🔴 كيف حدث اختراق باينانس بقيمة 6.3 مليار دولار؟ تسلل استمر 5 أشهر، وسرقة نُفذت في 20 دقيقة
يونيو: حمّل مهندس DevOps للمحافظ، كان يحاول إعداد أداة برمجة بالذكاء الاصطناعي، مُثبّت Homebrew مُعدّلًا.
سبتمبر: تواصل مسؤول توظيف مزيف مع مهندس آخر، وأجرى معه مقابلة عمل مزيفة، ودفعه إلى تنزيل مستودع شيفرة خبيث.
20 أكتوبر: باستخدام تلك الحواسيب وأداة الذكاء الاصطناعي الداخلية في باينانس، سيطر المهاجمون على حاسوبي مهندسين آخرين. كما حصلوا على رمز صلاحيات يسمح بنشر الحاويات.
29 أكتوبر: من حاسوب المهندس C، وباستخدام بيانات اعتماد مسروقة، نشروا حاوية وشغّلوا نصًا برمجيًا خبيثًا. وصل ذلك إلى خدمة توقيع المحافظ الداخلية في باينانس وتجاوز فحوصات السحب المعتادة.
على إيثيريوم، فوّضت 50 موافقة EIP-7702 موقّعة مسبقًا المحفظة الساخنة Binance 14 إلى عقد المهاجم، ما أتاح الاستيلاء على 167,464 ETH + 1.615B USDT. وعبر 10 سلاسل، شملت الأصول 233.46M XRP و~970,500 SOL و18,270 BTC، بإجمالي يقارب ~$6.34B، واستُولي على معظمها خلال 20 دقيقة.
لماذا لم يوقف تعليق عمليات السحب الهجوم؟ كانت تفويضات EIP-7702 الخبيثة قد سُجّلت بالفعل على السلسلة، ولا تملك محفظة MPC مفتاحًا خاصًا واحدًا يمكن إبطاله — بل تطلّب الأمر إجراءً خاصًا.
من المسؤول؟ تعزو TRM Labs ومكتب التحقيقات الفيدرالي (FBI) الهجوم إلى مجموعة TraderTraitor الكورية الشمالية (المجموعة نفسها التي تقف وراء سرقة 1.5 مليار دولار من Bybit)؛ وتنفي كوريا الشمالية ذلك. وتقول باينانس إنها لم تعثر على أي دليل على تسرّب مفتاح خاص.
الوضع الآن: جُمّد أو اعتُرض ما يقارب ~$2.85B، وتقول باينانس إنها أعادت نحو 98% من الأموال.
ملاحظة: يستند هذا إلى التقرير الأولي لباينانس الصادر في 3 نوفمبر، وإلى نتائج TRM Labs ومكتب التحقيقات الفيدرالي؛ ولم يصدر بعد التقرير الكامل لما بعد الحادثة أو المراجعة المستقلة.
يونيو: حمّل مهندس DevOps للمحافظ، كان يحاول إعداد أداة برمجة بالذكاء الاصطناعي، مُثبّت Homebrew مُعدّلًا.
سبتمبر: تواصل مسؤول توظيف مزيف مع مهندس آخر، وأجرى معه مقابلة عمل مزيفة، ودفعه إلى تنزيل مستودع شيفرة خبيث.
20 أكتوبر: باستخدام تلك الحواسيب وأداة الذكاء الاصطناعي الداخلية في باينانس، سيطر المهاجمون على حاسوبي مهندسين آخرين. كما حصلوا على رمز صلاحيات يسمح بنشر الحاويات.
29 أكتوبر: من حاسوب المهندس C، وباستخدام بيانات اعتماد مسروقة، نشروا حاوية وشغّلوا نصًا برمجيًا خبيثًا. وصل ذلك إلى خدمة توقيع المحافظ الداخلية في باينانس وتجاوز فحوصات السحب المعتادة.
على إيثيريوم، فوّضت 50 موافقة EIP-7702 موقّعة مسبقًا المحفظة الساخنة Binance 14 إلى عقد المهاجم، ما أتاح الاستيلاء على 167,464 ETH + 1.615B USDT. وعبر 10 سلاسل، شملت الأصول 233.46M XRP و~970,500 SOL و18,270 BTC، بإجمالي يقارب ~$6.34B، واستُولي على معظمها خلال 20 دقيقة.
لماذا لم يوقف تعليق عمليات السحب الهجوم؟ كانت تفويضات EIP-7702 الخبيثة قد سُجّلت بالفعل على السلسلة، ولا تملك محفظة MPC مفتاحًا خاصًا واحدًا يمكن إبطاله — بل تطلّب الأمر إجراءً خاصًا.
من المسؤول؟ تعزو TRM Labs ومكتب التحقيقات الفيدرالي (FBI) الهجوم إلى مجموعة TraderTraitor الكورية الشمالية (المجموعة نفسها التي تقف وراء سرقة 1.5 مليار دولار من Bybit)؛ وتنفي كوريا الشمالية ذلك. وتقول باينانس إنها لم تعثر على أي دليل على تسرّب مفتاح خاص.
الوضع الآن: جُمّد أو اعتُرض ما يقارب ~$2.85B، وتقول باينانس إنها أعادت نحو 98% من الأموال.
ملاحظة: يستند هذا إلى التقرير الأولي لباينانس الصادر في 3 نوفمبر، وإلى نتائج TRM Labs ومكتب التحقيقات الفيدرالي؛ ولم يصدر بعد التقرير الكامل لما بعد الحادثة أو المراجعة المستقلة.
