هک ۶.۳ میلیارد دلاری بایننس؛ امنیت کیف پول‌های داغ زیر سوال رفت

کارشناسان می‌گویند سوابق بلاکچین نشان‌دهنده تخلیه مکرر کیف پول‌ها است، اما نمی‌توانند کنترل‌های امضای داخلی یا محدودیت‌های تراکنش بایننس را مشخص کنند.

حادثه امنیتی ۶.۳ میلیارد دلاری بایننس، سوالات بی‌پاسخی را در مورد نحوه مدیریت صرافی کیف پول‌های داغ خود و محدود کردن میزان دسترسی مهاجمان بر جای گذاشته است.

ریچارد تنگ، مدیرعامل مشترک بایننس، در تاریخ ۳۰ اکتبر اعلام کرد که این حمله به کیف پول داغ خود صرافی آسیب رسانده است. او افزود که بیشتر دارایی‌های مشتریان در سردخانه‌های آفلاین نگهداری می‌شد و تنها زمانی که کاربران درخواست برداشت می‌کردند، به کیف پول‌های داغ منتقل می‌شد.

به گفته جاناتان ریس، تحلیلگر CertiK، موجودی کیف پول‌ها تنها تصویری ناقص از میزان آسیب‌پذیری یک صرافی در برابر حمله ارائه می‌دهد. سوابق عمومی بلاکچین می‌توانند جابجایی وجوه را نشان دهند، اما نمی‌توانند کنترل‌های داخلی حاکم بر آن تراکنش‌ها را مشخص کنند.

در گزارش اولیه خود در روز سه‌شنبه، بایننس اعلام کرد که مهاجمان به یک سرویس امضای کیف پول داخلی دسترسی پیدا کرده و وجوه را خارج از فرآیند عادی برداشت منتقل کرده‌اند. بایننس همچنین اعلام کرد که برخی جزئیات فنی به منظور جلوگیری از حملات بیشتر محرمانه باقی خواهند ماند.

این صرافی به سوالات کوین‌تلگراف در مورد موجودی کیف پول‌ها و تدابیر امنیتی خود پاسخی نداد.

رقبای بایننس از جمله Coinbase، Gate و Upbit پس از این حمله، نسبت سردخانه‌های خود را افشا کرده‌اند.

ریس گفت که رقم ۶.۳ میلیارد دلار نشان‌دهنده ارزش تجمعی دارایی‌های تحت تاثیر در ۱۰ بلاکچین است. در اتریوم، مهاجمان به طور مکرر یک کیف پول داغ را در حالی که واریزهای جدید وارد می‌شد، تخلیه کردند.

وی افزود: «هنگامی که مهاجمان می‌توانند امضاهای معتبر را به دست آورند، دسترسی بالقوه آنها به آنچه سیستم امضا اجازه انتقال آن را در طول زمان می‌دهد، بستگی دارد.» موجودی یک کیف پول در یک لحظه واحد، این میزان آسیب‌پذیری را نشان نمی‌دهد.

محدودیت‌های تراکنش و کنترل‌های داخلی

ریس توضیح داد که محدودیت‌های تراکنش که توسط برنامه‌ای که درخواست امضا می‌کند، اعمال می‌شود، در صورت به خطر افتادن آن برنامه، قابل دور زدن است. با این حال، محدودیت‌های اعمال شده به طور مستقل توسط سیستم امضا ممکن است همچنان تراکنش‌ها را محدود کند.

ریس اضافه کرد: «مقایسه با صرافی‌های دیگر از بیرون واقعاً امکان‌پذیر نیست. اطلاعات عمومی در مورد معماری امضای داخلی در همه جا محدود است و توزیع ذخایر و گواهی اثبات ذخایر نشان می‌دهد که چه چیزی کجا قرار دارد، نه اینکه برداشت چگونه مجاز می‌شود.»

اوژن هاهر، مدیر ارشد محصول BitGo، نیز از گمانه‌زنی در مورد تدابیر امنیتی داخلی بایننس خودداری کرد.

وی گفت: «شکست در ترتیبات امانت‌داری سوالی است که بایننس بهترین موقعیت را برای پاسخگویی به آن دارد.»

ایدان اوفرات، هم‌بنیانگذار و مدیر ارشد محصول Fireblocks، اظهار داشت که صرافی‌ها معمولاً به اندازه‌ای وجوه در کیف پول‌های داغ خود نگه می‌دارند که بتوانند چند روز برداشت مورد انتظار را پوشش دهند، که اغلب نشان‌دهنده درصدی تک رقمی از دارایی‌های تحت مدیریت است.

او افزود که صرافی‌ها به طور کلی بخش عمده‌ای از دارایی‌های مشتریان را در سردخانه‌ها نگهداری می‌کنند، در حالی که برخی از کیف پول‌های واسط استفاده می‌کنند که برای انتقال به کیف پول‌های داغ نیاز به تأیید دستی دارند.

الکس توبول، مدیر ارشد فناوری کیف پول رمزارزی Walt مستقر در تلگرام، گفت که نگهداری میلیاردها دلار در کیف پول‌های داغ برای صرافی در اندازه بایننس به خودی خود غیرمعمول نیست.

توبول توضیح داد که کیف پول‌های داغ معمولاً برداشت‌ها را به طور خودکار پردازش می‌کنند، اما پر کردن مجدد آنها از سردخانه باید مستلزم تصمیم جداگانه خزانه و تأیید دستی باشد.

هاهر گفت که کنترل‌های اعمال شده قبل از امضا، از جمله محدودیت‌های تراکنش، آدرس‌های برداشت تأیید شده و الزامات مجوز اضافی، می‌تواند به مهار ضررها در هنگام به خطر افتادن یک سیستم کمک کند.