حادثه امنیتی ۶.۳ میلیارد دلاری در صرافی بایننس، سؤالاتی را درباره نحوه مدیریت کیف پول‌های داغ و محدودیت دسترسی مهاجمان ایجاد کرده است. ریچارد تنگ، مدیرعامل مشترک بایننس، اعلام کرد که این حمله به کیف پول داغ خود صرافی وارد کرده است. او تأکید کرد که بیشتر دارایی‌های مشتریان در ذخیره‌سازی سرد (آفلاین) نگهداری می‌شد و تنها در زمان درخواست برداشت توسط کاربران به کیف پول‌های داغ منتقل می‌گردید.
کارشناسان امنیتی معتقدند که داده‌های بلاک‌چین تنها بخشی از تصویر در معرض خطر صرافی را نشان می‌دهند. جاناتان ریس، تحلیلگر CertiK، توضیح داد که رکوردهای عمومی بلاک‌چین می‌توانند انتقال وجوه را نمایش دهند، اما قادر به تعیین کنترل‌های داخلی ناظر بر این تراکنش‌ها نیستند.
جزئیات فنی حمله
در گزارش اولیه بایننس آمده است که مهاجمان به یک سرویس امضای کیف پول داخلی دسترسی یافته و توانسته‌اند وجوه را خارج از فرآیند معمول برداشت جابجا کنند. این صرافی اعلام کرده است که برخی جزئیات فنی به منظور جلوگیری از حملات بیشتر، محرمانه باقی خواهند ماند. بایننس به سؤالات کوین‌تلگراف در خصوص موجودی کیف پول‌ها و تدابیر امنیتی پاسخی نداده است.
صرافی‌های رقیب از جمله Coinbase، Gate و Upbit پس از این حمله، نسبت ذخیره‌سازی سرد خود را افشا کرده‌اند.
قابلیت‌های رصد بلاک‌چین
رییس توضیح داد که رقم ۶.۳ میلیارد دلار، ارزش تجمعی دارایی‌های متأثر در ۱۰ بلاک‌چین مختلف است. در شبکه اتریوم، مهاجمان به طور مکرر یک کیف پول داغ را همزمان با ورود واریزهای جدید، تخلیه کرده‌اند. او افزود که زمانی که مهاجمان بتوانند امضاهای معتبر را به دست آورند، دسترسی بالقوه آن‌ها به میزان انتقالاتی که سیستم امضا در طول زمان اجازه می‌دهد، بستگی دارد. موجودی یک کیف پول در یک لحظه خاص، این میزان در معرض خطر بودن را نشان نمی‌دهد.
محدودیت‌های تراکنش که توسط برنامه درخواست‌کننده امضا اعمال می‌شوند، در صورت به خطر افتادن آن برنامه، قابل دور زدن هستند. با این حال، محدودیت‌های اعمال شده مستقل توسط سیستم امضا، همچنان می‌توانند تراکنش‌ها را محدود کنند. ریس ادامه داد: «از بیرون، مقایسه با صرافی‌های دیگر واقعاً امکان‌پذیر نیست. اطلاعات عمومی در مورد معماری امضای داخلی در همه جا محدود است و گواهی‌های ذخایر نشان می‌دهند چه چیزی کجا قرار دارد، نه چگونگی تأیید برداشت.»
استانداردهای نگهداری در کیف پول‌های داغ
اوژن هر، مدیر ارشد محصول در BitGo، از گمانه‌زنی درباره تدابیر امنیتی داخلی بایننس خودداری کرد و گفت: «شکست در ترتیبات حضانت، سؤالی است که بایننس بهترین موقعیت را برای پاسخگویی به آن دارد.»
ایدان عفرات، هم‌بنیان‌گذار و مدیر ارشد محصول در Fireblocks، اظهار داشت که صرافی‌ها معمولاً وجوه کافی را برای پوشش برداشت‌های مورد انتظار چند روزه در کیف پول‌های داغ نگه می‌دارند که اغلب نشان‌دهنده درصد کمی از دارایی‌های تحت مدیریت است. وی افزود که صرافی‌ها معمولاً بخش عمده دارایی‌های مشتریان را در ذخیره‌سازی سرد نگه می‌دارند، در حالی که برخی از کیف پول‌های واسط استفاده می‌کنند که برای انتقال وجوه به کیف پول‌های داغ نیاز به تأیید دستی دارند.
الکس توبول، مدیر ارشد فناوری در کیف پول رمزارزی Walt مستقر در تلگرام، گفت که نگهداری میلیاردها دلار در کیف پول‌های داغ برای صرافی به بزرگی بایننس به خودی خود غیرعادی نیست. او توضیح داد که کیف پول‌های داغ معمولاً برداشت‌ها را به طور خودکار پردازش می‌کنند، اما شارژ مجدد آن‌ها از کیف پول‌های سرد باید مستلزم تصمیم جداگانه خزانه‌داری و تأیید دستی باشد. هر، افزود که کنترل‌های اعمال شده قبل از امضا، از جمله محدودیت‌های تراکنش، آدرس‌های برداشت تأیید شده و الزامات تأیید اضافی، می‌تواند به مهار زیان‌ها در صورت به خطر افتادن یک سیستم کمک کند.
