افشای مسیر پولشویی بایننس: کره شمالی ۲۴۲ میلیون دلار در دو روز جابجا کرد

هکرهای کره شمالی ۲۴۲ میلیون دلار از محل سرقت بایننس را در شبکه ترون پولشویی کردند

هکرهای کره شمالی در عرض دو روز، حدود ۲۴۲ میلیون دلار از وجوه سرقت شده از بایننس را در شبکه ترون (Tron) پولشویی کردند. طبق آمارهای منتشر شده توسط تحلیلگر بلاک‌چین SomaXBT، بخش عمده‌ای از این وجوه از طریق چهار پل بین زنجیره‌ای (cross-chain bridges) و خدمات مبادله ارز دیجیتال منتقل شده که حدود ۱۴۰ میلیون دلار از آن را جابجا کرده‌اند. در همین حال، اف‌بی‌آی (FBI) از اپراتورهای نود (node) در شبکه THORChain درخواست کرده است تا آدرس‌های مرتبط با این پولشویی را مسدود کنند، اما یکی از بنیان‌گذاران THORChain تنها به این نکته اشاره کرده که نودها اطلاعات محرمانه ندارند و قولی برای اجرای این درخواست نداده است.

جزئیات بیشتر از پولشویی و واکنش‌ها

این حجم از وجوه پولشویی شده، بزرگتر از ارقامی است که پیشتر فاش شده بود. SomaXBT اشاره کرده که هکرها تنها در شبکه ترون حدود ۶۲۸ میلیون دلار را جابجا کرده‌اند و پس از مسدود شدن ۳۷۸.۷ میلیون USDT توسط تتر (Tether)، حدود ۲۴۹ میلیون دلار همچنان قابل جابجایی بوده است. از این مبلغ ۲۴۲ میلیون دلاری که در دو روز پولشویی شده، حدود ۱۹۴ میلیون دلار از طریق پل‌های بین زنجیره‌ای و خدمات مبادله از ترون خارج شده، ۲۶ میلیون دلار همچنان در این شبکه باقی مانده و حدود ۲۲ میلیون دلار نیز صرف هزینه‌های تراکنش، لغزش قیمت (slippage) و نوسانات بازار شده است.

کانال‌های انتقال وجوه به شدت پراکنده بوده‌اند. بر اساس آمارهای منتشر شده، پلتفرم Relay با ۴۸ میلیون دلار بیشترین سهم را داشته و پس از آن THORChain با ۴۴ میلیون دلار، Chainflip با ۳۲.۱ میلیون دلار و Symbiosis با ۱۶ میلیون دلار قرار دارند که مجموعاً حدود ۱۴۰ میلیون دلار را جابجا کرده‌اند. کیف پول Bitget Wallet نیز ۴۱.۷ میلیون دلار را مدیریت کرده است، اما مقصد نهایی این وجوه هنوز مشخص نیست.

بایننس روز پنجشنبه متحمل ضرر حدود ۶.۳ میلیارد دلاری شد که بزرگترین سرقت تاریخ ارزهای دیجیتال محسوب می‌شود. اف‌بی‌آی روز شنبه با همکاری سرویس مخفی آمریکا و اداره تحقیقات جنایی سازمان امور مالیاتی، هشداری مشترک صادر کرده و این حمله را به گروه TraderTraitor کره شمالی نسبت دادند. در این هشدار، ۶۰۸ آدرس اتریوم، ۱۹ آدرس بیت‌کوین و ۱ آدرس سولانا معرفی شده‌اند، اما هیچ آدرس ترونی در این لیست وجود نداشت.

اف‌بی‌آی در هشدار خود اعلام کرده است که هکرها در حال “تبدیل عمده دارایی‌های سرقت شده به اتریوم” هستند و انتظار می‌رود که وجوه از طریق پروتکل‌های دیفای (DeFi) و خدمات مبادله آنی پولشویی شوند. به همین دلیل، از اپراتورهای نود THORNode، نودهای RPC، خدمات مبادله آنی و سایر ارائه‌دهندگان خدمات درخواست شده است تا تراکنش‌های مرتبط با این سرقت را مسدود کنند. گروه TraderTraitor از سال ۲۰۲۰ توسط دولت آمریکا به عنوان یک گروه هکری مورد حمایت دولت کره شمالی معرفی شده است و در صنعت با نام‌هایی چون Lazarus Group، APT38 و BlueNoroff نیز شناخته می‌شود. سرقت ۱.۵ میلیارد دلاری از Bybit در فوریه ۲۰۲۵ نیز به همین گروه نسبت داده شده است.

واکنش THORChain و اختلالات شبکه

چاد بارافورد، یکی از بنیان‌گذاران فنی THORChain، در پلتفرم X اعلام کرده است که اپراتورهای THORNode هیچ اطلاعات محرمانه‌ای در اختیار ندارند و “نیازی به احضاریه نیست، این بهترین وضعیت برای تحقیقات است.” با این حال، او در پست‌های خود مشخص نکرده است که آیا نودها آدرس‌های موجود در لیست را مسدود خواهند کرد یا خیر.

مشکل دیگری که به این مسئله دامن زده، اختلال در خود شبکه THORChain است. شرکت Chainalysis در پلتفرم X توضیح داده است که یک بازسازی در شبکه اتریوم باعث شده تا THORChain یک سپرده ۱۰ اتریومی را به اشتباه چندین بار بازپرداخت کند. این امر منجر به توقف اضطراری سیستم شده و در نتیجه، هیچ‌کس (از جمله هکرها) قادر به استفاده از اکثر پل‌های این شبکه برای مبادله ارز دیجیتال نیست. تا ساعت ۱۳:۲۰ به وقت شرق آمریکا در روز یکشنبه، ۱۰ مورد از ۱۳ زنجیره متصل به THORChain همچنان در وضعیت توقف قرار داشتند و تراکنش‌ها در شبکه ترون از ظهر شنبه متوقف شده بود.

آمارهای منتشر شده نشان می‌دهد که هکرها در مجموع ۱۸۵.۱ میلیون TRX و ۳.۸۳ میلیون USDT را در قالب ۲۶۹۷ تراکنش به THORChain ارسال کرده‌اند. این پروتکل در مقابل ۱۷۰۱۰ اتریوم را به ۱۷۰ آدرس و ۵۳.۲۵ بیت‌کوین را به ۲۰ آدرس پرداخت کرده است. هکرها در این مسیر حدود ۱۲ درصد از وجوه خود را به دلیل هزینه‌های تراکنش و لغزش قیمت از دست داده‌اند و رابط کاربری پروتکل حدود ۱۴۵,۸۰۰ توکن RUNE به ارزش تقریبی ۹۵ هزار دلار کسب کرده است. در پرونده سرقت از Bybit در سال ۲۰۲۵ نیز، گروه Lazarus از THORChain برای تبدیل مقادیر زیادی اتریوم به بیت‌کوین استفاده کرده بود.

نقش Relay و سایر پلتفرم‌ها

پلتفرم Relay نقش اصلی را در این پولشویی ایفا کرده است. آمار SomaXBT نشان می‌دهد که این پلتفرم ۳۷.۶۴ میلیون USDT و ۳۹.۲۸ میلیون TRX را در قالب ۷۳۵ تراکنش دریافت کرده است. این در حالی است که این پروتکل در فعالیت‌های پولشویی قبلی گروه TraderTraitor تقریباً نقشی نداشته است. تحلیلگر بلاک‌چین Specter آماری منتشر کرده که نشان می‌دهد هکرها در عرض هفت ساعت، ۳۸ میلیون دلار را از طریق پل Relay جابجا کرده‌اند. Relay پیشتر اعلام کرده بود که از داده‌های ریسک شخص ثالث (از جمله Chainalysis) و لیست سیاه داخلی برای غربالگری آدرس‌های تراکنش استفاده می‌کند.

ردپای وجوه در شبکه اتریوم نیز باقی مانده است. داده‌های Etherscan نشان می‌دهد که یک آدرس در حدود ۸۰ دقیقه، در قالب ۹۷ تراکنش، ۲۸۰۴ اتریوم و ۱.۰۲ میلیون USDT را از طریق مسیردهی و حل‌کننده Relay دریافت کرده است. سپس در پروتکل CoW Protocol، USDT را به اتریوم تبدیل کرده و حدود ۳۲۵۷ اتریوم به ارزش تقریبی ۷.۴ میلیون دلار را به چهار آدرس جدید منتقل کرده است. این پنج آدرس در لیست اف‌بی‌آی قرار ندارند.

روز یکشنبه، هکرها شروع به جابجایی دارایی‌های خود در شبکه سولانا (Solana) کردند. Lookonchain گزارش داده است که هکرها ۹۷۰,۵۲۲ سولانا (حدود ۹۵.۹ میلیون دلار) را از طریق Relay به بیت‌کوین تبدیل کرده‌اند. این کیف پول سولانا تنها آدرس سولانای موجود در لیست اف‌بی‌آی بود. در یک ساعت قبل از انتشار پست Lookonchain، این کیف پول ۴۸۶,۹۷۰ سولانا (حدود ۴۶.۴ میلیون دلار) را جابجا کرده بود و در زمان انتشار گزارش، همچنان حدود ۴۶۶,۷۰۰ سولانا را در اختیار داشت.

Chainflip نیز ۴۹.۴۷ میلیون USDT را در قالب ۵۷۱ تراکنش دریافت کرده است، اما بسیاری از مبادلات ناموفق بوده و وجوه بازگردانده شده به کیف پول‌های جدید ترون مجدداً ارسال شده‌اند که مبلغ آن به ۱۷.۹۱ میلیون USDT می‌رسد. Chainflip سال گذشته برنامه‌هایی برای ارتقاء جهت جلوگیری از هکرهای Bybit طراحی کرده بود. Symbiosis نیز در پلتفرم X پاسخ داده است که متوجه تلاش‌هایی برای انتقال وجوه سرقت شده بایننس از طریق این پلتفرم شده و در حال تماس با بایننس است. این پلتفرم اعلام کرده است: “غربالگری ما برای ترافیک عادی طراحی شده است و برای وجوهی که به سرعت جابجا می‌شوند و روش‌های پیچیده‌ای دارند، برخی از مکانیزم‌ها واقعاً دارای شکاف هستند و ما به تدریج آن‌ها را برطرف خواهیم کرد.” هکرها در مجموع ۴۹.۷۱ میلیون TRX را در قالب ۱۳۶۷ تراکنش کوچک به Symbiosis واریز کرده‌اند. این پروتکل پس از حمله به پل بیت‌کوین خود در سپتامبر گذشته، ۱۵ بیت‌کوین را بازپس گرفته بود.

الگوهای منظم پولشویی و واکنش نهادهای نظارتی

شرکت Elliptic مشاهده کرده است که ریتم این پولشویی به طور غیرعادی منظم بوده است. کیف پول اصلی به طور مداوم به مدت ۳۱ ساعت در هر ساعت پرداخت انجام داده و طولانی‌ترین وقفه بیش از ۴۶ دقیقه نبوده است. مبالغ مشابهی به طور مکرر در سپرده‌های THORChain ظاهر شده‌اند و یکی از این تراکنش‌ها ۱۹ بار تکرار شده است. هنگامی که پل سپرده را رد می‌کرد، کیف پول جدید به طور خودکار وجوه را به همان مقصد ارسال می‌کرد.

تام رابینسون، یکی از بنیان‌گذاران Elliptic، اظهار داشت که این فعالیت‌ها به نظر نمی‌رسد شامل عاملان هوش مصنوعی باشد. “الگوها تکراری و ایستا هستند: مبالغ یکسان، ریتم یکسان، مسیرهای یکسان، ساعت به ساعت.” او افزود که تراکنش‌های آزمایشی و مبالغ صحیح نشان‌دهنده “تصمیم‌گیری توسط انسان و اجرای تکراری توسط اسکریپت‌ها” است. در مقایسه، ریتم پولشویی در پرونده Bybit در سال ۲۰۲۵ بیشتر به الگوهای کاری انسان نزدیک بود.

Elliptic تأیید کرده است که حدود ۲.۸۵ میلیارد دلار مسدود یا توقیف شده است که معادل حدود ۴۴ درصد از کل ۶.۴۳ میلیارد دلار سرقت شده طبق آمار این شرکت است. ۹۴ درصد از این مبلغ را استیبل‌کوین‌ها تشکیل می‌دهند. هیچ وجوهی در شبکه‌های بیت‌کوین، XRP Ledger، سولانا و NEAR مسدود نشده است. حدود ۳.۲۵ میلیارد دلار دیگر در دارایی‌هایی قرار دارد که هیچ صادرکننده‌ای قادر به مسدود کردن آن‌ها نیست، از جمله ۱۸,۳۲۷ بیت‌کوین و ۲۳۳ میلیون XRP. USDT مسدود شده توسط تتر در دو کیف پول مهاجم توزیع شده است: ۳۱۲.۷ میلیون دلار و ۶۵.۹۹ میلیون دلار. ۱۸,۲۷۰ بیت‌کوین در ۱۹ آدرس بیت‌کوین موجود در لیست اف‌بی‌آی بدون هیچ حرکتی باقی مانده است. (برآورد رسمی بایننس از ضرر حدود ۶.۳ میلیارد دلار است، در حالی که آمار Elliptic ۶.۴۳ میلیارد دلار است.)

وجوه خارج از استیبل‌کوین‌ها به “بسته‌بندی‌های غیرقابل مسدود شدن” منتقل شده‌اند. Chainalysis در پلتفرم X اشاره کرده است که هکرها استیبل‌کوین‌ها را در پروتکل‌های دیفای در ترون واریز کرده و توکن‌های گواهی سپرده دریافت کرده‌اند که این توکن‌ها قابل مسدود شدن نیستند. سپس این توکن‌ها را از آدرس‌های جدید بازخرید کرده‌اند. Chainalysis نام پروتکل خاصی را ذکر نکرده است، اما سایر تحلیلگران بلاک‌چین معتقدند که این پروتکل JustLend بوده است. TRM Labs گزارش داده است که ۳۰۰ میلیون USDT وارد یک کیف پول ترون شده است که شروع به تامین مالی JustLend کرده است. داده‌های Tronscan نشان می‌دهد که این کیف پول ۱۰۰۰۰ USDT را در JustLend قرار داده، حدود ۲۳۴ میلیون USDT را در یک صرافی غیرمتمرکز به TRX تبدیل کرده و ۶۵.۹۹ میلیون USDT را به یکی از کیف پول‌های مسدود شده ارسال کرده است.

پیامدهای نظارتی و آینده

اهمیت این حادثه در این است که فشار نهادهای اجرای قانون برای اولین بار به طور مستقیم بر روی پروتکل‌های بین زنجیره‌ای متمرکز شده است. در سال گذشته، صادرکنندگان استیبل‌کوین و صرافی‌های متمرکز دو گره‌ای بودند که نهادهای اجرای قانون بیشترین اطمینان را برای مسدود کردن وجوه داشتند. مسدود کردن ۳۷۸.۷ میلیون USDT توسط تتر دلیل مستقیم کند شدن روند پولشویی در این دور بوده است. اما هنگامی که وجوه به پل‌های بین زنجیره‌ای بدون مجوز منتقل می‌شوند، اف‌بی‌آی تنها می‌تواند “درخواست” از اپراتورهای نود برای همکاری کند، و پاسخ THORChain نیز نشان‌دهنده عدم وجود نیروی قهریه در این مسیر است.

این موضوع توضیح می‌دهد که چرا مسیرهای پولشویی تقریباً مشابه سال گذشته بوده‌اند. در پرونده Bybit در سال ۲۰۲۵، گروه Lazarus نیز مقادیر زیادی اتریوم را از طریق THORChain به بیت‌کوین تبدیل کرد و پیگیری‌های بعدی نتایج محدودی داشت. یک سال بعد، همین گروه با استفاده از Relay به عنوان پلتفرم اصلی و THORChain به عنوان پشتیبان، همان روش را تکرار کرده است. در میان چهار پروتکل نامبرده شده، تنها Symbiosis به طور عمومی به شکاف در غربالگری خود اعتراف کرده است. برای دارندگان دارایی‌ها، این بدان معناست که مسدود کردن تنها بخش استیبل‌کوین‌ها را در بر می‌گیرد و ۳.۲۵ میلیارد دلار در قالب بیت‌کوین و XRP تقریباً غیرقابل بازگشت خواهد بود. “نسبت دارایی‌های قابل مسدود شدن” در بلاک‌چین به یک شاخص جدید برای ارزیابی ریسک صرافی‌ها و پل‌های بین زنجیره‌ای تبدیل خواهد شد.

نکات قابل توجه در آینده

سه نکته برای رصد در آینده وجود دارد. اول، آیا نودهای THORChain واقعاً لیست مسدودسازی را اضافه خواهند کرد؟ اگر این اتفاق بیفتد، به معنای تمایل پروتکل‌های بدون مجوز به سمت اجرای قانون است و مستقیماً اجماع جامعه RUNE در مورد موقعیت “مقاومت در برابر سانسور” را به چالش خواهد کشید. دوم، مقصد ۴۱.۷ میلیون دلاری که توسط Bitget Wallet مدیریت شده، هنوز مشخص نیست. این سرنخ ممکن است ارزشمندتر از پل‌های بین زنجیره‌ای باشد. سوم، هیچ آدرس ترونی در لیست اف‌بی‌آی وجود ندارد، در حالی که بیشترین وجوه سرقت شده در ترون باقی مانده است. آیا مسیرهایی مانند JustLend که گواهی سپرده ارائه می‌دهند، به کانون بعدی مسدودسازی و نظارت تبدیل خواهند شد؟ این موضوع ارزش پیگیری مداوم را دارد.

• بایننس: هکرها ۱۸,۲۷۰ بیت‌کوین و ۴۹۰ هزار اتریوم را سرقت کرده‌اند که در حال افزایش است؛ نزدیک به ۳ میلیارد دلار استیبل‌کوین مسدود شده است.
• هکرهای بایننس ۷ نوع آلت‌کوین را تخلیه کردند: UNI بیشترین فروش را داشت، ENA ۱۶ درصد سقوط کرد؛ در مجموع ۷۰,۴۸۰ اتریوم مبادله شد.
• خلاصه هک بایننس (به‌روزرسانی مداوم): چه اتفاقی افتاد، جبران خسارت، مسدودسازی، وضعیت برداشت بایننس.
• بازنگری در هک کیف پول داغ بایننس به ارزش ۶.۲۸ میلیارد دلار: ۸ زنجیره در ۵۵ دقیقه تخلیه شد؛ جنگ مسدودسازی آغاز شد.
• آیا هک بایننس کار گروه Lazarus کره شمالی بود؟ شرکت تحلیل بلاک‌چین: احتمال بالا است.