هک ۶.۳۶ میلیارد دلاری Binance در ۲۰ دقیقه
خلاصهٔ کامل‌تر
یه مهاجم کنترل سازوکاری رو که تو Binance انتقال‌های خروجی مشتری‌ها رو تأیید می‌کنه به دست گرفت و ازش برای اجرای یه برنامه خودکار استفاده کرد. نتیجه این شد که حدود ۶.۳۶ میلیارد دلار تو تقریباً ۲۰ دقیقه از صرافی خارج شد. نقطه شروع هنوز محل بحثه و گزارش‌ها به هک شدن لپ‌تاپ یکی از مهندس‌ها اشاره می‌کنن. Binance می‌گه هیچ کلید خصوصی‌ای لو نرفته و مدرکی از نفوذ به سیستم‌های اصلی نگهداری دارایی نیست.
ابزار اصلی یه sweeper بود، یعنی اسکریپتی که موجودی کیف‌پول‌ها رو پیدا می‌کنه و همون لحظه منتقلش می‌کنه، حتی واریزهای تازه مشتری‌ها وسط حمله رو. هر انتقال به یه شناسه مجوز معتبر نیاز داشت. مهاجم‌ها نمی‌دونستن کدوم شناسه قبول میشه، پس اسکریپت حدود ۵۰ تا شناسه رو پشت سر هم امتحان می‌کرد تا یکی کار کنه. مقاله می‌گه این بیشتر یه کار مهندسی از قبل برنامه‌ریزی‌شده‌ست تا یه سرقت یه‌باره.
به گفته نویسنده، اصل ماجرا فاصله زمانیه. اسکریپت تو حدود ۲۰ دقیقه بیشتر کارشو تموم کرد، ولی تیم امنیتی حدود ۵۴ دقیقه طول کشید تا بفهمه و واکنش نشون بده. یعنی وقتی دفاع هنوز به آدم وابسته‌ست که ناهنجاری رو ببینه و گزارش بده و مجوز بگیره، حمله کاملاً خودکار برنده میشه.
بعد از خروج پول‌ها، مهاجم‌ها سریع بخشی رو حتی با نرخ بد به ETH و دارایی‌های دیگه تبدیل کردن تا ردگیری و مسدودسازی سخت‌تر بشه. یه بخش دیگه رو هم وثیقه گذاشتن و وام گرفتن، شبیه گرو گذاشتن جنس دزدی. بعضی صادرکننده‌ها تونستن بخشی از پول‌ها رو مسدود کنن، پس همه ۶.۳۶ میلیارد از دست نرفته.
تحلیل بلاک‌چین نشون می‌ده پول‌ها با پول‌های دو هک قبلی قاطی شدن: هک Bybit تو فوریه ۲۰۲۵ با حدود ۱.۵ میلیارد دلار و هک Bitget با ۳۸ میلیون دلار. هر دوشون به گروه Lazarus کره شمالی (که بهش TraderTraitor هم می‌گن) نسبت داده شدن، ولی انتساب این حمله هنوز قطعی نیست. اگه درست باشه، این گروه تو همین سه حادثه ۷ تا ۹ میلیارد دلار برده.
طبق مقاله، هیچ مدرک تأییدشده‌ای نیست که هوش مصنوعی مولد مستقیم تو این حمله نقش داشته. یه اسکریپت خوب که یه نقشه از پیش تعیین‌شده رو اجرا می‌کنه برای ویرانگر بودن به AI نیاز نداره. ولی نویسنده می‌گه همون مدل‌هایی که به محقق‌ها کمک می‌کنن آسیب‌پذیری پیدا کنن، کار مهاجم‌ها رو هم برای برنامه‌ریزی سریع‌تر آسون می‌کنن.
نکات کلیدی:
- ۶.۳۶ میلیارد دلار تو حدود ۲۰ دقیقه از Binance خارج شد
- اسکریپت sweeper حدود ۵۰ شناسه مجوز رو امتحان می‌کرد تا یکی قبول بشه
- واکنش تیم امنیتی حدود ۵۴ دقیقه طول کشید
- پول‌ها به ETH تبدیل شدن و بخشی وثیقه وام شد تا ردگیری سخت بشه
- ردپا به هک‌های Bybit (۱.۵ میلیارد) و Bitget (۳۸ میلیون) و گروه Lazarus می‌رسه
- مدرکی از نقش مستقیم هوش مصنوعی تو حمله نیست
