هکرهایی که هفته گذشته ۶.۳ میلیارد دلار از بایننس سرقت کردند، راهی برای برداشت ۴۰ درصد از رمزارزهای دزدیده شده در یک حمله پیدا کردند که شانس شناسایی شدن آنها را کاهش داد و تنها ۱۵ دلار برایشان هزینه داشت.
بررسی تراکنش‌های ثبت شده در بلاک‌چین اتریوم نشان می‌دهد که چگونه سارقان از قابلیتی که برای آسان‌تر کردن استفاده از کیف پول‌های رمزارز طراحی شده بود، به عنوان یک سلاح استفاده کردند. این قابلیت به یک حساب اجازه می‌دهد تا به نرم‌افزار مجوز دهد پول را از طرف آن جابجا کند، به جای اینکه برای هر انتقال نیاز به مجوزهای جداگانه باشد.
به گفته شرکت امنیتی بلاک‌اید (Blockaid)، هکرها حدود ۱۵ دلار کارمزد شبکه برای فعال کردن این مجوز پرداخت کردند و سپس از آن برای برداشت تقریباً ۲.۵ میلیارد دلار در یک تراکنش واحد – ۴۰ درصد از کل مبلغ سرقت شده – استفاده کردند.
روز سه‌شنبه، خود بایننس یک جدول زمانی مفصل را تشریح کرد که در آن نفوذگران از آگهی‌های شغلی جعلی برای فریب یک مهندس به دانلود کد مخرب استفاده کردند. به گفته این صرافی، این یک «کمپین پیچیده و چند مرحله‌ای» بود که با مهندسی اجتماعی، دستگاه‌های آلوده و تکنیک‌های هوش مصنوعی همراه بود.
سوابق در پلتفرم تحلیلی اتر‌اسکن (Etherscan) نشان می‌دهد که هکرها پس از نفوذ، یک «کیف پول داغ» معروف به بایننس ۱۴ (Binance 14) را هدف قرار دادند که صرافی از آن برای پردازش برداشت‌های مشتریان استفاده می‌کند. این کیف پول تا حدودی شبیه یک صندوق پول آنلاین است و از آنجایی که بایننس بزرگترین صرافی رمزارز جهان است، به طور منظم مقادیر زیادی اتریوم، استیبل‌کوین‌ها و ده‌ها توکن دیجیتال دیگر را نگهداری می‌کند.
میانبر
جابجایی این همه دارایی مختلف به طور معمول به مجموعه‌ای از انتقال‌های جداگانه نیاز دارد که هر کدام زمان‌بر هستند و فرصت دیگری برای سیستم‌های امنیتی برای شناسایی چیزهای غیرعادی ایجاد می‌کنند.
اما یک ارتقاء نرم‌افزاری اتریوم معروف به EIP-7702 یک میانبر ارائه داد.
قبل از اجرای آن در ماه مه ۲۰۲۵، یک کیف پول رمزارز پایه بیشتر شبیه یک حساب جاری بود، جایی که مالک به طور کلی باید هر تراکنش را تأیید می‌کرد. این ارتقاء چیزی شبیه به عملکرد پرداخت خودکار را اضافه کرد و به کیف پول اجازه داد تا به نرم‌افزار توانایی دهد از طرف آن عمل کند و چندین اقدام را با هم ترکیب کند.
به گفته بلاک‌اید، در حدود ساعت ۲۰:۲۰ به وقت جهانی (UTC) در ۲۹ اکتبر، هکرها با استفاده از یک امضای معتبر از کیف پول بایننس ۱۴، دستورالعمل‌هایی را به شبکه اتریوم ارسال کردند که به کد کنترل شده توسط مهاجم اجازه می‌داد از طرف حساب عمل کند. در این مرحله بود که آنها کارمزد پردازش معمول شبکه را برای فعال کردن این اختیار پرداخت کردند.
آن تراکنش پولی را جابجا نکرد، بلکه صرفاً به اتریوم گفت که به نرم‌افزار هکرها اجازه دهد برای کیف پول عمل کند.
شرکت تحقیقاتی بلاک‌چین تیبان لبز (Tibane Labs) در گزارشی گفت: «این برنامه یک کار را انجام می‌دهد: وقتی صاحبش درخواست کند، کیف پول را به آدرسی که صاحبش انتخاب کرده است، خالی می‌کند.»