رسوم 15 دولاراً تسبق تفويضاً أتاح نقل 2.5 مليار دولار من محفظة Binance
الحقائق الرئيسية
أتاح تفويض على شبكة Ethereum نقل أصول بنحو 2.5 مليار دولار من محفظة Binance في معاملة واحدة يوم 29 أكتوبر، بعدما دفع المهاجمون نحو 15 دولاراً رسوماً للشبكة لتفعيله، بحسب Blockaid في تقرير نقلته Bloomberg عبر The Edge Malaysia. ومثّل التحويل نحو 40% من إجمالي المبلغ المسروق في الحادثة، وفق الشركة الأمنية. وقالت Binance إن المهاجم استغل وصولاً غير مصرح به إلى خدمة توقيع داخلية لإطلاق معاملات خارج مسار السحب المعتاد. ووصف التقرير التفويض بأنه خطوة أتاحت نقل تلك الأصول بعد اختراق خدمة التوقيع. وقدرت Binance لاحقاً قيمة الأصول المتأثرة في الحادثة كلها بنحو 6.34 مليارات دولار، وهو تقدير أوسع من قيمة التحويل المنفرد.
وقال CoinDesk إن المهاجم نفذ التحويل عند 20:24:23 بالتوقيت العالمي، ناقلاً نحو 167,464 ETH و63 رمزاً، بينها ما يقارب 1.6 مليار USDT. واستقرت الأصول في معاملة واحدة عبر ما وصفه التقرير بعقد «المكنسة» الذي استُدعي من محفظة Binance 14. وأوضحت Blockaid أن أنظمة الرصد أطلقت تنبيهاً بعد دقيقة و55 ثانية من تنفيذ التحويل. كما رصدت الشركة التحركات اللاحقة عبر الشبكات خلال سبع ثوانٍ من كل حركة. وتُظهر هذه الوقائع سرعة انتقال الأصول، فيما كان التفويض المسجل على الشبكة يتيح تنفيذ الحركة خارج ضوابط السحب الداخلية المعتادة، بحسب وصف Binance لطريقة الاختراق.
وقالت Binance إن تعليق السحوبات لم يوقف كل التحركات، لأن تفويضات EIP-7702 الخبيثة سُجلت على السلسلة وعملت مستقلة عن البنية المعتادة للسحوبات. وأضافت أن المحفظة الساخنة استخدمت التوقيع متعدد الأطراف، المعروف بـMPC، ولذلك لم يكن هناك مفتاح خاص منفرد يمكن استخدامه فوراً لإلغاء التفويض. وظلت محفظة Binance 14 تحت التفويض الخبيث قرابة أربع ساعات، قبل إلغائه عند 00:10:35 بالتوقيت العالمي يوم 30 أكتوبر، وفق CoinDesk. وكانت إجراءات Binance المبكرة قد شملت تعليق السحوبات والتنسيق لتجميد الأصول المتأثرة. وذكرت Reuters أن تلك الخطوات أسفرت عن تجميد نحو 2.85 مليار دولار.
وفي تحديث نشرته يوم 3 نوفمبر، قدرت Binance الأصول المتأثرة بالحادثة بنحو 6.34 مليارات دولار، وقالت إن نحو 2.85 مليار دولار جُمّدت أو اعتُرضت حتى موعد التحديث. وأضافت أن 98% من أصول الرموز المتأثرة أُعيد توفيرها بحلول ذلك التاريخ. وقالت الشركة إنها ستتحمل الأثر المالي للأموال المسروقة بدلاً من المستخدمين، وإنها خصصت أكثر من 100% من الأموال اللازمة لتغطية الخسارة. وكانت قد قالت في تحديث سابق إن الأموال المخصصة للتغطية تكفي لتغطية 90% من الأصول المفقودة بحلول 1 نوفمبر، مع تعهدها بتعويض العملاء بالكامل. وتختلف قيمة الأصول المتأثرة في تقدير Binance عن قيمة المعاملة المنفردة على Ethereum، التي بلغت نحو 2.5 مليار دولار.
وعزت Binance الحادثة إلى حملة متعددة المراحل شملت مقابلات توظيف وهمية وتنزيلاً لبرمجيات خبيثة واختراق أدوات داخلية، وقالت إن الوصول إلى عمليات توقيع المحافظ استُخدم يوم 29 أكتوبر. وأضافت أن فريق أمنها رصد ومنع 57 حادثة تهديد سيبراني مشتبه بها مرتبطة بكوريا الشمالية خلال 2026. وأعلن مكتب التحقيقات الفيدرالي مسؤولية كوريا الشمالية عن سرقة أكثر من 6 مليارات دولار من Binance في ذلك التاريخ، مستخدماً اسم TraderTraitor للإشارة إلى هذا النشاط السيبراني. وقال المكتب إن الأصول المسروقة تُحوّل أساساً إلى إيثر، وإنه يتوقع محاولات لاحقة لنقلها عبر التمويل اللامركزي وخدمات المبادلة الفورية. ودعا FBI منصات العملات المشفرة وشركات تحليل البلوكتشين وغيرها إلى حظر المعاملات المرتبطة بعناوين محددة.
وتتيح EIP-7702 للحسابات العادية إضافة وظائف العقود الذكية عبر تفويض التنفيذ، وفق إرشادات Ethereum.org. وتحذر الإرشادات من أن تفويض الحساب، من دون علم صاحبه، إلى عقد خبيث قد يمنح المهاجم قدرة على السيطرة على الأصول وسرقتها. وأُدرج الاقتراح ضمن ترقية Pectra التي فُعلت على الشبكة الرئيسية لإيثيريوم في 7 مايو 2025. وقالت Binance إنها ألغت التفويض المتأثر وأعادت بناء بنية المحفظة، كما حدّثت ضوابط التوقيع والمراقبة. وأضافت أن التحقيق مستمر وأن نتائجه ستخضع لمراجعة مستقلة، فيما قال FBI إن نقل الأصول عبر خدمات التمويل اللامركزي والمبادلة الفورية قد يأتي في مراحل لاحقة.