صرافی بایننس، بزرگ‌ترین پلتفرم معاملات رمزارز از نظر حجم معاملات، با یکی از جدی‌ترین بحران‌های امنیتی تاریخ خود روبه‌رو شده است. در ۲۹ اکتبر ۲۰۲۶، میلیاردها دلار دارایی دیجیتال از کیف‌پول‌های مرتبط با این صرافی خارج شد؛ رخدادی که در صورت تأیید نهایی جزئیات آن، می‌تواند رکورد بزرگ‌ترین سرقت ثبت‌شده در صنعت رمزارز را جابه‌جا کند.
برآوردهای اولیه از خروج حدود ۵.۷ میلیارد دلار دارایی حکایت داشتند. اما با گسترش بررسی‌های درون‌زنجیره‌ای، رقم برآوردشده به حدود ۶.۳ میلیارد دلار رسید. شرکت بایننس نیز در اطلاعیه‌ای متأخرتر، میزان تأثیر مالی این رخداد را در همین حدود اعلام کرد.
با وجود این ارقام، یک نکته اساسی باید مورد توجه قرار گیرد: خروج دارایی از کیف‌پول‌های یک صرافی لزوماً به معنای اثبات نهایی تمام جزئیات حمله یا سرقت نیست. در ساعات نخست، بایننس از بررسی یک مشکل امنیتی احتمالی خبر داده بود و تحقیقات برای شناسایی مسیر نفوذ و تعیین میزان خسارت ادامه داشت.
بر اساس داده‌های اولیه منتشرشده، انتقال‌های مشکوک در چند شبکه بلاک‌چینی انجام شده‌اند. بخش بزرگی از دارایی‌های جابه‌جاشده شامل رمزارزهای مبتنی بر اتریوم، بیت‌کوین و توکن‌های شبکه ترون بود.
برآورد اولیه Interesting Engineering از حدود ۳.۵۱ میلیارد دلار دارایی در شبکه اتریوم، ۱.۴۴ میلیارد دلار بیت‌کوین و ۶۳۰ میلیون دلار دارایی در شبکه ترون حکایت داشت. این ارقام در گزارش‌های بعدی تحلیلگران بلاک‌چین اصلاح و گسترده‌تر شدند.
یکی از تراکنش‌های قابل‌توجه در شبکه اتریوم، انتقال بیش از ۱۶۷ هزار واحد ETH به یک آدرس تازه‌ساخته‌شده بود. در همان تراکنش، ده‌ها انتقال توکنی دیگر نیز انجام شد که در میان آن‌ها حدود ۱.۶ میلیارد دلار تتر (USDT) به چشم می‌خورد.
برای درک اهمیت این اتفاق، باید با مفهوم «کیف‌پول گرم» آشنا شد.
صرافی‌های رمزارزی برای انجام سریع برداشت‌ها و انتقال‌های کاربران، بخشی از دارایی‌های خود را در کیف‌پول‌هایی نگهداری می‌کنند که به اینترنت متصل هستند. این کیف‌پول‌ها به دلیل دسترسی سریع، نقش مهمی در عملیات روزمره صرافی دارند؛ اما همین اتصال دائمی می‌تواند سطح آسیب‌پذیری آن‌ها را افزایش دهد.
در مقابل، کیف‌پول‌های سرد معمولاً به‌صورت آفلاین نگهداری می‌شوند و برای ذخیره‌سازی بلندمدت دارایی‌ها به کار می‌روند. به همین دلیل، در معماری امنیتی صرافی‌ها معمولاً تلاش می‌شود بخش عمده دارایی‌ها در فضای سرد باقی بماند و فقط مقدار موردنیاز عملیات جاری در کیف‌پول‌های گرم نگهداری شود.
با این حال، حتی چنین تفکیکی نیز به‌تنهایی کافی نیست. اگر مهاجم بتواند به سازوکار تأیید و امضای تراکنش‌ها دسترسی پیدا کند، ممکن است بدون افشای مستقیم کلیدهای خصوصی، انتقال‌های غیرمجاز را به جریان بیندازد.
یکی از بخش‌های فنی و مهم این حادثه به سازوکار انجام تراکنش‌ها در شبکه اتریوم مربوط می‌شود.
بررسی‌های اولیه نشان دادند که چند دقیقه پیش از یکی از انتقال‌های بزرگ، یک آدرس مرتبط با تراکنش‌های تأمین‌شده از طریق Tornado Cash، درخواست واگذاری اختیاراتی را در ارتباط با یکی از کیف‌پول‌های گرم بایننس ثبت کرده است.
Tornado Cash ابزاری برای مخلوط‌کردن تراکنش‌های رمزارزی است که می‌تواند ارتباط قابل‌ردیابی میان مبدأ و مقصد انتقال‌ها را دشوارتر کند. استفاده از چنین ابزاری در این پرونده توجه تحلیلگران را جلب کرده، اما به‌تنهایی هویت مهاجم یا نقش دقیق آن را اثبات نمی‌کند.
در این میان، قابلیت EIP-7702 در شبکه اتریوم نیز مطرح شده است. این قابلیت به یک حساب معمولی اجازه می‌دهد برای مدتی از قابلیت‌های یک قرارداد هوشمند استفاده کند. به بیان ساده، حسابی که به‌طور معمول صرفاً برای نگهداری و انتقال دارایی به کار می‌رود، می‌تواند در شرایط مشخص رفتارهای پیچیده‌تری اجرا کند.
در حادثه بایننس، تحلیلگران به استفاده از این سازوکار برای اعمال کنترل بر یکی از کیف‌پول‌های گرم اتریوم اشاره کرده‌اند.
با این حال، پرسش اصلی همچنان پابرجاست: چه کسی یا چه سیستمی مجوز لازم برای اجرای این عملیات را صادر کرده است؟
در زمان انتشار گزارش اولیه، هنوز مشخص نبود مهاجم چگونه توانسته تأییدیه‌های لازم برای انجام تراکنش‌ها را به دست آورد. همین موضوع، بررسی سازوکار احراز هویت، دسترسی‌های داخلی و زیرساخت امضای تراکنش‌ها را به یکی از محورهای اصلی تحقیقات تبدیل کرد.
در ساعات نخست حادثه، بایننس اعلام کرد تیم‌های امنیتی آن در حال بررسی گزارش‌های مربوط به یک مشکل احتمالی هستند. این شرکت تأکید داشت که امنیت دارایی‌های کاربران را در اولویت قرار داده و اطلاعات تکمیلی را از طریق کانال‌های رسمی منتشر خواهد کرد.
اما در به‌روزرسانی‌های بعدی، بایننس احتمال دیگری را مطرح کرد: ممکن است لپ‌تاپ یک مهندس DevOps این شرکت به خطر افتاده باشد.
مهندسان DevOps در بسیاری از سازمان‌های فناوری، مسئولیت‌هایی مرتبط با زیرساخت نرم‌افزاری، استقرار سرویس‌ها و مدیریت محیط‌های عملیاتی دارند. بنابراین، دسترسی یک حساب یا دستگاه متعلق به چنین فردی می‌تواند در شرایطی حساس، مسیر ورود به بخش‌هایی از زیرساخت سازمان را فراهم کند.
طبق توضیحات اولیه بایننس، احتمال دارد مهاجم با استفاده از دسترسی ایجادشده، به یک سرویس داخلی دست یافته و از آن برای ارسال درخواست‌های برداشت غیرمجاز استفاده کرده باشد.
نکته مهم این است که بایننس اعلام کرد در بررسی‌های اولیه خود شواهدی از افشای کلیدهای خصوصی کیف‌پول‌ها پیدا نکرده است.
این موضوع از نظر امنیت سایبری اهمیت زیادی دارد. تصور رایج آن است که برای سرقت رمزارزها حتماً باید کلید خصوصی کیف‌پول در اختیار مهاجم قرار بگیرد؛ اما در عمل، آسیب‌پذیری در سامانه‌های مدیریت دسترسی، فرایندهای تأیید تراکنش یا سرویس‌های داخلی نیز می‌تواند پیامدهایی مشابه ایجاد کند.
به همین دلیل، تحقیقات صرفاً به حفاظت از کلیدهای خصوصی محدود نمی‌شود و نحوه صدور مجوز برای انتقال دارایی‌ها نیز اهمیت اساسی دارد.
یکی از مهم‌ترین واکنش‌ها به این حادثه از سوی صادرکنندگان استیبل‌کوین‌ها صورت گرفت.
تتر (Tether) و سرکل (Circle)، دو شرکت اصلی صادرکننده استیبل‌کوین‌های USDT و USDC، با شناسایی برخی آدرس‌های مرتبط با انتقال‌های مشکوک، اقدام به مسدودسازی دارایی‌های موجود در آن‌ها کردند.
استیبل‌کوین‌ها رمزارزهایی هستند که معمولاً ارزش آن‌ها به یک دارایی باثبات، مانند دلار آمریکا، متصل است. برخلاف بیت‌کوین، برخی از این توکن‌ها دارای سازوکار متمرکزی هستند که به صادرکننده اجازه می‌دهد انتقال دارایی از آدرس‌های مشخصی را متوقف کند.
بر اساس گزارش‌های اولیه، سرکل حدود ۸۲۳ میلیون دلار USDC را مسدود کرد. مدیرعامل تتر نیز بعداً اعلام کرد که بیش از ۱.۵۶ میلیارد دلار USDT مرتبط با این حادثه در فهرست مسدودسازی قرار گرفته است.
مجموع دارایی‌های مسدودشده در گزارش‌های بعدی به حدود ۲.۷ تا ۳ میلیارد دلار رسید؛ هرچند رقم دقیق بسته به زمان ثبت داده‌ها و روش محاسبه تحلیلگران متفاوت بود.
این اقدام نشان داد که صادرکنندگان استیبل‌کوین می‌توانند در شرایط اضطراری نقش مهمی در محدودکردن جابه‌جایی دارایی‌های سرقت‌شده ایفا کنند.
اما این قابلیت محدودیت‌هایی نیز دارد. مسدودسازی یک آدرس فقط بر توکن‌هایی اثر می‌گذارد که صادرکننده کنترل آن‌ها را در اختیار دارد. چنین اقدامی لزوماً بیت‌کوین، اتر یا سایر دارایی‌های غیرمتمرکز را متوقف نمی‌کند.
در نتیجه، حتی اگر بخشی از دارایی‌های سرقت‌شده مسدود شود، مهاجم ممکن است همچنان بتواند دارایی‌های دیگر را جابه‌جا کند یا آن‌ها را به رمزارزهای متفاوت تبدیل کند.
پس از شناسایی انتقال‌های مشکوک، شرکت‌های تحلیل بلاک‌چین و فعالان حوزه امنیت سایبری تلاش کردند مسیر حرکت دارایی‌ها را ردیابی کنند.
یکی از نگرانی‌های اصلی در چنین پرونده‌هایی، تبدیل دارایی‌های قابل‌مسدودسازی به رمزارزهایی است که کنترل متمرکزی بر انتقال آن‌ها وجود ندارد.
برای مثال، مهاجم ممکن است تلاش کند استیبل‌کوین‌هایی مانند USDT و USDC را به اتر یا بیت‌کوین تبدیل کند. در چنین شرایطی، صادرکننده استیبل‌کوین دیگر نمی‌تواند مستقیماً همان ابزار مسدودسازی را روی دارایی تبدیل‌شده اعمال کند.
گزارش‌های تحلیلی همچنین از جابه‌جایی بخشی از دارایی‌ها از طریق صرافی‌های غیرمتمرکز و استفاده از پروتکل‌های وام‌دهی خبر دادند. این پلتفرم‌ها امکان مبادله یا استفاده از رمزارزها به‌عنوان وثیقه را فراهم می‌کنند.
در این میان، پروتکل وام‌دهی Aave نیز اقداماتی برای محدودکردن فعالیت‌های مرتبط با دارایی‌های مشکوک انجام داد.
این تحولات نشان می‌دهد که مقابله با سرقت رمزارزی صرفاً به شناسایی آدرس مهاجم محدود نیست؛ بلکه به هماهنگی میان صرافی‌ها، صادرکنندگان توکن، شرکت‌های تحلیل بلاک‌چین و پروتکل‌های مالی غیرمتمرکز نیاز دارد.
یکی از فرضیه‌های مطرح‌شده در جریان تحقیقات، ارتباط این حمله با گروه‌های هکری وابسته به کره‌شمالی است.
شرکت امنیت بلاک‌چین TRM Labs اعلام کرد بر اساس بررسی داده‌های درون‌زنجیره‌ای و اطلاعات تکمیلی، گروهی با نام TraderTraitor را مسئول احتمالی این عملیات می‌داند. این شرکت سطح اطمینان ارزیابی خود را بالا توصیف کرده است.
شرکت‌های امنیتی دیگری نیز به شباهت‌هایی میان این حادثه و عملیات‌های منتسب به گروه‌های هکری کره‌شمالی اشاره کرده‌اند.
TraderTraitor نامی است که در گزارش‌های امنیتی برای برخی عملیات‌های سایبری منتسب به کره‌شمالی به کار رفته است. این گروه‌ها در سال‌های اخیر به سرقت دارایی‌های دیجیتال از صرافی‌ها و پلتفرم‌های رمزارزی متهم شده‌اند.
با این حال، باید میان ارزیابی شرکت‌های تحلیل امنیتی و تأیید رسمی مسئولیت یک دولت تفاوت قائل شد. تا زمان انتشار گزارش‌های اولیه، بایننس هویت مهاجم را به‌طور رسمی اعلام نکرده بود و تحقیقات برای شناسایی عاملان ادامه داشت.
در نتیجه، ارتباط این حمله با کره‌شمالی را باید یک ارزیابی اطلاعاتی مهم دانست، نه واقعیتی که تمام جزئیات آن به‌طور مستقل و قطعی اثبات شده باشد.
در صورت تأیید نهایی رقم ۶.۳ میلیارد دلار، حادثه بایننس از سرقت حدود ۱.۵ میلیارد دلاری صرافی بای‌بیت در فوریه ۲۰۲۵ نیز فراتر خواهد رفت؛ رخدادی که پیش از این در شمار بزرگ‌ترین سرقت‌های تاریخ صنعت رمزارز قرار داشت.
مقایسه این دو حادثه نشان می‌دهد که تهدیدهای امنیتی علیه پلتفرم‌های بزرگ رمزارزی همچنان یکی از چالش‌های اصلی این صنعت هستند.
با این حال، اهمیت ماجرای بایننس فقط به رقم دارایی‌های جابه‌جاشده محدود نمی‌شود. این حادثه پرسش‌های جدی‌تری درباره امنیت زیرساخت‌های عملیاتی صرافی‌ها مطرح می‌کند: آیا دسترسی یک کارمند یا نفوذ به یک سرویس داخلی می‌تواند امکان انتقال میلیاردها دلار دارایی را فراهم کند؟ چه تعداد لایه تأیید مستقل برای برداشت‌های بزرگ لازم است؟ و آیا سازوکارهای فعلی مدیریت کیف‌پول‌های گرم برای مقابله با حملات پیچیده کافی هستند؟
انتشار خبر این حادثه با افت قیمت برخی رمزارزهای بزرگ همراه شد. بیت‌کوین، اتریوم و توکن BNB در واکنش اولیه بازار کاهش قیمت را تجربه کردند.
چنین واکنشی چندان غیرمنتظره نیست. صرافی‌های متمرکز نقش واسطه‌ای مهم در بازار رمزارز دارند و کاربران بخش قابل‌توجهی از دارایی‌های خود را برای معامله یا نگهداری در اختیار آن‌ها قرار می‌دهند.
وقتی یک صرافی بزرگ با رخدادی امنیتی در چنین مقیاسی روبه‌رو می‌شود، نگرانی‌ها فقط به دارایی‌های همان پلتفرم محدود نمی‌ماند. سرمایه‌گذاران ممکن است درباره امنیت سایر صرافی‌ها، کیفیت ذخایر مالی و توانایی پلتفرم‌ها برای پاسخ‌گویی به برداشت‌های گسترده نیز پرسش‌هایی مطرح کنند.
بایننس اعلام کرده است که زیان‌های مربوط به این حادثه را با استفاده از صندوق SAFU و منابع مالی شرکت پوشش خواهد داد. صندوق SAFU در سال ۲۰۱۸ برای حمایت از کاربران در شرایط اضطراری و رخدادهای امنیتی ایجاد شد و یکی از سازوکارهای حفاظتی این صرافی به شمار می‌رود.
مدیران بایننس همچنین تأکید کرده‌اند که دارایی کاربران محفوظ خواهد ماند. با این حال، ارزیابی نهایی میزان خسارت و اثربخشی اقدامات جبرانی به نتایج تحقیقات و گزارش‌های مالی بعدی بستگی دارد.
حادثه بایننس بار دیگر نشان داد که امنیت بازار رمزارز را نمی‌توان صرفاً با بررسی الگوریتم‌های رمزنگاری یا ویژگی‌های فنی بلاک‌چین سنجید.
یک شبکه بلاک‌چینی ممکن است از نظر رمزنگاری و اجماع طراحی مستحکمی داشته باشد، اما صرافی‌ها و شرکت‌هایی که از آن استفاده می‌کنند همچنان به رایانه‌های کارکنان، سرویس‌های داخلی، سامانه‌های احراز هویت و زیرساخت‌های مدیریت تراکنش وابسته‌اند.
اگر یکی از این اجزا به خطر بیفتد، پیامد آن می‌تواند بسیار فراتر از یک اختلال نرم‌افزاری معمولی باشد.
در پرونده بایننس، هنوز همه جزئیات فنی و هویت عاملان به‌طور قطعی روشن نشده است؛ اما همین رخداد یک پرسش اساسی را در برابر صنعت رمزارز قرار داده است: چگونه می‌توان سامانه‌هایی ساخت که حتی در صورت نفوذ به یکی از اجزای داخلی، امکان انتقال غیرمجاز حجم عظیمی از دارایی‌ها را از مهاجم سلب کنند؟
پاسخ به این پرسش احتمالاً به ترکیبی از کنترل دسترسی چندلایه، تأیید مستقل تراکنش‌ها، محدودیت برداشت، پایش پیوسته و طراحی مقاوم‌تر زیرساخت‌های عملیاتی نیاز خواهد داشت.
در نهایت، اعتماد به بازار رمزارز فقط به غیرمتمرکز بودن فناوری زیربنایی آن وابسته نیست؛ بلکه به امنیت شرکت‌ها و زیرساخت‌هایی نیز بستگی دارد که کاربران برای دسترسی به این بازار به آن‌ها تکیه می‌کنند.
