سرقت ۶٫۳ میلیارد دلاری از بایننس؛ ردپای کره شمالی و پرسشی درباره‌ی یک لپ‌تاپ

صرافی بایننس پس از سرقتی که دست‌کم ۶٫۳ میلیارد دلار رمزارز از کیف‌پول‌هایش خارج کرد، همه واریزها و برداشت‌ها را متوقف کرده است. دو شرکت تحلیل بلاک‌چین، TRM Labs و Elliptic، ردپای این حمله را به گروه TraderTraitor و هکرهای وابسته به کره شمالی می‌رسانند؛ اما تا این لحظه هیچ نهاد دولتی این نسبت را تأیید نکرده است. بایننس می‌گوید نفوذ از لپ‌تاپ یک مهندس آغاز شده و شواهدی از نشت کلیدهای خصوصی ندیده است.

چه شد و چرا اهمیت دارد؟

بایننس بزرگ‌ترین صرافی رمزارز جهان توصیف می‌شود و حالا برای بررسی نفوذ، واریز و برداشت را متوقف کرده است. در بیانیه‌ای که به نقل از شرکت منتشر شده، بایننس گفته بررسی اولیه نشان می‌دهد مهاجم از طریق لپ‌تاپ «آسیب‌دیده» یک مهندس به یک کانتینر سرویس دسترسی گرفته و تراکنش‌های برداشت غیرمجاز ثبت کرده است. شرکت می‌گوید «وجوه کاربران امن است» و پس از پایان اصلاحات، اثبات ذخایر به‌روز منتشر می‌کند؛ اما هنوز مدرکی برای این ادعا ارائه نکرده است.

پیشینه و تاریخچه: از Bybit تا Bitget و بایننس

گروه TraderTraitor در گزارش‌های صنعت به‌عنوان یک شاخه‌ی کره شمالی معرفی می‌شود که تقریباً فقط روی سرقت رمزارز از شرکت‌ها و صرافی‌های بزرگ تمرکز دارد. این گروه پیش‌تر به سرقت ۱٫۴ میلیارد دلاری Bybit در سال ۲۰۲۵ نسبت داده شد؛ در آن مورد FBI مسئولیت کره شمالی را رسماً اعلام کرده بود. محققان انگیزه‌ی اصلی را تأمین مالی برنامه‌های تسلیحاتی تحریم‌شده می‌دانند.

1. فوریه‌ی ۲۰۲۵سرقت Bybit با رقم حدود ۱٫۴ تا ۱٫۵ میلیارد دلار؛ FBI آن را به کره شمالی نسبت داد.
2. سپتامبر ۲۰۲۶سرقت ۳۵۱ میلیون دلاری Bitget که مظنون اصلی آن هکرهای کره شمالی اعلام شدند.
3. دست‌کم ۳۶ ساعت پیش از حملهطبق TRM، آماده‌سازی حمله با سه برداشت کوچک از Tornado Cash آغاز شده بود.
4. ۲۹ اکتبر ۲۰۲۶ (۷ آبان ۱۴۰۵)، ساعت ۲۰:۰۵ UTCشروع انتقال‌های اصلی؛ موج دوم حدود ۲۳:۰۵ UTC روی Avalanche و Polygon دیده شد (TRM).
5. ۲۹ اکتبر ۲۰۲۶بایننس برداشت از برخی بلاک‌چین‌ها و سپس همه‌ی واریز و برداشت‌ها را متوقف کرد.
6. ۳۰ اکتبر ۲۰۲۶ (۸ آبان ۱۴۰۵)TRM و Elliptic هر دو سرقت را به کره شمالی نسبت دادند؛ Elliptic لحن «احتمالاً» و TRM لحن «با اطمینان بالا» به کار برد.

سازوکار فنی طبق TRM

TRM می‌گوید در شبکه‌ی اتریوم از تفویض EIP-7702 با ۵۰ مجوز امضاشده‌ی از پیش استفاده شده و در نُه شبکه‌ی دیگر انتقال‌های معمولی از کیف‌پول‌های بایننس انجام شده است. این شرکت ارزیابی می‌کند که زیرساخت امضای کیف‌پول داغ بایننس آسیب دیده بود. این برداشت TRM است و بایننس هنوز روش را تأیید نکرده است.

بازار و سهام

این رویداد به‌طور مستقیم به رمزارز و صرافی‌ها مربوط است. تغییر قیمت توکن بایننس (BNB) یا بازار کلی رمزارز در منابع خواندنی این گزارش ثبت نشده است؛ بنابراین واکنش بازار تأییدنشده است و رقمی نمی‌آید. آنچه گزارش شده، داده‌های زنجیره‌ای است: TRM می‌گوید مهاجم دست‌کم ۳۲۵ میلیون تتر را از راه UniswapX و قراردادهای مشابه به حدود ۱۲۲٬۳۰۰ اتر فروخت و ۱۸٬۲۷۰ بیت‌کوین را در بسته‌های ۱٬۰۰۰ و ۱۰۰ بیت‌کوینی شکسته است. برای دنبال‌کردن سایر بازارها از نقشه بازار رونما استفاده کنید.

تأثیر و راهکارها

برای صنعت امنیت سایبری، این رویداد دوباره نشان می‌دهد مهاجمان دولتی سراغ حلقه‌ی انسانی و دستگاه‌های کاری می‌روند، نه شکستن رمزنگاری. برای صرافی‌ها، پرسش اصلی این است که چرا دسترسی از یک دستگاه کارمند می‌توانست به سیستمی برسد که برداشت‌های میلیارد دلاری را مجاز می‌کند. هنوز روشن نیست لپ‌تاپ چگونه آلوده شد و آیا ممیزی امنیتی مستقلی پیش‌تر انجام شده بود. برای کاربران ایرانی نیز، که بسیاری‌شان از صرافی‌های جهانی استفاده می‌کنند، پیامد عملی ریسک توقف برداشت و عدم‌شفافیت درباره‌ی وجوه است؛ کانال اثر مستند دیگری برای ایران گزارش نشده است.

راهکارها و توصیه‌های عملی

توسعه‌دهندگان، مهندسان و مدیران فنی: دسترسی دستگاه‌های کارمندان به سرویس‌های امضا و برداشت را جدا کنید، امضای چندجانبه را از زیرساخت مدیریت جدا نگه دارید، سقف و تأخیر زمانی برای برداشت‌های بزرگ بگذارید و وابستگی‌های متن‌باز و ابزار توسعه را پایش کنید. پاسخ به رخداد را با سناریوی «آلودگی یک دستگاه مهندس» تمرین کنید.

سرمایه‌گذاران و فعالان بازار: این بخش توصیه‌ی خرید یا فروش نیست. رصد کنید: انتشار اثبات ذخایر بایننس، زمان بازگشایی برداشت‌ها، تغییر مبلغ نهایی سرقت، بلوکه‌های بیشتر توسط صادرکنندگان استیبل‌کوین و هرگونه تأیید رسمی دولتی. ریسک اصلی، نبود شفافیت درباره‌ی وضعیت واقعی ذخایر و احتمال اختلال در نقدینگی است.

کاربران نهایی و کسب‌وکارها: بخشی از دارایی بلندمدت را در کیف‌پول شخصی نگه دارید، احراز هویت دومرحله‌ای مقاوم به فیشینگ را فعال کنید، به پیام‌ها و لینک‌های «بازگشایی برداشت» اعتماد نکنید و فقط به اعلام‌های رسمی صرافی مراجعه کنید.

جمع‌بندی و محدوده قطعیت

تأییدشده است که بایننس واریز و برداشت را متوقف کرده و منابع مختلف سرقتی چند میلیارد دلاری را گزارش می‌کنند. ادعای منبع است که کره شمالی پشت آن بوده و که لپ‌تاپ یک مهندس نقطه‌ی ورود بوده است. هنوز روشن نیست مبلغ نهایی چقدر است و آیا وجوه کاربران کاملاً امن‌اند. شاخص‌های بعدی: اثبات ذخایر، گزارش کالبدشکافی بایننس، بیانیه‌ی نهادهای دولتی و میزان بازیابی وجوه بلوکه‌شده.