هک بایننس... فاصله یک نفوذ تا خروج میلیاردها دلار

خبر را می شود در یک جمله تعریف کرد: به لپ تاپ یک مهندس نفوذ کردند و میلیاردها دلار از بایننس بیرون رفت. جمله کوتاه است... اما بخش اصلی ماجرا در همین فاصله گم می شود. فاصله بین دسترسی به یک دستگاه و توانایی جابه جا کردن دارایی.

من برای خواندن این پرونده، از همین فاصله شروع می کنم. اینکه مهاجم از کجا وارد شده، یک سوال است. اینکه بعد از ورود تا کجا توانسته پیش برود، سوال دیگری است. توضیح اول، به تنهایی جواب دومی را نمی دهد.

اول معلوم کنیم چه چیزی را می دانیم

در اطلاعیه ۳۱ اکتبر ۲۰۲۶ FBI، سرقت بیش از ۶ میلیارد دلار از بایننس در حوالی ۲۹ اکتبر به کره شمالی و فعالیتی با نام TraderTraitor نسبت داده شده است. این انتساب رسمی است؛ شرح کامل مسیر فنی نفوذ نیست.

TRM Labs برآورد سرقت را ۶.۳۶ میلیارد دلار اعلام کرده و Elliptic رقم ۶.۴۳ میلیارد دلار را گزارش می کند. برآورد اعلام شده بایننس حدود ۶.۳ میلیارد دلار بوده است. در این یادداشت، عدد گرد شده را به کار می برم؛ قرار نیست اختلاف برآوردها را با یک عدد ظاهرا قطعی پنهان کنیم.

در روایت اولیه بایننس، احتمال نفوذ به لپ تاپ یک مهندس DevOps و دسترسی به یک کانتینر سرویس مطرح شد. اما طبق گزارش Elliptic از توضیحات بعدی شرکت، نقاط نفوذ دیگری هم شناسایی شده اند. همان گزارش، اظهارنظر اولیه درباره پیدا نشدن شواهد افشای کلید خصوصی را نقل می کند. پیدا نشدن شواهد در بررسی اولیه، حکم نهایی درباره تمام مسیر حمله نیست.

پس فعلا نمی شود یک مهندس، یک لپ تاپ و یک اشتباه را جای گزارش علت حادثه نشاند.

امضا معتبر بوده... برداشت چطور؟

نکته مهم در تحلیل TRM، تراکنش هایی با امضای معتبر در چند شبکه است. برداشت این شرکت این است که مهاجم احتمالا توانسته سامانه امضای کیف پول های گرم بایننس را به امضای تراکنش های دلخواهش وادار کند. این یک ارزیابی فنی است و باید با همین عنوان خوانده شود.

اگر این ارزیابی درست باشد، مساله فقط حفاظت از خود کلید نبوده است. مسیری که درخواست را به امضا می رسانده هم در مرکز حادثه قرار می گیرد.

اینجا برای من یک سوال مدیریتی شکل می گیرد: چه چیزی یک درخواست داخلی را به یک دستور قابل اجرا تبدیل می کند؟ هویت سرویس؟ سطح دسترسی؟ تایید مستقل؟ سقف عملیات؟

این سوال ها، فهرست ضعف های اثبات شده بایننس نیستند. برای فهمیدن اینکه کدام کنترل شکست خورده، به گزارش فنی نیاز داریم. اما معتبر بودن امضا به تنهایی توضیح نمی دهد چرا صاحب دارایی باید آن برداشت را مجاز بداند.

مسوولیت را تا لپ تاپ عقب نبریم و همان جا رها نکنیم

نفوذ به دستگاه کارکنان باید بررسی شود. اینکه چه کسی چه دسترسی ای داشته و چطور از آن استفاده شده هم باید روشن شود. ولی اگر توضیح سازمان در همان دستگاه متوقف شود، هنوز درباره اندازه خسارت چیزی نفهمیده ایم.

برای ارزیابی چنین سامانه ای، من دنبال چند پاسخ مشخص می گردم:

• از دسترسی اولیه تا اختیار برداشت، چه مرزهایی وجود داشته است؟
• کدام تصمیم حساس به تاییدی مستقل از همان مسیر نیاز داشته است؟
• چه میزان خروج دارایی می توانسته پیش از توقف خودکار یا دخالت انسانی رخ بدهد؟
• تیم چه زمانی متوجه رفتار غیرعادی شده و چه زمانی توانسته جلوی ادامه اش را بگیرد؟

ممکن است بخشی از این کنترل ها وجود داشته و دور زده شده باشند. ممکن است درست تنظیم نشده باشند. ممکن است علت دیگری در کار باشد. از روی عدد خسارت نمی شود یکی را انتخاب کرد و اسمش را یافته فنی گذاشت.

اما می شود درخواست کرد که گزارش نهایی، همین فاصله ها را توضیح بدهد. گفتن «مهاجم پیچیده بود» یا «یک دستگاه آلوده شد»، هنوز پاسخ پرسش درباره دامنه خسارت نیست.

پول مسدود شده، پول برگشته و خسارت جبران شده... سه گزارش جدا

Elliptic در به روزرسانی اول نوامبر حدود ۲.۸۵ میلیارد دلار دارایی مسدود یا ضبط شده را تایید کرده است. همان منبع، تعهد بایننس برای پوشش خسارت از منابع شرکت و صندوق SAFU را هم نقل می کند.

این دو خبر را باید جدا خواند. مسدود شدن دارایی یعنی امکان جابه جایی آن محدود شده؛ لزوما به معنی بازگشت آن به صرافی نیست. جایگزین کردن دارایی از منابع شرکت هم با پس گرفتن پول از مهاجم تفاوت دارد.

برای سنجش واکنش به حادثه، باید بدانیم چه مقدار از دسترس مهاجم خارج شده، چه مقدار برگشته و چه مقدار از منابع دیگری تامین شده است. هر کدام، وضعیت متفاوتی را نشان می دهند.

توان پرداخت خسارت برای کاربر اهمیت دارد. از آن نمی شود درباره بسته شدن مسیر نفوذ نتیجه گرفت. همان طور که بستن مسیر نفوذ هم به تنهایی ثابت نمی کند تعهد مالی به کاربران انجام شده است.

گزارش بعدی باید چه چیزی را روشن کند؟

برداشت من از این پرونده این است: ارزیابی امنیت باید تا لحظه ای ادامه پیدا کند که سیستم، یک درخواست را به انتقال واقعی دارایی تبدیل می کند. اگر فقط ورودی را بررسی کنیم، بخش تعیین کننده مسیر از نگاه بیرون می ماند.

برای قضاوت درباره اصلاحات بایننس، منتظر توضیح روشن همین مسیر می مانم: مهاجم چه اختیاری به دست آورده بود، کدام مرزها را رد کرده بود، کدام کنترل ها عمل نکردند و چه تغییری قرار است تکرار همان مسیر را دشوار کند.

تا آن زمان، می شود سوال دقیق پرسید و مسوولیت خواست. نمی شود جای بخش های خالی گزارش را با قطعیت پر کرد.

لپ تاپ احتمالی نقطه شروع روایت است... سوال من همچنان درباره مسیری است که بعد از آن باز مانده بود.

مبنای زمانی این یادداشت: اطلاعات در دسترس تا ۱ نوامبر ۲۰۲۶. بخش های تحلیلی، برداشت نویسنده از شواهد عمومی اند و جای گزارش فنی نهایی حادثه را نمی گیرند.