سامانه‌های حساس دسترسی داشته باشند. محدودسازی سطح دسترسی می‌تواند دامنه اثر نفوذ احتمالی را کاهش دهد.
۲. کنترل مستقل عملیات مالی حساس
برداشت‌های بزرگ یا غیرعادی باید تحت کنترل‌هایی قرار گیرند که از مسیر اولیه درخواست مستقل باشند. هدف این است که یک دسترسی غیرمجاز نتواند بدون بررسی بیشتر به انتقال گسترده دارایی منجر شود.
۳. بازبینی مجوزهای امضاشده
سازمان‌هایی که از مجوزهای امضاشده یا قابلیت‌های پیشرفته کیف‌پول استفاده می‌کنند، باید اعتبار، دامنه و شرایط اجرای این مجوزها را بررسی کنند. مجوزهای غیرضروری یا دارای اختیارات بیش از نیاز نباید بدون ارزیابی باقی بمانند.
۴. پایش رفتار تراکنش‌ها
کنترل‌های امنیتی باید علاوه بر بررسی هر تراکنش به‌صورت مستقل، الگوهای غیرعادی را نیز شناسایی کنند؛ برای مثال، افزایش ناگهانی برداشت‌ها یا انتقال‌های هماهنگ در چند شبکه.
۵. آمادگی برای مهار حادثه
سازمان باید از پیش مشخص کند در صورت مشاهده برداشت غیرمجاز، چه کسی اختیار توقف عملیات را دارد، چگونه دسترسی‌های مشکوک لغو می‌شوند و ارتباط با شرکای بیرونی چگونه انجام خواهد شد.
این اقدامات توصیه‌های عمومی دفاع سایبری هستند و به‌معنای اثبات شکست هر یک از این کنترل‌ها در حادثه بایننس نیستند. تعیین ضعف‌های واقعی به گزارش نهایی بررسی حادثه نیاز دارد.
جمع‌بندی؛ امنیت دارایی به امنیت مسیر دسترسی وابسته است
حادثه بایننس پرسشی اساسی را پیش روی صنعت رمزارز قرار داده است: آیا سامانه‌های نگهداری دارایی به همان اندازه که از کلیدهای خصوصی محافظت می‌کنند، از مسیرهایی که امکان استفاده از آن کلیدها را فراهم می‌کنند نیز محافظت می‌کنند؟
اطلاعات منتشرشده از سوی بایننس و TRM Labs نشان می‌دهد که بررسی این رخداد باید علاوه بر کیف‌پول‌ها، مجوزهای تراکنش و زیرساخت عملیاتی را نیز در بر بگیرد. بااین‌حال، هنوز برای تعیین قطعی مسیر نفوذ و همه ضعف‌های مؤثر در حادثه به نتایج نهایی تحقیقات نیاز است.
برای سازمان‌های ایرانی، ارزش این پرونده در یک اصل روشن خلاصه می‌شود: حفاظت از دارایی دیجیتال فقط به محرمانه‌ماندن کلیدها وابسته نیست؛ تمام سامانه‌ها و مجوزهایی که امکان انتقال دارایی را فراهم می‌کنند نیز باید بخشی از محدوده امنیتی سازمان باشند.
