شرکت‌های تحلیل بلاک‌چین TRM Labs و Chainalysis اعلام کرده‌اند که هک اخیر صرافی بایننس، که طی آن حدود ۶.۴ میلیارد دلار دارایی دیجیتال به سرقت رفت، توسط گروه هکری «TraderTraitor» وابسته به کره شمالی انجام شده است. این دو شرکت برجسته حوزه تحلیل بلاک‌چین، این اتفاق را بزرگترین سرقت ارز دیجیتال در تاریخ توصیف کرده‌اند.
TRM Labs با «اعتماد بالا» و بر اساس «اطلاعات قوی در زنجیره و خارج از زنجیره» این گروه را مسئول هک دانسته است. طبق گزارش این شرکت، مبلغ ۶.۳۶ میلیارد دلار در عرض حدود ۲۰ دقیقه از کیف پول‌های بایننس در ۱۰ بلاک‌چین مختلف خارج شده است. این میزان حدود چهار برابر مبلغ هک ۱.۵ میلیارد دلاری صرافی Bybit در فوریه ۲۰۲۵ است که FBI نیز گروه مشابهی را مسئول آن معرفی کرده بود.
یافته‌های Chainalysis
Chainalysis نیز ارزش کل دارایی‌های سرقت شده را حدود ۶.۴ میلیارد دلار تخمین زده و اعلام کرده است که قوی‌ترین مدرک زمانی به دست آمد که وجوه سرقت شده از بایننس در لحظه با وجوه حاصل از سوءاستفاده ماه گذشته از صرافی Bitget که به عوامل کره‌ای نسبت داده شده بود، درهم آمیخته شد. یک سخنگوی Chainalysis به CNN گفت که این شرکت «اعتماد بالایی» دارد که کره شمالی پشت این هک بوده است.
ارتباط با گروه‌های هکری پیشین
شرکت Pangolin Intelligence مستقر در سنگاپور نیز به CNN گفته است که بر اساس «تجزیه و تحلیل فعالیت‌های درون زنجیره‌ای مرتبط با این هک و تطبیق آن با اطلاعات جمع‌آوری شده از حوادث شناخته شده قبلی»، معتقد است یک واحد هکری کره شمالی مسئول این حمله بوده است. کره شمالی پیش از این اتهامات هک را رد کرده است. TRM و Chainalysis هر دو اعلام کردند که کیف پول عملیاتی مهاجم از طریق Tornado Cash، یک میکسر ارز دیجیتال، تامین مالی شده است. TRM همچنین به مواردی چون آمادگی برای سرقت که مدت‌ها قبل از وقوع آن آغاز شده بود، اشاره کرده که با حملات قبلی مرتبط با کره شمالی مانند هک Bybit و بهره‌برداری ماه آوریل از KelpDAO مطابقت دارد.
جزئیات فنی حمله
تحلیلگران TRM توضیح دادند که مهاجم در بلاک‌چین اتریوم از یک قابلیت جدید به نام EIP-7702 استفاده کرده که به یک کیف پول معمولی اجازه می‌دهد تا کد قرارداد هوشمند را اجرا کند. این قابلیت به مهاجم اجازه داد تا یک کیف پول داغ بایننس را به یک کیف پول جمع‌آوری‌کننده تبدیل کند که پیش از این ۵۰ مجوز از پیش امضا شده برای آن آماده شده بود. در ۹ بلاک‌چین دیگر، وجوه از طریق انتقالات امضا شده معمولی به کیف پول مهاجم منتقل شده است. TRM معتقد است این نشان‌دهنده نفوذ به زیرساخت امضای کیف پول داغ بایننس است. بایننس اعلام کرده که تحقیقات خود را با یافتن لپ‌تاپ یک مهندس نفوذ کرده آغاز کرده، اما «نقاط نفوذ اضافی» نیز کشف کرده است. حمله به Bybit نیز با یک دستگاه آلوده آغاز شده بود؛ هکرهای کره شمالی با نفوذ به کامپیوتر یکی از توسعه‌دهندگان Safe، کد مخربی را در زیرساخت این ارائه‌دهنده کیف پول وارد کردند.
تلاش برای پولشویی و مسدودسازی دارایی‌ها
مهاجم به سرعت اقدام به پولشویی بخشی از وجوه کرده است. Chainalysis گزارش داده که شاهد «الگوهای پولشویی بی‌سابقه» با هزاران تراکنش در مدت زمان کوتاه بوده که نشان‌دهنده استفاده از اتوماسیون برای گردش مکرر وجوه بین آدرس‌های مختلف است. طبق گزارش TRM، مهاجم همچنین USDT را به بازارسازان فروخته و ETH را در برابر USDT در پروتکل وام‌دهی Aave به عنوان وثیقه وام گرفته تا مانع از مسدود شدن دارایی‌ها توسط صادرکنندگان شود. در حال حاضر بیش از ۴۲۰ هزار ETH و ۱۸,۲۷۰ بیت‌کوین در اختیار دارد که ارزشی معادل ۲.۴ میلیارد دلار فراتر از دسترس هر صادرکننده‌ای است. شرکت‌های Tether، Circle، Ripple و World Liberty Financial حدود ۲.۶۷ میلیارد دلار از استیبل‌کوین‌ها را مسدود کرده‌اند و شورای امنیتی Arbitrum نیز ۸,۴۲۶ ETH و ۷۴.۶ میلیون ARB را مسدود کرده است. بایننس کل دارایی‌های مسدود شده را حدود ۳ میلیارد دلار اعلام کرده است.
تعهد بایننس برای جبران خسارات
بایننس اعلام کرده که در حال بازیابی دارایی‌های تحت تاثیر برای کاربران است و به همکاری با سازمان‌های اجرای قانون، صادرکنندگان، شرکت‌های اطلاعاتی بلاک‌چین و شرکای صنعتی برای ردیابی، مسدودسازی و بازیابی وجوه اضافی ادامه می‌دهد. این صرافی پیش از این متعهد شده بود که خسارات کاربران را پوشش دهد. در به‌روزرسانی روز جمعه، بایننس اعلام کرد که بیش از ۶.۳۴ میلیارد دلار از وجوه شرکت را برای پوشش این حادثه اختصاص داده است که ۵ میلیارد دلار از آن در همان توکن‌های به سرقت رفته نگهداری می‌شود. بایننس مابقی را از طریق کانال‌های بازار و فرابورس خریداری می‌کند که «ممکن است زمان بیشتری ببرد زیرا برخی از توکن‌ها ممکن است نقدینگی پایینی داشته باشند». این ارقام شامل دارایی‌های مسدود شده نمی‌شود. بایننس اعلام کرده است: «ما از این طوفان عبور خواهیم کرد.»
سابقه حملات کره شمالی به بایننس
هکرهای کره شمالی مدتی است که بایننس را هدف قرار داده‌اند. در آگوست ۲۰۲۵، مدیر ارشد امنیتی بایننس به Decrypt گفته بود که مهاجمان کره شمالی هر روز سعی می‌کنند در بایننس استخدام شوند و آنها را بزرگترین تهدید برای شرکت‌های رمزارزی خوانده بود. روز چهارشنبه، خزانه‌داری ایالات متحده ۱۰ فرد و یک نهاد را به دلیل طرح‌های کارگران فناوری اطلاعات کره شمالی که میلیون‌ها دلار رمزارز جابجا کرده بودند، تحریم کرد.
