چرا دکمه توقف اضطراری بایننس نتوانست جلوی سرقت ۶.۳ میلیارد دلاری را بگیرد؟

اصل مطلب:

• حمله به بایننس از ماه‌ها قبل و از داخل شروع شده بود، نه از یک باگ هوشمند در بلاک‌چین. مهاجمان حتی در مرحله اولیه، با یک فرآیند استخدام جعلی و یک پروژه کدنویسی مخرب، یکی از مهندسان را فریب دادند.

• دکمه توقف اضطراری صرافی فقط سیستم‌های داخلی خودش را خاموش کرد. اما مجوزهایی که هکرها روی بلاک‌چین اتریوم گرفته بودند، همچنان معتبر ماندند.

• در یک مورد عجیب، حتی پس از بستن برداشت‌ها، سیستم واریز بایننس ۷۲ ثانیه پس از واریز ۲۰۰ میلیون تتر، آن را به کیف‌پول هک‌شده فرستاد.

تصور کنید در یک ساختمان آتش‌سوزی شده، دکمه اعلام خطر را می‌زنید. اما وقتی دکمه را می‌زنید، سیستم اعلام خطر فقط آژیر داخل ساختمان را خاموش می‌کند. هکرها اما کلید درهای ساختمان را از قبل ساخته بودند و دکمه آژیر، کلیدها را باطل نمی‌کند. این دقیقاً همان اتفاقی است که برای بایننس افتاد.

ماجرا از کجا شروع شد؟

بر اساس گزارش حادثه بایننس که در سوم نوامبر منتشر شد، حمله از ماه ژوئن شروع شده بود. یک مهندس، بسته نصب دستکاری‌شده یک ابزار کدنویسی هوش مصنوعی را دانلود کرد. بایننس دستگاه را عوض کرد، اما مهاجمان از قبل اطلاعاتی درباره کارمندان و زیرساخت شرکت جمع کرده بودند.

در سپتامبر، یک مهندس دیگر از طریق فرآیند استخدام جعلی، شامل مصاحبه و یک پروژه کدنویسی مخرب، فریب داده شد. تا ۲۰ اکتبر، مهاجمان از طریق سیستم‌های آلوده، به اطلاعات ورود زیرساخت امضای کیف‌پول بایننس دسترسی پیدا کردند.

اخبار فوری پوشش لحظه‌ای اخبار و رویدادها از ۱۰۰ رسانه مالی معتبر به زبان فارسی

مرور اخبار امروز

لحظه سرقت

در ۲۹ اکتبر، بین ساعت ۲۰:۰۵ تا ۲۰:۰۹ به وقت جهانی، کیف‌پول‌های گرم حدود ۲۲۳.۴۶ میلیون ریپل، ۹۷۰,۵۰۰ سولانا و ۴۴.۲ میلیون OP را به آدرس‌های هکر منتقل کردند. بیت‌کوین و سایر دارایی‌ها هم در ادامه منتقل شدند. تحلیل‌های زنجیره‌ای بعداً کل سرقت را حدود ۶.۴ میلیارد دلار تخمین زدند.

جدول دارایی‌های سرقت‌شده در حمله اولیه

چه چیزی کار را خراب کرد؟

نکته کلیدی این است که مهاجمان به زیرساخت امضای بایننس دسترسی پیدا کردند. این یعنی همان سیستمی که تراکنش‌ها را تأیید می‌کند، در اختیار هکرها بود.

روی شبکه اتریوم، هکرها از مکانیزم EIP-۷۷۰۲ سوءاستفاده کردند. این مکانیزم به کیف‌پول‌ها اجازه می‌دهد اجرای تراکنش‌ها را به قرارداد هوشمند بسپارند. مهاجمان از زیرساخت امضای هک‌شده استفاده کردند تا ۵۰ تراکنش امضاشده را برای تصاحب کنترل کیف‌پول گرم اتریوم به کار بگیرند.

مشکل اصلی: مجوزی که پاک نمی‌شود

بایننس توانست برداشت‌ها را متوقف کند و سیستم‌های خودش را خاموش کند. اما این کار مجوزی را که هکرها روی بلاک‌چین اتریوم ثبت کرده بودند، از بین نبرد. بر اساس گفته برایان کوبلیس، مدیر استراتژی پلتفرم امنیتی Onramp، توقف برداشت‌ها فقط نرم‌افزار خود صرافی را خاموش می‌کند و کاری با مجوزهای ثبت‌شده روی بلاک‌چین ندارد.

مشکل دوم هم وجود داشت. کیف‌پول گرم بایننس از فناوری محاسبات چندجانبه یا MPC استفاده می‌کرد. در این معماری، یک کلید خصوصی واحد وجود ندارد و امضای تراکنش بین چند بخش تقسیم می‌شود. این ساختار امنیت را بالا می‌برد، اما در این حادثه به این معنا بود که کلید واحدی برای لغو فوری دسترسی هکرها در دسترس نیست.

مهندسان بایننس مجبور شدند در میانه حمله، یک روش تخصصی برای لغو مجوز اطراف طراحی کنند. ساعت ۲۳:۵۶ به وقت جهانی، آخرین انتقال غیرمجاز اتریوم که ۲,۹۶۱.۹ واحد بود، تأیید شد. ساعت ۰۰:۱۰ بامداد روز بعد، صرافی توانست دسترسی مخرب را باطل کند.

سیستم واریز، همچنان پول می‌فرستاد

یکی از عجیب‌ترین بخش‌های ماجرا این است که کیف‌پول هک‌شده همچنان پول دریافت می‌کرد. بر اساس تحلیل شرکت Four Pillars، سیستم یکپارچه‌سازی واریز بایننس همچنان وجوه را به کیف‌پولی که با نام Binance ۱۴ شناسایی می‌شد می‌فرستاد.

در یک مورد، هکرها حدود ۲۰۰ میلیون تتر را ۷۲ ثانیه پس از واریز آن توسط یک کیف‌پول دیگر بایننس، جارو کردند. این یعنی فقط ۷۲ ثانیه طول کشید تا یک واریز تازه به دست هکرها برسد.

زاویه پنهان: مشکل واقعی، اعتماد به سیستمی بود که هک شده بود

سوالی که کارشناسان امنیتی مطرح می‌کنند این است: اگر زیرساخت امضای صرافی هک شده باشد، چطور می‌توان یک تراکنش اضطراری را بدون اعتماد به همان سیستم تأیید کرد؟

کارلوس وندردل، بنیان‌گذار شرکت امنیتی Zealynx، می‌گوید پاسخ در تمرین و آزمایش است. صرافی‌ها باید فرض کنند که سیستم امضای اصلی‌شان هک شده و تمرین کنند که چطور در چنین شرایطی مجوزهای خطرناک را باطل کنند و دارایی‌ها را به جای امن منتقل کنند.

این همان نقطه‌ای است که بایننس ضربه خورد. نه در توانایی مالی، بلکه در آمادگی عملیاتی برای سناریویی که سیستم مورد اعتماد خودش به دشمن تبدیل شده باشد.