چگونه هکرها در عرض چند دقیقه 6.3 میلیارد دلار از بایننس سرقت کردند؟

بر اساس گزارشی از آزمایشگاه TRM، این سرقت دیروز در 10 بلاک چین آشکار شد و بیشتر وجوه از کیف پول های تحت کنترل بایننس در حدود 20 دقیقه خارج شدند. بایننس در ابتدا به یک لپ‌تاپ مهندس DevOps در معرض خطر اشاره کرد، اما بعدا گفت که در یک فرآیند حمله پیچیده نقاط نقض دیگری وجود دارد. جزئیات این که چگونه مهاجم برای تراکنش‌های مرتبط از کیف پول‌های Binance به قدرت کافی دست یافته است، نامشخص است.

من می خواهم مستقیما در مورد آنچه اتفاق افتاده است با شما صحبت کنم.

خط پایین - پول شما امن است و ما هر ضرری را پوشش می دهیم.

تحقیقات اولیه ما نشان می‌دهد که این حادثه امنیتی ممکن است با لپ‌تاپ مهندس DevOps در معرض خطر شروع شده باشد. که به مهاجم اجازه دسترسی به یک…

— ریچارد تنگ (@_RichardTeng) 30 اکتبر 2026

اولین توضیح عمومی بایننس از آنچه اتفاق افتاد به یک لپ تاپ متعلق به یک مهندس DevOps اشاره کرد. اواخر شب گذشته، صرافی گفت که تحقیقات اولیه نشان می‌دهد که لپ‌تاپ آسیب‌دیده به مهاجم اجازه دسترسی به کانتینر خدمات و ارسال تراکنش‌های برداشت غیرمجاز را داده است. بایننس اضافه کرد که هیچ مدرکی برای فاش شدن کلیدهای خصوصی پیدا نکرده است.

ریچارد تنگ، مدیرعامل بایننس بعدا توضیح داد که این حمله صرفا به دلیل سوء استفاده از مجوزهای یک کارمند نبوده و در پستی در X پست کرد: "مهاجم به سادگی از مجوزهای یک مهندس استفاده نکرد و این یک اقدام "یک کلیک" نبود، بلکه شامل فرآیند حمله پیچیده تری بود."

Teng اضافه کرد که بایننس نقاط دیگری از نقض را کشف کرده است اما مسئولیتی را به فرد خاصی نسبت نداده است. این صرافی قول داده است که پس از تکمیل تحقیقات، یک پس از مرگ فنی دقیق انجام دهد.

ظاهرا بایننس هنوز هم جاروهای کیف پول سپرده خود را روشن کرده است. این کیف پول داغ آنها را تازه می کند. سپس هکر در حال جارو کردن کیف پول داغ است pic.twitter.com/fJmARHmMkl

نکته قابل توجه، کانر گروگان، رئیس عملیات تجاری محصول کوین‌بیس، در طول حمله هشدار داد که پس از وقوع حمله اولیه، بازپرداخت‌های کیف پول سپرده بایننس همچنان ادامه دارد. این جاروهای خودکار وجوه را از آدرس‌های سپرده مشتری به کیف‌پول‌های داغ جمع‌آوری شده خود صرافی منتقل می‌کنند. در این مورد، این بدان معناست که سپرده‌های جدید می‌توانند کیف پولی را که مهاجم قبلا به خطر انداخته بود، پر کنند.

چندین شرکت و تحلیلگر اطلاعاتی بلاک چین این حمله را به TraderTraitor، یک گروه هکری تحت حمایت دولت کره شمالی که با گروه گسترده تر Lazarus مرتبط است، نسبت داده اند.

این نشان می دهد که یک بازیگر احتمالا پشت هر دو حادثه است.

بهره برداری Bitget به کره مرتبط با کره شمالی نسبت داده شد… pic.twitter.com/KH72rXfNkM

از منظر فنی، اتفاقی که در اتریوم افتاد، جالب‌ترین بخش داستان است. از نظر نحوه عملکرد هک روی این بلاک چین خاص، TRM گفت که مهاجم از طریق برداشت‌های کوچک از میکسر رمزنگاری مبتنی بر اتریوم Tornado Cash، بودجه یک کیف پول اپراتور را تامین کرده، حمله را از قبل آماده کرده و قبل از اجرای سریع سرقت، 50 مجوز EIP-7702 امضا شده توسط Binance را آماده کرده است.

EIP-7702 یک ارتقاء اتریوم است که در می 2025 فعال شد و این ویژگی برای انعطاف پذیرتر کردن کیف پول های معمولی اتریوم با اجازه دادن به آنها برای اجرای موقت کد از یک قرارداد هوشمند طراحی شده است.

یک حساب متعلق به خارجی یا EOA معمولا توسط یک کلید خصوصی کنترل می شود و نمی تواند به طور مستقل قوانین یا عملیات دسته ای را اجرا کند. EIP-7702 به آن اجازه می دهد مجوزی را امضا کند که رفتار خود را به یک قرارداد هوشمند تفویض می کند و اقداماتی مانند ترکیب تأیید رمز و انتقال را ممکن می کند. در مورد بایننس، مهاجم از EIP-7702 برای تبدیل بایننس 14، یکی از کیف‌پول‌های داغ اتریوم صرافی، به کیف پولی که قرارداد سوییپر تحت کنترل مهاجم را اجرا می‌کند، استفاده کرد.

مهاجم از لایو Binance 14 اطلاعی نداشت.

بنابراین آنها 50 EIP-7702 auths (18914775-18914824) را در یک TX نوع 4 اسپری کردند.

یک اعتبار 7702 فقط برای nonce فعلی در گنجاندن معتبر است. کیف پول داغ همچنان شلیک می کرد. یک نفر در آن پنجره فرود آمد. https://t.co/ZjjayMIIHi pic.twitter.com/XFWqW6ezXw

بر اساس بازسازی فنی Blockaid از آنچه اتفاق افتاده است، مهاجم تراکنشی حاوی 50 مجوز EIP-7702 را ارائه کرد که هر کدام توسط Binance 14 امضا شده بود و به غیر متوالی متفاوتی گره خورده بود. Nonce شمارنده ای است که هر بار که یک حساب اتریوم تراکنش ارسال می کند افزایش می یابد. از آنجایی که بایننس 14 به طور فعال برداشت ها را پردازش می کرد، عدم تغییر آن مدام تغییر می کرد. مهاجم نمی‌توانست بداند در هنگام پردازش تراکنش مجوز، کدام nonce جاری است، بنابراین 50 احتمال مختلف را از قبل آماده کرد. یکی از آن ها یک مسابقه بود.

برای روشن بودن، EIP-7702 اجازه نداد یک غریبه یک کیف پول دلخواه را تصاحب کند. مجوز هنوز باید توسط کلید کیف پول یا زیرساختی که قادر به تولید یک امضای معتبر است امضا می شد. مشخصات مربوط به استفاده از EIP-7702 همچنین در مورد آنچه در بلاک چین های دیگر رخ داده است، صدق نمی کند.

یادداشت های سریع 7702 برای از بین بردن مزاحمت و ایمن نگه داشتن وجوه شما.

اولین چیز - 7702 خودش خراب نیست. اگر از کیف پولی استفاده می کنید که از 7702 (MetaMask، Uniswap، Ambire و غیره) پشتیبانی می کند، وحشت نکنید.

برای یادآوری، 7702 یک EIP انتزاعی حساب است که به EOA اجازه می دهد تا یک…

— درک چیانگ | Ethlabs (@decentrek) 30 اکتبر 2026

درک چیانگ، موسس و محقق Ethlabs استدلال کرد که EIP-7702 خود شکسته نشده است. در عوض، این ویژگی زمانی که مهاجم توانایی دریافت مجوزهای معتبر را داشت، سرقت را سریع‌تر و کارآمدتر کرد. بدون آن، مهاجم باید تراکنش‌های جداگانه‌ای را برای جابه‌جایی هر توکن ارسال می‌کرد و با برداشت‌های قانونی بایننس برای غیره بعدی کیف پول رقابت می‌کرد.

این سرقت باعث مقایسه با FTX شده است، اما شرایط پیرامون این حادثه اخیر، حداقل آنطور که در حال حاضر درک می شود، کاملا متفاوت به نظر می رسد. بایننس می‌گوید وجوه مشتریان امن است و زیان‌ها را از طریق SAFU و وجوه شرکت پوشش می‌دهد. هیچ مدرک عمومی مبنی بر اینکه این یک شغل داخلی بوده یا اینکه بایننس ورشکسته است وجود ندارد.

ایلان، برای شما احترام زیادی قائل هستم، اما زمان بدی برای ترول کردن است. لطفا بس کن

ممنون میشم اگر کمی حمایت کنید. با تشکر

در X، Changpeng "CZ" Zhao، بنیانگذار بایننس و مدیر عامل سابق، پس از واکنش ایلان ماسک به پستی که وضعیت فعلی بایننس را با سقوط قبلی FTX مقایسه می کرد، عقب نشینی کرد. ژائو از ماسک خواست تا ترولینگ را متوقف کند و به سرمایه گذاری بایننس در اسپیس ایکس به عنوان شواهدی مبنی بر منابع مالی شرکت اشاره کرد.

صرافی ممکن است منابعی برای کامل کردن مشتریان داشته باشد، اما جزئیات این که چگونه یک مهاجم مجوز کافی برای تولید امضای معتبر در چندین بلاک چین را به دست آورد، نامشخص است. پس از مرگ وعده داده شده بایننس، نه تنها باید لپ تاپ آسیب دیده، بلکه نقاط نقض اضافی و کنترل هایی که نتوانستند مانع برداشت میلیاردها دلار شوند، توضیح دهد.