‏هک بایننس و لایه‌ی خسته‌کننده‌ای که کسی چکش نمی‌کنه

Denis Stetskov تو این مقاله از هک بایننس در ۲۹ اکتبر شروع می‌کنه که حدود ۶.۳ میلیارد دلار، بیشترش تو بیست دقیقه، دزدیده شد. TRM Labs و FBI اونو به گروه کره‌شمالی TraderTraitor (بخشی از Lazarus) نسبت دادن. طبق گزارش اولیه‌ی خود بایننس، یه مهندس DevOps تو ژوئن یه ابزار کدنویسی هوش مصنوعی رو از یه دانلود دستکاری‌شده‌ی Homebrew نصب کرد. سپتامبر هم یه مهندس دیگه تو یه مصاحبه‌ی کاری جعلی، «تست فنی» رو روی کامپیوتر کاریش اجرا کرد و بدافزار از سد محافظت endpoint رد شد.

بعد مهاجم از کامپیوتر نفر دوم با یه ابزار هوش مصنوعی داخلی، کنترل سیستم دو مهندس دیگه رو گرفت و یه توکن پیدا کرد که می‌تونست container مستقر کنه. با همین به سرویس امضای کیف‌پول رسید. بعد با EIP-7702 اتریوم (قابلیتی که اجازه می‌ده به یه قرارداد هوشمند بخشی از اختیارات یه کیف‌پول داده بشه) به قرارداد خودش دسترسی جزئی روی hot wallet داد. چون این دسترسی on-chain بود، متوقف کردن برداشت‌ها جلوشو نگرفت.

حرف اصلی نویسنده اینه که بیشتر این زنجیره قدیمیه: نصب‌کننده از نتیجه‌ی جست‌وجو، کد ناشناس روی سیستم کاری، توکن deploy روی لپ‌تاپ و ابزاری که به جای حساس دسترسی داشت. به گفته‌ش «مدل مهاجم نبود؛ ابزاری بود با دسترسی زیادی». نمونه‌های دیگه هم همین الگو رو دارن: حمله به یخچال‌های ۳۵۰ سوپرمارکت فرانسوی با firmware قدیمی، سیستم‌های آب مینه‌سوتا با PLCهای در معرض اینترنت، و ایجنت Kiro آمازون که به خاطر تنظیم اشتباه دسترسی‌ها AWS Cost Explorer رو تو یه region از کار انداخت.

استثنایی که خود نویسنده قبول داره PHP2Shell هست: دو باگ اجرای کد از راه دور با امتیاز ۹.۲ (CVE-2026-109618 و CVE-2026-109619) که در شرایط خاص بدون لاگین قابل سوءاستفاده‌ن. یکی موقع قطع درخواستی که حافظه‌ش تموم شده حافظه رو خراب می‌کنه و دیگری global state رو به حافظه‌ی یه درخواست دیگه وصل نگه می‌داره. قدیمی‌ترین مسیر آسیب‌پذیر به PHP 5.4.0 برمی‌گرده و CISA گفته روی همه‌ی نصب‌های PHP که درخواست وب سرو می‌کنن اثر داره. این باگ‌ها رو محقق‌ها با کمک مدل‌ها پیدا کردن، یعنی اینجا مدل سمت پیدا کردن باگ‌های سخت بوده.

بعد می‌رسه به vibe coding، یعنی قبول کردن کد مدل بدون خوندنش. طبق Veracode، میانگین قبولی بیش از ۱۰۰ مدل تو ۸۰ تسک امنیتی ۵۶ درصده و تغییری نکرده. GitGuardian می‌گه کامیت‌هایی که با Claude Code نوشته شدن با نرخ ۳.۲ درصد secret لو دادن، در برابر ۱.۵ درصد کل. CodeRabbit هم می‌گه PRهای نوشته‌شده با AI حدود ۱.۷ برابر مشکل بیشتر دارن. نمونه‌ی Moltbook هم نشون می‌ده نبودن row-level security پشت یه کلید Supabase، دسترسی خوندن و نوشتن به دیتابیس production رو باز کرد. نویسنده البته قبول داره بیشتر این آمارها از فروشنده‌های ابزار امنیتی‌ان و هیچ‌کدوم کد بررسی‌نشده رو جدا اندازه نگرفتن.

تو تجربه‌ی شخصیش، نسخه‌ی اول یه پروژه رو بدون نظارت با Opus 5.5 ساخت و چند حفره‌ی دسترسی پیدا کرد؛ مثلاً روی دیسک case-insensitive، اسم فایل secrets با حروف بزرگ از گارد رد می‌شد. بعد از اضافه کردن review به فرایند، این حفره‌ها بسته شدن و پروفایلینگ هم کار اصلی رو از ۱۶۹ ثانیه به ۳۳ رسوند. نتیجه‌ی نویسنده اینه که یه آدم کاربلد باید مسئول «لایه‌ی خسته‌کننده» باشه: patch، credentialها و اینکه هر لپ‌تاپ یا ابزار هوش مصنوعی داخلی به چی دسترسی داره.

نکات کلیدی:

• هک بایننس حدود ۶.۳ میلیارد دلار بود و به گروه کره‌شمالی TraderTraitor نسبت داده شد.
• راه نفوذ: دانلود دستکاری‌شده‌ی Homebrew، مصاحبه‌ی جعلی، ابزار AI داخلی با دسترسی زیاد و توکن deploy container.
• PHP2Shell شامل CVE-2026-109618 و CVE-2026-109619 با امتیاز ۹.۲ هست و با کمک مدل‌ها پیدا شد.
• طبق Veracode، مدل‌ها به‌طور میانگین فقط ۵۶٪ تسک‌های امنیتی رو درست انجام می‌دن.
• کامیت‌های Claude Code با نرخ ۳.۲٪ secret لو دادن، در برابر ۱.۵٪ کل کامیت‌ها (طبق GitGuardian).