في حادثة الأمن هذه التي طالت Binance، أرى أن هناك تفصيلاً يستحق التأمل أكثر من تحويل أصول بقيمة مليارات الدولارات.
لم يثبت تسرّب المفتاح الخاص، ومع ذلك تمكّن المهاجمون من تحويل الأصول. فكيف حدث ذلك؟
ببساطة، ربما كشفت هذه الحادثة عن مشكلة يغفل عنها كثيرون: أكبر ثغرة أمنية في منصات التداول ليست بالضرورة في المحفظة، بل قد تكون خارجها.
وفقاً للإفصاح الأولي من Binance، ربما بدأ الهجوم باختراق حاسوب محمول لأحد مهندسي DevOps، ثم امتد إلى حاويات الخدمات الداخلية وإجراءات السحب.
وأجرى GCSA لاحقاً جولة من التحليل الجنائي على السلسلة، وأعاد فحص 18 معاملة أصلية، و50 توقيع تفويض أولياً من نوع EIP-7702، وتوقيع واحد لإلغاء التفويض.
هناك تفصيل تقني جدير بالانتباه: يمكن لمعاملة من النوع Type-4 أن تضم 50 تفويضاً، لكن هذا لا يعني أن التفويضات الخمسين كلها أصبحت سارية. وصحة التوقيع لا تعني بالضرورة سرقة المفتاح الخاص.
كما تتبّع التقرير ثلاث معاملات متتالية مرتبطة بخدمة MetaMask Gas Station، ووجد أن مبلغ إيداع ETH في المعاملة الأولى يطابق بدقة الحد الأقصى لميزانية الغاز في المعاملتين اللاحقتين.
أما الادعاءات بأن المهاجم اختار USDT عن طريق الخطأ، أو أن MetaMask تملك عنوان IP الحقيقي، فلا تتوفر حالياً أدلة كافية تدعمها.
وربطت TRM Labs الحادثة بدرجة عالية من الثقة بمجموعة التهديدات المرتبطة بكوريا الشمالية TraderTraitor، لكن هذا لا يعني أن هوية المهاجمين ومسار عملياتهم قد أُعيد بناؤهما بالكامل.
لطالما اعتقدت أن أمن منصات التداول لا ينبغي أن يقتصر على التركيز على المحافظ الباردة والتوقيعات المتعددة والمفاتيح الخاصة.
فأجهزة الموظفين، والصلاحيات الداخلية، وبيئة DevOps، وخدمات التوقيع، والموافقة على السحوبات، بل وحتى البنية التحتية التابعة لجهات خارجية، قد يؤدي اختراق أي حلقة منها إلى جعل منظومة حماية الأصول بلا جدوى.
وهناك نقطة أخرى: تقدير أثر الحادثة بنحو 6.3 مليارات دولار لا يعني أن هذا هو صافي الخسائر النهائي، كما أن تجميد الأصول لا يعني استعادتها.
ما يستحق أن تتأمله الصناعة بأكملها فعلاً في هذه الحادثة هو الآتي: حين لا يحتاج المهاجم إلى الحصول على المفتاح الخاص مباشرة، ومع ذلك يظل قادراً على تحريك الأصول، فقد تكون الحدود الأمنية لمنصات التداول كما فهمناها في الماضي لم تعد كافية.
لم يثبت تسرّب المفتاح الخاص، ومع ذلك تمكّن المهاجمون من تحويل الأصول. فكيف حدث ذلك؟
ببساطة، ربما كشفت هذه الحادثة عن مشكلة يغفل عنها كثيرون: أكبر ثغرة أمنية في منصات التداول ليست بالضرورة في المحفظة، بل قد تكون خارجها.
وفقاً للإفصاح الأولي من Binance، ربما بدأ الهجوم باختراق حاسوب محمول لأحد مهندسي DevOps، ثم امتد إلى حاويات الخدمات الداخلية وإجراءات السحب.
وأجرى GCSA لاحقاً جولة من التحليل الجنائي على السلسلة، وأعاد فحص 18 معاملة أصلية، و50 توقيع تفويض أولياً من نوع EIP-7702، وتوقيع واحد لإلغاء التفويض.
هناك تفصيل تقني جدير بالانتباه: يمكن لمعاملة من النوع Type-4 أن تضم 50 تفويضاً، لكن هذا لا يعني أن التفويضات الخمسين كلها أصبحت سارية. وصحة التوقيع لا تعني بالضرورة سرقة المفتاح الخاص.
كما تتبّع التقرير ثلاث معاملات متتالية مرتبطة بخدمة MetaMask Gas Station، ووجد أن مبلغ إيداع ETH في المعاملة الأولى يطابق بدقة الحد الأقصى لميزانية الغاز في المعاملتين اللاحقتين.
أما الادعاءات بأن المهاجم اختار USDT عن طريق الخطأ، أو أن MetaMask تملك عنوان IP الحقيقي، فلا تتوفر حالياً أدلة كافية تدعمها.
وربطت TRM Labs الحادثة بدرجة عالية من الثقة بمجموعة التهديدات المرتبطة بكوريا الشمالية TraderTraitor، لكن هذا لا يعني أن هوية المهاجمين ومسار عملياتهم قد أُعيد بناؤهما بالكامل.
لطالما اعتقدت أن أمن منصات التداول لا ينبغي أن يقتصر على التركيز على المحافظ الباردة والتوقيعات المتعددة والمفاتيح الخاصة.
فأجهزة الموظفين، والصلاحيات الداخلية، وبيئة DevOps، وخدمات التوقيع، والموافقة على السحوبات، بل وحتى البنية التحتية التابعة لجهات خارجية، قد يؤدي اختراق أي حلقة منها إلى جعل منظومة حماية الأصول بلا جدوى.
وهناك نقطة أخرى: تقدير أثر الحادثة بنحو 6.3 مليارات دولار لا يعني أن هذا هو صافي الخسائر النهائي، كما أن تجميد الأصول لا يعني استعادتها.
ما يستحق أن تتأمله الصناعة بأكملها فعلاً في هذه الحادثة هو الآتي: حين لا يحتاج المهاجم إلى الحصول على المفتاح الخاص مباشرة، ومع ذلك يظل قادراً على تحريك الأصول، فقد تكون الحدود الأمنية لمنصات التداول كما فهمناها في الماضي لم تعد كافية.