قراصنة يفرغون مليارات بينانس

تحرير: أحمد شرف الدين

وجد القراصنة الذين سرقوا 6.3 مليار دولار من منصة بينانس الأسبوع الماضي طريقة لسحب 40% من العملات المسروقة في ضربة واحدة، ما قلّل فرص ضبطهم متلبسين، وكلّفهم ذلك 15 دولارًا فقط.

وأظهر فحص المعاملات المسجلة على شبكة إيثريوم كيف إستغل اللصوص خاصية صُممت لتسهيل استخدام محافظ العملات المشفرة، إذ تسمح للحساب بمنح برنامج إذنًا بتحريك الأموال نيابة عنه، بدل طلب موافقات منفصلة لكل عملية نقل.

ودفع القراصنة نحو 15 دولارًا من رسوم الشبكة لتفعيل هذا الإذن، ثم استخدموه لسحب نحو 2.5 مليار دولار في معاملة واحدة، أي 40% من إجمالي المبلغ المسروق، وفق شركة الأمن بلاك إيد.

وكانت بينانس قد أوضحت يوم الثلاثاء في جدول زمني مفصل أن المتسللين استخدموا عروض عمل وهمية لخداع مهندس ودفعه إلى تنزيل برنامج خبيث، في حملة وصفتها المنصة بأنها متطورة ومتعددة المراحل، تضمنت هندسة اجتماعية وأجهزة مخترقة وتقنيات ذكاء اصطناعي.

وبعد اختراق الأنظمة، استهدف القراصنة محفظة ساخنة تعرف باسم بينانس 14، تستخدمها المنصة لمعالجة عمليات سحب العملاء، وفق سجلات منصة إيثيرسكان للتحليلات.

وكان نقل هذا العدد الكبير من الأصول المختلفة يتطلب عادة سلسلة عمليات نقل منفصلة، يستغرق كل منها وقتًا ويمنح أنظمة الأمن فرصة إضافية لرصد أي نشاط غير عادي.

لكن ترقية برمجية لشبكة إيثريوم تعرف باسم EIP-7702 أتاحت اختصارًا، إذ أضافت وظيفة قريبة من الدفع التلقائي، تسمح للمحفظة بمنح برنامج القدرة على التصرف نيابة عنها وتجميع عدة إجراءات معًا.

وفي نحو الساعة 8:20 مساء بتوقيت غرينتش في 29 تشرين الأول/أكتوبر، قدّم القراصنة تعليمات باستخدام توقيع سليم من محفظة بينانس 14، تطلب من شبكة إيثريوم السماح لبرنامج يسيطر عليه المهاجمون بالتصرف نيابة عن الحساب، وفق بلاك إيد، ودفعوا عندها رسوم المعالجة المعتادة لتثبيت هذا التفويض.

ولم تنقل تلك المعاملة أي أموال، بل أبلغت إيثريوم فقط بالسماح لبرنامج القراصنة بالتصرف لحساب المحفظة، وبعد ثلاث دقائق ونصف الدقيقة فعل القراصنة الفخ، إذ نقل برنامجهم نحو 2.5 مليار دولار في معاملة واحدة، شملت 167,464 وحدة إيثير وأكثر من 60 رمزًا آخر، في مقدمتها 1.6 مليار دولار من عملة تيذر المستقرة USDT.

وقال دان كاسبي، الشريك المؤسس والرئيس التنفيذي للتكنولوجيا في شركة هايبرنيتف، إن المدافع في أي هجوم يريد إبطاء المهاجم، لكن خاصية EIP-7702 ساعدت القراصنة على التحرك بسرعة والحفاظ على السيطرة على المحفظة حتى بعد اكتشاف بينانس الاختراق.

وبما أن الإذن كان موجودًا على شبكة إيثريوم، فإن إيقاف بينانس عمليات السحب أو إغلاق خدمات محفظتها الساخنة لم يلغِه تلقائيًا، وفق تقرير الحادث الصادر عن المنصة.

ومع استمرار تدفق الودائع إلى محفظة بينانس 14 دون تأثر، ظل بإمكان القراصنة بدء عمليات النقل، واستخدموا في النهاية الإذن نفسه لسحب نحو 3.6 مليار دولار، شملت المبلغ الأولي البالغ 2.5 مليار دولار، إضافة إلى 823 مليون دولار سُحبت من حساب آخر لبينانس وأربع عمليات مسح لاحقة لمحفظة بينانس 14، وفق تقرير شركة إليبتيك للاستخبارات في سلاسل الكتل.

وأكد متحدث باسم بينانس أن خاصية EIP-7702 لعبت دورًا كبيرًا في الاختراق، وقال إن المنصة اتخذت خطوات لمعالجة الخطر الذي كشفه، شملت إلغاء التفويض المتأثر وإعادة بناء البنية التحتية للمحفظة المتأثرة وتحديث ضوابط التوقيع والمراقبة.

وأضاف أن المنصة شددت تطبيق ضوابط الوصول حتى لا يتكرر مسار الوصول المستخدم، مؤكدًا أن أموال المستخدمين ما زالت محمية وأن بينانس تحملت الأثر المالي للحادث.

وتُظهر الواقعة كيف يمكن للأدوات التي تهدف إلى تبسيط حسابات العملات المشفرة أن تجعل أي اختراق أكثر تدميرًا متى دخل المتسلل إلى الداخل.

ونسب مكتب التحقيقات الفيدرالي الأميركي الهجوم، وهو أكبر سرقة عملات مشفرة على الإطلاق، إلى كوريا الشمالية، فيما نفت بيونغ يانغ أي تورط.