بایننس پس از هک ۶.۳ میلیارد دلاری: جبران ۹۵٪ و بازگشت مرحلهای برداشتها

بایننس پس از سرقت حدود ۶.۳ میلیارد دلاری از کیف پول گرم خود در ۲۹ اکتبر، بازگرداندن دسترسی مشتریان را آغاز کرده است. این صرافی میگوید با استفاده از ذخایر خود دارایی مشتریان را جایگزین میکند و اعلام کرده ضرر مالی حادثه را میپذیرد.

بازیابی مرحلهای و اعداد کلیدی

بایننس در ۳ نوامبر اعلام کرد حدود ۹۵٪ داراییهای آسیبدیده را جایگزین کرده و مرحله تازهای از برداشتها را از ساعت ۰۴:۰۰ UTC زمانبندی کرد. به گفته این صرافی، هر دارایی پس از بررسیهای امنیتی و آمادگی عملیاتی در دسترس قرار میگرفت؛ واریزها باز ماند و امکان تأخیر موقت وجود داشت.

بر اساس اعلام بایننس، راستیآزمایی ذخایر در ۲ نوامبر ۱۰ رمزارز را با استفاده از تصویری از ۳۱ اکتبر پوشش داد و قرار بود تصویر دیگری با توکنهای بیشتر در ۴ نوامبر منتشر شود. این صرافی همچنین گفت حدود ۳ میلیارد دلار تا ۳۰ اکتبر با همکاری نهادهای اجرای قانون، ناشران و شرکای دیگر توقیف شده است.

از لپتاپ مهندس تا زیرساخت امضای تراکنش

بایننس در ابتدا احتمال داد لپتاپ یک مهندس آلوده، نقطه ورود حمله بوده باشد. اما در بهروزرسانی ۳۰ اکتبر گفت محققان نقاط نفوذ بیشتری پیدا کردهاند و در آن مرحله شواهدی از نشت کلیدهای خصوصی کیف پول ندیده است. این صرافی زمان به خطر افتادن کیف پول گرم را حدود ساعت ۲۰:۰۵ UTC روز ۲۹ اکتبر اعلام کرد و گفت زیرساختهای آسیبدیده را مهار، مجوزها را لغو و کنترلهای بیشتری اضافه کرده است.

تحقیق آنچین TRM Labs تراکنشها را در ۱۰ بلاکچین ردیابی کرد و ارزش داراییها در زمان سرقت را حدود ۶.۳۶ میلیارد دلار برآورد کرد. این محققان ارزیابی کردند که فعالیت میانزنجیرهای به نفوذ در زیرساخت امضای کیف پول گرم بایننس اشاره دارد.

در اتریوم، به گفته TRM، ۵۰ مجوز از پیش دادهشده و یک قرارداد که میتوانست داراییها را از کیف پول بایننس بیرون بکشد نقش داشتند. در زنجیرههای دیگر تراکنشهای امضاشده معمولی دیده شد؛ بنابراین توضیحی که فقط به ویژگیهای کیف پول اتریوم تکیه کند، بخشی از سرقت را توضیح نمیدهد.

چرا اختیار امضا به اندازه کلید مهم است

معماری «اعتماد صفر» NIST دسترسی را چیزی میداند که باید برای همان منبع احراز هویت و مجوزدهی شود؛ حضور در شبکه شرکت یا استفاده از دستگاه شرکتی بهتنهایی اعتماد ایجاد نمیکند. درس این حادثه هم فقط نگهداری کلید نیست: یک کسبوکار باید مشخص کند کدام سیستمها میتوانند درخواست امضا بدهند، کدام درخواستها تأیید جداگانه لازم دارند و چگونه تراکنشهای غیرعادی پیش از رسیدن به بلاکچین متوقف میشوند. یک تراکنش میتواند امضای معتبر رمزنگاری داشته باشد، حتی اگر شرکت هرگز قصد تأیید آن انتقال را نداشته باشد.

گزارش فنی کامل بایننس باید روشن کند این مرزها در زمان حمله چگونه عمل کردهاند. شواهد منتشرشده تا اینجا پرسشهایی درباره فرایند امضا ایجاد میکند، اما نقشه کاملی از کنترلهای داخلی شرکت ارائه نمیدهد.

FBI در ۳۱ اکتبر این سرقت را به فعالیت TraderTraitor کره شمالی نسبت داد و گفت داراییهای دزدیدهشده عمدتاً به اتر تبدیل میشوند. کره شمالی دخالت خود را رد کرد، آنگونه که AP در ۳ نوامبر گزارش داد. FBI از صرافیها، سرویسهای دیفای، اپراتورهای زیرساخت و شرکتهای دیگر خواست تراکنشهای مرتبط با آدرسهای پولشویی شناساییشده را مسدود کنند.

واکنش بایننس و جدول زمانی

واکنش بایننس ترکیبی از محدودیت برداشت، خرید دارایی جایگزین، همکاری برای توقیف دارایی و مجموعهای از اطلاعیههای عمومی بود. این صرافی گفت منابع شرکتی بیش از ۶.۳۴ میلیارد دلار را کنار گذاشته و تا ۳۰ اکتبر حدود ۵ میلیارد دلار در رمزارزهای منطبق داشته است. هدف اعلامشده، بازگشت مرحلهای برداشتها با رعایت بررسیهای امنیتی بود.

بایننس تأکید داشت مشتریانی که توکن خاصی داشتند همان توکن را طلبکارند و ارزش دلاری منابع، تنها معیاری میانی از توان خرید جایگزین است. در ۳۱ اکتبر، این صرافی پوشش را ۹۰ درصد اعلام کرد و SAFU، بخشی از صندوق بیمه فیوچرز و خزانهداری شرکتی را منابع تأمین مالی نام برد. به گفته آن، ۱۰ دارایی اصلی شناساییشده کاملاً پشتیبانی میشدند و توکنهای کمنقدشوندهتر بیرون از این گروه زمان بیشتری برای خرید لازم داشتند. خریدها از طریق بازار و میزهای OTC انجام میشد.

در ۱ نوامبر، بایننس جایگزینی ۹۵ درصدی را گزارش کرد و برداشت بیتکوین را در مرحله نخست بازگشایی باز کرد. نخستین برنامه منتشرشده داراییهای منتخب در ۱۵ شبکه را پوشش میداد، نه همه توکنهای فهرستشده در صرافی. با محاسبه فاصله میان زمان شروع حادثه و نخستین زمان بازگشایی برنامهریزیشده در ۱ نوامبر، این فاصله حدود ۵۷ ساعت و ۵۵ دقیقه بود؛ یعنی زمان تا آغاز بازگشایی برنامهریزیشده، نه مدت محدودیت برای همه مشتریان.

بایننس گفت تقاضای ثبتشده در هفته پیش از آن، ترتیب بازگشایی را تعیین کرده است و هشدار داد ترافیک میتواند تأخیر ایجاد کند؛ کاربران باید وضعیت دارایی و شبکه انتخابی خود را بررسی کنند. گسترش ۳ نوامبر هم همین رویکرد را دنبال کرد: بازگشایی تدریجی مسیرها پس از بررسیها، با احتمال تأخیر موقت.

راهنمای پاسخ به حادثه NIST تشخیص، واکنش و بازیابی را بخشی از مدیریت ریسک مستمر میداند؛ بازگرداندن سرویس در کنار کاهش احتمال حادثه بعدی و بهبود فرایند پاسخ قرار میگیرد.

جایگزینی دارایی با بازیابی دارایی دزدیدهشده یکی نیست

توقیف دارایی و خرید جایگزین میتوانند هر دو از مشتری محافظت کنند، اما بدون توضیح نباید در یک مجموع بازیابی واحد جمع شوند. یکی دسترسی مهاجم به دارایی را محدود میکند و دیگری داراییای را برای پاسخ به بدهی به مشتری تأمین میکند. اگر در صرافیای فرضی ۱۰۰ توکن به مشتریان بدهکار باشد و ۱۰۰ توکن دزدیده شود، خرید ۱۰۰ توکن جایگزین میتواند پشتوانه مشتریان را بازگرداند، حتی اگر هیچیک از توکنهای اصلی بازنگشته باشد.

اگر بعداً ۴۰ توکن از داراییهای دزدیدهشده توقیف شود، پشتوانه مشتریان همچنان ۱۰۰ توکن است و ۱۴۰ توکن نمیشود. آن ۴۰ توکن، بازیابی احتمالی برای طرفی است که در نهایت حق دریافت آنها را دارد و اگر پس از جبران کامل مشتریان قانوناً به صرافی بازگردد، میتواند بخشی از زیان صرافی را جبران کند. بایننس حدود ۳ میلیارد دلار توقیفشده تا ۳۰ اکتبر را جدا از برنامه جایگزینی دارایی اعلام کرد.

با اعمال ۹۵ درصد بر برآورد گردشده ۶.۳ میلیارد دلاری، رقم ۵.۹۸۵ میلیارد دلار به دست میآید و در همان ارزشگذاری حدود ۳۱۵ میلیون دلار باقی میماند. این یک محاسبه نمونه است، نه افشای صورت حساب دقیق خرید باقیمانده یا کمبود توکنبهتوکن. قیمتها پس از سرقت تغییر میکنند و مقدار بدهی به هر توکن با قیمت دلاری آن بهطور خودکار تغییر نمیکند؛ همچنین یک قیمت بازار بدون وجود فروشندگان کافی در نزدیکی آن قیمت، لزوماً جایگزینی فوری یک دارایی بزرگ را ممکن نمیکند.

خرید از میز OTC میتواند بلوکهایی از دارایی را از خارج دفتر سفارش عمومی تأمین کند، اما همچنان به فروشندگان مایل و توافق بر مقدار، تسویه و قیمت نیاز دارد. وجود بودجه، توکنهای لازم را به کیف پول برداشت منتقل نمیکند. توضیح بایننس که تأمین بخش آخر زمان بیشتری برد، باید در کنار بهروزرسانیهای بعدی پوشش توکن و برداشتها ارزیابی شود؛ نقطه تکمیل معنادار، پشتوانه کاملاً منطبق و دسترسی عملیاتی به داراییهای آسیبدیده است، نه فقط یک تعهد دلاری گردشده.

توقیف، مالکیت را تعیین نمیکند

توقیف دارایی حرکت آن را پیش از تسویه مالکیت متوقف میکند. ناشران استیبلکوین گاهی میتوانند توکنهای خود را با کنترلهای اداری غیرفعال کنند، اما برای بیتکوین یا اتر بومی چنین امکان مشابهی وجود ندارد، چون ناشر مرکزی قابلقیاسی ندارند. شرایط USDC شرکت Circle شامل بلوکلیست کردن و محدودیتهایی بر بازخرید است، از جمله محدودیتهای قانونی که ممکن است مانع آن شود؛ نگهداشتن توکن، توقیف آن و اثبات حق بازخرید سه مرحله جدا هستند.

محدودیت یک آدرس، انتقالهای مشخص را متوقف میکند اما بهتنهایی گیرنده درست بازپرداخت را مشخص نمیکند. شواهد مالکیت، فرایند قانونی و ترتیبات بازگرداندن داراییها همچنان میتوانند تعیین کنند چه اتفاقی میافتد.