تناول موقع AMBCrypto تفاصيل اختراق منصة Binance الذي بلغت قيمته نحو 6.3 مليار دولار، وبدأ قبل 29 أكتوبر بأشهر وبعيدا عن أي سلسلة كتل، فبحسب تقرير الحادثة الصادر عن المنصة في 3 نوفمبر، انزل مهندس في يونيو حزمة تثبيت معدلة لأداة برمجة بالذكاء الاصطناعي، واكتشفت المنصة الشذوذ واستبدلت الجهاز، لكن المهاجمين كانوا قد جمعوا معلومات عن الموظفين والبنية، وفي سبتمبر جرى استدراج مهندس آخر عبر عملية توظيف وهمية تضمنت مقابلات ومهمة برمجية خبيثة.
وبحلول 20 أكتوبر استخدم المهاجمون أنظمة موظفين مخترقة وأدوات الذكاء الاصطناعي الداخلية للوصول إلى أجهزة إضافية، وحصلوا على بيانات اعتماد فتحت لهم الطريق إلى بنية توقيع المحافظ، وهي الآلية المسؤولة عن اعتماد المعاملات، وقدرت Chainalysis إجمالي المسروقات بنحو 6.4 مليار دولار.
التفويض الخبيث وآلية سرقة الأصول
وكشف الموقع أنه بين الساعة 20:05 و20:09 بتوقيت UTC يوم 29 أكتوبر حولت المحافظ الساخنة نحو 223.46 مليون XRP و970500 SOL و44.2 مليون OP إلى عناوين يسيطر عليها المهاجمون، ثم تبعتها عملة بيتكوين BTC وأصول أخرى.
وعلى شبكة إيثريوم ETH استغل المهاجمون EIP-7702، وهي آلية تتيح لحساب خارجي تفويض التنفيذ إلى شيفرة عقد ذكي، ووفق Binance استخدمت بنية التوقيع المخترقة لمنح شيفرة خبيثة صلاحيات تنفيذ على محفظة ساخنة، عبر 50 معاملة موقعة تلاعبت بقيمة nonce وأنشأت التفويض، وظلت هذه الصلاحيات سارية على السلسلة حتى بعد تعليق السحب وإغلاق خدمات المحافظ الساخنة.
وتعتمد المحفظة على MPC، أي توزيع إنتاج التواقيع بين عدة أطراف أو مكونات، ما يعني غياب مفتاح خاص واحد يمكن استخدامه لإلغاء التفويض فورا، فاضطر المهندسون إلى تطوير إجراء إلغاء متخصص أثناء الحادثة، وأكدت السلسلة أن آخر عملية تحويل غير مصرح بها على إيثريوم ETH وقعت الساعة 23:56 بتوقيت UTC وبلغت 2961.9 ETH، وقالت Binance إنها بثت قبل ذلك وبقيت معلقة.
وفي الـ 00:10 يوم 30 أكتوبر ألغت المنصة التفويض الخبيث بتفويض جديد إلى عنوان الصفر، وقال Brian Cubellis من Onramp إن إيقاف السحب يعطل برمجيات المنصة لكنه لا يمس الصلاحيات المكتوبة على السلسلة.
أسباب استمرار تدفق الأموال رغم عمليات التجميد
أضاف الموقع أن المحفظة المخترقة واصلت استقبال الأموال، إذ ذكر تحليل لـ Four Pillars بتاريخ 4 نوفمبر أن نظام تجميع الإيداعات في Binance استمر في توجيه الأموال إلى محفظة Ethereum مخترقة تحمل اسم Binance 14، ما أتاح للمهاجم سحب الأصول الواصلة حديثا.
وتشير إعادة بناء Nexus Mutual إلى أن المهاجم سحب نحو الساعة 21:44 بتوقيت UTC مبلغ 200 مليون USDT أودعته محفظة أخرى تابعة للمنصة قبل نحو 72 ثانية. وفي مسار آخر وصفت Chainalysis محاولة نقل نحو 500 مليون دولار من العملات المستقرة عبر عنوان مبادلة، وخلال نحو 20 دقيقة حول المهاجمون قرابة 325 مليون دولار إلى أصول أقل عرضة لتجميد الجهات المصدرة مثل Ether، بينما جمد 175 مليون دولار.
ويمكن لجهات مثل Tether وCircle تجميد رموز معينة، بخلاف بيتكوين BTC وإيثريوم ETH، وقالت Binance في تقرير 3 نوفمبر إن نحو 2.85 مليار دولار جمدت أو اعترضت، وإنها عوضت نحو 98% من الحيازات المتأثرة بحلول 4 نوفمبر، ولم تنشر رقما مسويا للخسائر بعد تعليق السحب.
مقارنة اختراق Binance بهجوم Bybit على Safe
كما سلط الموقع الضوء على أن حادثة Bybit في فبراير 2025 حيث كشفت وجها مختلفا للمشكلة، إذ سرق نحو 1.5 مليار دولار بعد اختراق بيئة مرتبطة بعملية اعتماد Safe{Wallet}، فخدعت تعديلات خبيثة الموقعين ودفعتهم إلى الموافقة على معاملة غير مصرح بها، وتعتمد الحادثتان على سلامة السلطة خلف المعاملة.
ويرى Carlos Vendrell من Zealynx Security أن الحل في اختبار الإجراء، بحيث يبدأ التمرين من قائمة بكل الموافقات والتفويضات الممنوحة لكل محفظة ساخنة، ثم يلغى أحدها فعليا على افتراض أن خدمة التوقيع المعتادة هي الجزء المخترق ويقاس الزمن.
ويقول Brian Cubellis إن على المنصة أن تثبت قبل تعرضها للهجوم قدرتها على إلغاء أي صلاحية ونقل الأموال المكشوفة حتى لو سيطر المهاجم على نظام التوقيع، أما Vik Sharma من Cake Wallet فيرى أن التحديث المفيد يحدد الموافقات الملغاة والأصول المنقولة ووجهتها، ولا تثبت التجربة أن MPC تمنع الإلغاء السريع بطبيعتها.