هک ۶٫۳ میلیارد دلاری بایننس؛ بزرگ‌ترین سرقت رمزارز تاریخ و ردپای احتمالی تریدرتریتور

بایننس، بزرگ‌ترین صرافی رمزارز جهان، در ۲۹ اکتبر ۲۰۲۶ (۷ آبان ۱۴۰۵) هدف حمله‌ای شد که دو شرکت تحلیل بلاک‌چین آن را بزرگ‌ترین سرقت رمزارز ثبت‌شده می‌دانند: بین ۶٫۳ تا ۶٫۴ میلیارد دلار طی حدود ۲۰ تا ۳۰ دقیقه از کیف‌پول‌های صرافی خارج شد. ردیاب‌ها گروه «تریدرتریتور» وابسته به کره شمالی را محتمل‌ترین عامل می‌دانند، اما تأیید رسمی دولتی هنوز وجود ندارد.

چه رخ داد و چرا مهم است؟

بایننس در ۲۹ اکتبر پس از گزارش کاربران درباره خروج دارایی از کیف‌پول‌هایش، به تک‌کرانچ تأیید کرد با یک «حادثه امنیتی» روبه‌روست و برداشت را در چند شبکه متوقف کرده است. روز بعد، شرکت اعلام کرد همه واریز و برداشت‌ها را تا پایان بررسی به حالت تعلیق درآورده است. بایننس می‌گوید دارایی کاربران امن است و پس از اتمام اصلاحات «اثبات ذخایر» به‌روز منتشر می‌کند.

اهمیت ماجرا فقط در رقم نیست. بایننس یک زیرساخت مرکزی بازار رمزارز است و حمله‌ای که در دقایق به ده‌ها دارایی روی ده‌ها شبکه رسیده، پرسش جدی درباره امنیت کلیدها و سامانه‌های امضای صرافی‌های بزرگ ایجاد می‌کند.

پیشینه و تاریخچه: از بای‌بیت تا بایننس

تکرار الگوی هک‌های بزرگ مرتبط با کره شمالی، زمینه‌ی ارزیابی تحلیلگران است. کره شمالی به دلیل تحریم از نظام مالی جهانی جدا شده و پژوهشگران انگیزه اصلی آن را تأمین مالی برنامه تسلیحاتی می‌دانند.

1. فوریه ۲۰۲۵هک بای‌بیت به ارزش حدود ۱٫۴ تا ۱٫۵ میلیارد دلار؛ تا پیش از این رویداد بزرگ‌ترین سرقت رمزارز بود و اف‌بی‌آی آن را به همین گروه نسبت داده بود (به نقل از تی‌آرام).
2. آوریل ۲۰۲۶حمله به «کلپ‌دائو» (KelpDAO) که تی‌آرام روش آن را شبیه این رویداد می‌داند.
3. ۲۰۲۶ (پیش از ۲۵ سپتامبر)سرقت ۳۵۱ میلیون دلاری از بیت‌گت که به‌گفته تک‌کرانچ، هکرهای کره شمالی مظنون آن بودند.
4. ۲۸ تا ۲۹ اکتبر ۲۰۲۶برداشت‌های کوچک از تورنادو کش برای تأمین مالی کیف‌پول عملیاتی؛ آزمایش کد روی کیف‌پول‌های دیگر و نصب آن روی کیف‌پول داغ بایننس (به روایت تی‌آرام و الیپتیک).
5. ۲۹ اکتبر ۲۰۲۶، ۲۰:۰۵ UTCآغاز خروج گسترده دارایی؛ حدود ۲۰:۲۰ UTC تفویض EIP-7702 روی اتریوم ثبت شد و کمی بعد کل موجودی کیف‌پول داغ خارج شد.
6. ۳۰ تا ۳۱ اکتبر ۲۰۲۶تعلیق کامل واریز و برداشت، بیانیه‌های بایننس و انتشار گزارش‌های تی‌آرام و الیپتیک.

سازوکار حمله بر پایه گزارش‌های تحلیلی

به گفته تی‌آرام، روی اتریوم از یک تفویض EIP-7702 استفاده شده و در یک تراکنش، ۵۰ مجوز امضاشده برای ۵۰ نانس متوالی ارسال شده است. الیپتیک می‌گوید همه این مجوزها با کلید کیف‌پول داغ مشهور به «Binance 14» به‌درستی امضا شده بودند. هر دو شرکت نتیجه می‌گیرند که مهاجم احتمالاً توانسته سامانه‌ی خود بایننس را وادار به امضای تراکنش‌ها کند. بایننس می‌گوید شواهدی از نشت کلید خصوصی ندیده است.

بایننس ابتدا از «لپ‌تاپ آلوده یک مهندس» سخن گفت و بعداً اعلام کرد «نقاط نفوذ بیشتری» یافته است. هم‌مدیرعامل شرکت، ریچارد تنگ، گفته تفویض مذکور از کنترل‌های تأیید معمول عبور نکرده و حمله کار یک نفر نبوده است (به نقل از الیپتیک). تک‌کرانچ می‌نویسد هنوز روشن نیست لپ‌تاپ چگونه آلوده شد. تی‌آرام هم می‌گوید بایننس هنوز علت ریشه‌ای را منتشر نکرده است.

داده‌ها: دو برآورد، دو پوشش متفاوت

تفاوت ارقام ناشی از روش ارزش‌گذاری، تعداد زنجیره‌ها و زمان اندازه‌گیری است و تناقض در واقعیت رویداد نیست. بایننس برآورد خود را حدود ۶٫۳ میلیارد دلار اعلام کرده و سخنگوی آن به تک‌کرانچ گفته حدود ۳ میلیارد دلار توسط شرکای صنعتی مسدود شده است.

بازار و سهام

بایننس شرکت بورسی نیست و قیمت لحظه‌ای بازار رمزارز از منبعی که در این چرخه خوانده شده باشد در دست نیست؛ بنابراین واکنش بازار تأییدنشده است و عددی برای آن منتشر نمی‌کنیم. تنها نکته‌ی قیمتی مستند، گزارش تی‌آرام است: فروش حدود ۳۲۵ میلیون تتر از مسیر یونی‌سواپ‌ایکس با تخفیفی بیش از ۱۰٪ نسبت به قیمت اتریوم همان زمان (حدود ۲٬۳۰۰ تا ۲٬۳۵۰ دلار) انجام شده است. برای پیگیری بازارها می‌توانید نقشه بازار رونما را ببینید.

در سطح اکوسیستم، شرکت سیرکل و تتر بخش بزرگی از وجوه را مسدود کردند: ارقام اولیه مدیران آن‌ها در شبکه X حدود ۸۰۰ میلیون و ۱٫۵۶ میلیارد دلار بود (به نقل از تک‌کرانچ) و تی‌آرام ارقام ۸۲۵ میلیون و ۱٫۷۷ میلیارد را گزارش می‌کند. بنابراین استیبل‌کوین‌های متمرکز عملاً نقش ابزار مهار را بازی کردند.

تأثیر و پیامدها

الیپتیک می‌گوید بایننس زیان را از صندوق «سافو» و منابع شرکت جبران می‌کند و بیش از ۶٫۳۴ میلیارد دلار از منابع شرکت را کنار گذاشته است؛ همچنین قرار است گزارش کامل اثبات ذخایر تا دوشنبه منتشر شود. اگر این تعهد اجرا شود، ضربه‌ی مستقیم به کاربران محدود می‌ماند، اما اعتماد به مدل نگهداری متمرکز آسیب می‌بیند. حدود ۳٫۲ میلیارد دلار از دارایی‌های ربوده‌شده (طبق الیپتیک) قابل مسدودسازی نیست، از جمله بیت‌کوین و بخش بزرگی از اتر.

الیپتیک همچنین از الگوی پولشویی خودکار با ۵۴۶ انتقال روی شبکه ترون و فاصله میانه ۹۶ ثانیه یاد می‌کند، اما تأکید دارد نمی‌داند عوامل هوش مصنوعی در کار هستند یا نه. این نکته فقط یک مشاهده است، نه اثبات. برای کاربران ایرانی که از صرافی‌های جهانی استفاده می‌کنند، پیام عملی ساده است: دسترسی به دارایی در زمان تعلیق دشوار است و تنوع در نگهداری اهمیت دارد؛ این نکته استنباط رونماست و به اطلاعات اختصاصی درباره کاربران ایرانی تکیه ندارد.

راهکارها و توصیه‌های عملی

توسعه‌دهندگان، مهندسان و مدیران فنی

مسیر حمله به‌گفته تحلیلگران از ایستگاه‌های کاری و سامانه‌ی امضا گذشته است؛ پس بازبینی دسترسی توسعه‌دهندگان به کانتینرها و سرویس‌های امضا، جدا کردن محیط امضا از محیط توسعه، و هشدار فوری برای تفویض‌های غیرعادی (مانند EIP-7702) و تراکنش‌های دسته‌ای اولویت دارد. محدودیت سقف برداشت و تأیید چندمرحله‌ای مستقل از خود سامانه امضا نیز لازم است.

سرمایه‌گذاران و فعالان بازار

این بخش توصیه خرید یا فروش نیست. موارد قابل رصد: انتشار اثبات ذخایر بایننس، زمان بازگشایی برداشت‌ها، سرنوشت دارایی‌های غیرقابل‌مسدود و بسته شدن وام آیو که به‌گفته الیپتیک نزدیک تصفیه است، و هر بیانیه رسمی نهادهای قانونی. ریسک‌ها شامل نوسان ناشی از فروش دارایی‌های ربوده‌شده، ریسک طرف مقابل در صرافی‌های متمرکز و عدم‌قطعیت درباره‌ی علت حمله است. برای زمینه‌ی بازار: نقشه بازار رونما.

کاربران نهایی و کسب‌وکارها

از لینک‌ها و پیام‌های «بازیابی دارایی» ناشناس دوری کنید؛ خود بایننس درباره کلاهبرداری‌های همزمان هشدار داده است. فقط از کانال‌های رسمی شرکت پیگیری کنید، دارایی بلندمدت را در یک پلتفرم نگه ندارید و برای اطلاع از وضعیت برداشت‌ها منتظر اعلام رسمی بمانید.

جمع‌بندی و محدوده قطعیت

قطعی است که حمله‌ای بی‌سابقه به بایننس رخ داده و بخش بزرگی از دارایی‌ها مسدود شده است. هنوز قطعی نیست که عامل دقیقاً که بوده، نفوذ اولیه چگونه انجام شد و آیا جبران زیان کاربران همان‌طور که وعده شده انجام می‌شود. شاخص‌های آینده: گزارش اثبات ذخایر، بازگشایی برداشت، علت ریشه‌ای رسمی، موضع اف‌بی‌آی و حرکت دارایی‌های ۲٫۴ تا ۳٫۲ میلیارد دلاری باقی‌مانده نزد مهاجم. ارقام این گزارش از منابع زیر در ۳۱ اکتبر ۲۰۲۶ گرفته شده و ممکن است تغییر کنند.