Linda تفحص اختراق Binance والأسئلة المحيطة بالهجوم

منشِئة مجتمع Cardano Linda قامت بفحص خرق الأمان في Binance في فيديو جديد، متسائلة كيف تمكن المهاجمون من نقل مليارات الدولارات، بينما تراجع استجابة المنصة والتحقيق في هوية المسؤولين.

يأتي تحليلها عقب تقدير Binance بأن نحو $6.3 مليار تأثر بهجوم 29 أكتوبر. كما تتناول Linda التكهنات بأن الخرق كان عملا داخليا، مع عرض نتائج المحققين التي تشير إلى مجموعة قرصنة مرتبطة بكوريا الشمالية.

أسئلة حول ضوابط الأمان في Binance

تركز Linda على الطرح الأولي الذي يفيد بأن الخرق ربما شمل حاسوبا محمولا مخترقا يعود لمهندس DevOps في Binance. وتتساءل كيف يمكن لمهاجم أن يحصل على وصول إلى أنظمة قادرة على نقل هذا الحجم الكبير، وما إذا كان ينبغي لآليات الحماية أن توقف السحوبات في وقت أبكر.

يتضمن الفيديو أيضا تحديثا لاحقا من الرئيس التنفيذي لـ Binance Richard Teng. وفي البيان الذي تعرضه Linda يوضح Teng أن المحققين حددوا نقاط اختراق إضافية ويصف الحادث بأنه هجوم معقد.

وبحسب ذلك التحديث استخدم المهاجمون آليات دمرت الأدوات والآثار أثناء عملهم، ما جعل التحقيق أكثر صعوبة. وتشير النتائج اللاحقة إلى أن الخرق لا يمكن اختزاله في حاسوب محمول واحد مخترق.

وتتطرق Linda أيضا إلى شرح Teng لكيفية حصول المهاجمين على موافقة التنفيذ عبر محفظة Binance متصلة بالإنترنت. ويشير التحديث إلى EIP-7702 وهي آلية في Ethereum تسمح للحساب بتفويض التنفيذ إلى كود عقد ذكي. ووفقا للبيان المعروض في الفيديو لم تمر عملية التفويض عبر ضوابط الموافقة المعتادة لدى Binance.

كيف حرّك المهاجمون الأموال

تصف Linda تسلسلا سريعا من المعاملات بعد بدء السحوبات غير المصرح بها في 29 أكتوبر. ووفقا لروايتها جرى نقل معظم الأصول المتأثرة في نحو 20 دقيقة.

بدأت جهات إصدار العملات المستقرة Tether و Circle في حظر العناوين المرتبطة بالمهاجمين. ويمكن لمثل هذه القيود أن تمنع تحريك الرموز المتأثرة إلى أبعد من ذلك، رغم أن تجميد الأصول يختلف عن استعادتها وإعادتها لأصحابها.

توضح Linda أن المهاجمين أودعوا USDT المسروق في بروتوكول الإقراض Aave واستخدموه كضمان لاقتراض ETH. كما تصف استبدال عملات مستقرة مسروقة بـ ETH قبل أن يُحظر بعض عناوين الاستلام.

ليس لـ ETH جهة إصدار مركزية قادرة على تجميد الرموز عند عنوان ما بالطريقة نفسها التي تقوم بها جهات إصدار USDT و USDC. وتستعرض Linda المعاملات لتُظهر كيف انتقل المهاجمون بين الأصول بينما كانت جهود التجميد جارية.

ويسلط فيديوها الضوء أيضا على ملاحظة من Chainalysis تفيد بأن آلاف المعاملات بدت وكأنها تدور بالأموال بين العناوين، وأحيانا تعيدها إلى عناوين شاركت في وقت سابق من التسلسل. وتربط Linda هذا النمط بالأتمتة ومساعي تمويه أثر الأموال.

فرض Aave مؤقتا قيودا على الإيداعات الجديدة والاقتراض كإجراء احترازي. وتشير Linda إلى أن المستخدمين ظلوا قادرين على سحب الأموال وسداد القروض، بينما أدت تغييرات لاحقة إلى جعل USDT و USDC وعدة أصول أخرى ذات نسبة قرض إلى قيمة تساوي صفرا، ما يمنع استخدامها كضمان لاقتراض جديد.

[NEWSBREAK]

تكهنات بشأن تورط داخلي والتحقيق

تتناول Linda التكهنات المتداولة عبر الإنترنت بأن الخرق قد يكون شمل أشخاصا من الداخل. وتوضح أسئلتها حول حجم السرقة والتركيز الأولي على حاسوب موظف محمول، لكنها لا تعرض دليلا يثبت وجود عمل داخلي.

كما تستعرض نتائج تشير إلى اتجاه آخر. ووفقا للتحليل المعروض في فيديوها نسبت شركة استخبارات سلسلة الكتل TRM Labs الهجوم إلى Trader Traitor وهي مجموعة مرتبطة بكوريا الشمالية. وتصف Linda رواية الشركة عن استعدادات بدأت قبل السرقة بما لا يقل عن 36 ساعة، شملت إعداد محافظ وإجراء اختبارات.

وتشير Linda إلى نتائج من Chainalysis والمحقق ZachXBT بشأن صلات بين أموال من حادثة Binance واختراق Bitget سابق مرتبط بمهاجمين من كوريا الشمالية. وتلاحظ أنه في وقت تسجيلها لم تكن Binance قد أكدت رسميا الجهة التي نفذت الهجوم.

يغطي الفيديو أيضا التزام Binance بتغطية الخسائر. وفي بيان عرضته Linda قالت المنصة إنها خصصت أكثر من $6.34 مليار من أموال الشركة، مع احتفاظ بنحو $5 مليار بالفعل في الأنواع نفسها من الأصول المتأثرة.

ومنذ ذلك الحين بدأت Binance بإعادة تفعيل السحوبات على مراحل. وفي 1 نوفمبر شرعت المنصة في إعادة فتح الخدمة لمجموعة من الأصول والشبكات، مع اختلاف الإتاحة باختلاف الرمز وسلسلة الكتل.