هک 6.3 میلیارد دلاری Binance تنها در 20 دقیقه انجام شد

پس از این سرقت، بایننس تقریبا بلافاصله تمام سپرده‌ها و برداشت‌ها از خدمات خود را به عنوان بخشی از تحقیقات خود در مورد هک به حالت تعلیق درآورد و می‌گوید که در تلاش است تا شناسایی کند چه کسی پشت این نفوذ بوده است. این شرکت، همراه با سایر شرکت‌های رمزنگاری، می‌گوید تا کنون توانسته است حدود نیمی از وجوه دزدیده شده را مسدود کند - اساسا مانع از انتقال بیشتر پول توسط هکرها یا تلاش برای نقد کردن آن می‌شود. با این حال، بسیاری از رمزارزهای باقی مانده ممکن است مسدود شوند. سه شرکت ردیابی رمزارز به سرعت این حمله را به طور بالقوه به هکرهای کره شمالی مرتبط کردند.

تام رابینسون، دانشمند ارشد و یکی از بنیانگذاران Elliptic، به WIRED می‌گوید: «ما فکر می‌کنیم کره شمالی احتمالا مسئول است. اگر کره شمالی پشت آن باشد، این یک سرقت تقریبا همه چیزهایی را که رژیم تا به امروز در رمزارز دزدیده است، دو برابر خواهد کرد. بر اساس تجزیه و تحلیل شرکت ردیابی رمزارز TRM Labs، اکثر کریپتوهای به سرقت رفته در 29 اکتبر در یک بازه زمانی حدود 20 دقیقه گرفته شده است. بر اساس تحلیل TRM، کیف‌پول‌های متعلق به بایننس در حداقل ده بلاک چین - از جمله اتریوم، بیت‌کوین، ترون و سولانا - تخلیه شده و به آدرس‌های متعددی که توسط یک مهاجم کنترل می‌شوند، ارسال می‌شوند.

TRM در یک پست وبلاگ می گوید: «آماده سازی حداقل 36 ساعت قبل از سرقت آغاز شد. این شرکت می گوید یکی از کیف پول های مهاجم سه برداشت کوچک در طول یک دوره آزمایشی دریافت کرده است، قبل از اینکه بعدا عملیات را گسترش دهد. TRM می‌گوید: «اوایل 29 اکتبر، اپراتور اولین قطعه کد را برای حمله مستقر کرد و آن را روی دو کیف پول آزمایش کرد. بعدا در همان روز، نسخه نهایی را بر روی کیف پول سوم تمرین کرد، سپس وجوه آزمایشی را به خودش بازگرداند.

چهار ساعت پس از آن تمرین، همان کد روی کیف پول داغ Binance نصب شد. کیف‌پول‌های داغ، کیف‌پول‌های ارزهای دیجیتال هستند که به اینترنت متصل هستند و به صرافی‌های ارز دیجیتال اجازه می‌دهند تا برداشت‌های مشتری را انجام دهند. تحلیلگران می گویند که وجوه از کیف پول های داغ در سراسر بلاک چین های آسیب دیده تخلیه شده است. نه بایننس و نه مقامات مجری قانون هیچ ارتباط مشکوکی بین این حمله و هکرهای کره شمالی را ذکر نکرده اند، اما محققان می گویند که با حملات قبلی TraderTraitor به ارزهای دیجیتال همپوشانی وجود دارد.

در سال‌های اخیر، هکرهای کره شمالی بارها شرکت‌های ارزهای دیجیتال را هدف قرار داده و صدها میلیون نفر را سرقت کرده‌اند. چندین گروه هکر کره شمالی می‌توانند شرکت‌های این بخش را هدف قرار دهند، اما TraderTraitor متخصص شده است و حملات نادر اما با مشخصات بالا را انجام می‌دهد. به نظر می‌رسد تاکتیک‌های مورد استفاده در هک از روش‌های قبلی استفاده شده توسط زیرمجموعه نخبه‌ای از هکرهای کره شمالی که با نام TraderTraitor شناخته می‌شوند، تقلید می‌کند.

شرکت‌های ردیابی رمزنگاری TRM Labs و Chainalysis هر دو می‌گویند که معتقدند TraderTraitor ممکن است در پشت این حمله باشد، در حالی که رابینسون می‌گوید Elliptic آن را به طور خاص به گروه ربط نداده است اما همپوشانی‌هایی در این فعالیت مشاهده می‌کند. در عملیات هک گسترده کره شمالی - که اغلب برای کسب درآمد برای رژیم بسیار تحریم شده و سرکوبگر طراحی شده است - TraderTraitor در سال های اخیر به دلیل پیچیدگی و هدف قرار دادن شرکت های مالی غیرمتمرکز و ارزهای دیجیتال برجسته شده است.

سال گذشته، FBI TraderTraitor را مسئول هک 1.5 میلیارد دلاری علیه صرافی رمزارز Bybit معرفی کرد. بایننس به سؤالات WIRED در مورد اینکه آیا معتقد است هکرهای کره شمالی پشت این سرقت عظیم هستند پاسخی نداد و به بیانیه‌ای اشاره کرد که می‌گوید تمام خسارات ناشی از هک را پوشش می‌دهد و با مقامات مجری قانون همکاری می‌کند تا مشخص کند چه کسی مسئول این سرقت است. این شرکت در گزارشی می‌گوید: «تحقیقات اولیه ما نشان داد که این حادثه امنیتی ممکن است مربوط به یک لپ‌تاپ آسیب‌دیده باشد، با این حال، بررسی‌های بعدی ما موارد دیگری از نقض را کشف کرده است.»

وسوسه این یک حمله پیچیده بود و ما تمام تلاش خود را با هماهنگی مجریان قانون برای حل آن انجام می دهیم.» راف پیلینگ، مدیر ارشد اطلاعات تهدید در شرکت امنیتی Sophos، به WIRED می‌گوید: «این افراد به‌ویژه از نظر ورود به این سازمان‌های مالی توزیع‌شده تا حدودی هنرمندان هستند. "به نظر می رسد TraderTraitor روی این عملیات بزرگتر تمرکز دارد.

در گذشته، آنها برنامه‌های جعلی خود را توسعه داده‌اند و سعی کرده‌اند از آن‌ها برای ورود به داخل سازمان‌ها استفاده کنند.» TRM و Chainalysis در ابتدا این حمله را به TraderTraitor مرتبط کرده‌اند و می‌گویند که این تصمیم‌ها بر اساس تجزیه و تحلیل آن‌ها از فعالیت‌های درون زنجیره‌ای و خارج از زنجیره است. یک وبلاگ تحقیقاتی از Chainalysis می‌گوید: «قوی‌ترین شواهد زمانی پدیدار شد که محققان Chainalysis، به‌طور واقعی، وجوه دزدیده شده از Binance را با وجوه سرقت شده در بهره‌برداری Bitget در ماه گذشته مشاهده کردند که به بازیگران کره شمالی نسبت داده شده بود. بایننس می گوید که حمله با یک موتور در معرض خطر شروع شد

لپ تاپ eer. رابینسون Elliptic می گوید که هدف قرار دادن کارکنان شرکت رمزنگاری یک نشانه TraderTraitor است. مهاجم از طریق Tornado Cash بودجه کیف پول خود را تامین کرده و حمله را از قبل تمرین کرده است، مانند بای بیت. در حالی که حدود 3 میلیارد دلار ارز رمزنگاری شده در ابتدا پس از حمله مسدود شده بود، احتمالا کسانی که در پشت آن هستند هنوز هم می توانند مبالغ هنگفتی را از بین ببرند زیرا نمی توان همه رمزارزهای سرقت شده را مسدود کرد.

تحقیقات Chainalysis می‌گوید که این شرکت شاهد «الگوهای پولشویی است که قبلا ندیده‌ایم» و هزاران تراکنش که به سرعت پردازش می‌شوند نشان می‌دهد که آن‌ها از «اتوماسیون برای پنهان کردن مسیر سرمایه‌ها» استفاده می‌کنند. رابینسون Elliptic می‌گوید که حدود 2.8 میلیارد دلار یا حدود 44 درصد از کل مبلغ سرقت شده، تاکنون توسط شرکت‌ها و صرافی‌های رمزنگاری مسدود شده است و تقریبا همه آن‌ها را استیبل کوین‌ها تشکیل می‌دهند. رابینسون می‌گوید: «۳.۳ میلیارد دلار باقی‌مانده بیشتر بیت‌کوین، اتر و XRP است که هیچ‌کس نمی‌تواند آن‌ها را مسدود کند.

"فقط زمانی می توان آن را متوقف کرد که به یک صرافی یا خدمات دیگر برسد. برخی از آنها در ماه های آینده دستگیر خواهند شد، اما من انتظار ندارم که سهم منجمد بیش از این افزایش یابد."