تحلیل حمله ۶.۳۴ میلیارد دلاری به بایننس: ترکیب مهندسی اجتماعی و سوءاستفاده از پروتکل‌های زنجیره بلوکی

در یک حمله بسیار پیچیده و سازمان‌یافته، صرافی بایننس (Binance) کنترل حدود ۶.۳۴ میلیارد دلار دارایی دیجیتال را در عرض چند ساعت از دست داد. برخلاف تصور اولیه، این حمله یک عملیات آنی نبود، بلکه کمپینی طولانی‌مدت بود که از ماه ژوئن آغاز شده و با هدف قرار دادن مهندسان کلیدی انجام شد.

استراتژی حمله: هدف قرار دادن انسان‌ها به جای سیستم‌ها

بر اساس گزارش‌های منتشر شده، مهاجمان به جای تلاش برای شکستن دیواره‌های امنیتی سیستم، بر روی افراد دارای دسترسی به زیرساخت‌های کیف پول (Wallet Infrastructure) تمرکز کردند. این عملیات شامل مراحل زیر بود:

• حمله زنجیره تأمین (Supply Chain Attack): در ماه ژوئن، یکی از مهندسان DevOps با جستجوی یک ابزار کدنویسی هوش مصنوعی، یک نسخه دستکاری شده از Homebrew را دانلود کرد. اگرچه تیم امنیتی با شناسایی ناهنجاری اقدام به تعویض دستگاه و چرخش اعتبارنامه‌ها (Credentials) کرد، اما اطلاعات مربوط به نقش‌های حساس تیم زیرساخت در اختیار مهاجم قرار گرفته بود.
• مهندسی اجتماعی (Social Engineering) پیشرفته: در ماه سپتامبر، مهاجمان با جعل هویت مدیران پروژه و کارشناسان منابع انسانی، از طریق مصاحبه‌های شغلی جعلی در پلتفرم‌های معتبر، مهندسان نرم‌افزار را هدف قرار دادند. در مرحله دوم مصاحبه، از هدف خواسته شد تا یک “تکلیف” (Assignment) را روی سیستم کاری خود اجرا کند که حاوی یک بدافزار زیرو دِی (Zero-Day) بود. این بدافزار ابزارهای توسعه استاندارد را با نسخه‌های مخرب جایگزین کرد.

اجرای عملیات و سوءاستفاده از مکانیزم‌های امضا

در تاریخ ۲۹ اکتبر، مهاجمان با استفاده از سیستم‌های کامپیوتری مهندسان آلوده و ابزارهای هوش مصنوعی داخلی، کنترل دسترسی به سرویس امضای کیف پول (Wallet Signing Service) را به دست آوردند. نکته کلیدی در این حمله، سوءاستفاده از مکانیزم مجوزدهی EIP-7702 در شبکه اتریوم بود. مهاجمان با ارسال تراکنش‌های امضا، به یک قرارداد هوشمند تحت کنترل خود، حق اجرای بخشی از عملیات را بر روی کیف پول‌های گرم (Hot Wallets) بایننس دادند. این مجوزها به صورت On-chain بودند و مستقل از سیستم‌های برداشت بایننس عمل می‌کردند.

عامل تهدید و پاسخ به حادثه

آژانس‌های دولتی ایالات متحده، از جمله FBI، این حمله را به گروه TraderTraitor نسبت داده‌اند که یک عامل تهدید (Threat Actor) تحت حمایت دولت کره شمالی است. بایننس اعلام کرده است که تمام خسارات کاربران را پوشش داده و با همکاری نهادهای قانونی، حدود ۲.۸۵ میلیارد دلار از دارایی‌ها را مسدود یا رهگیری کرده است. این حادثه نشان‌دهنده سطح بسیار بالایی از پیچیدگی در حملات هدفمند به زیرساخت‌های مالی دیجیتال است.

به‌روزرسانی (نوامبر 5, 2026 — databreachtoday.com)

به‌روزرسانی: جزئیات جدید از نحوه نفوذ عاملان تهدید (Threat Actors) نشان می‌دهد که این حمله با یک عملیات مهندسی اجتماعی (Social Engineering) بسیار دقیق آغاز شده است. هکرها با جعل هویت مدیران پروژه در سایت‌های کاریابی، مهندس نرم‌افزار هدف را برای دو مرحله مصاحبه دعوت کردند. در مرحله اول، یک نماینده منابع انسانی جعلی از طریق تماس ویدئویی برای جلب اعتماد، پروفایل‌های شبکه‌های اجتماعی خود را نمایش داد. در مرحله دوم، از طریق یک اپلیکیشن چت، از هدف خواسته شد تا یک فایل “تکلیف آزمایشی” (Assignment) را دانلود کند که در واقع یک نسخه آلوده از ابزارهای توسعه‌دهنده بود و یک بدافزار زیرو دِی (Zero-day) را روی سیستم نصب کرد.

علاوه بر این، مشخص شد که یک مهندس DevOps نیز در ماه ژوئن از طریق حملات زنجیره تأمین (Supply Chain Attack) هدف قرار گرفته بود. این کاربر هنگام نصب یک دستیار کدنویسی مبتنی بر هوش مصنوعی، یک نسخه دستکاری‌شده از نصب‌کننده Homebrew را دانلود کرده بود. اگرچه تیم امنیتی این مورد را شناسایی و دستگاه را جایگزین کرد، اما این حادثه باعث افشای نقش‌های حساس و دسترسی‌های تیم‌های مرتبط شد.

در نهایت، هکرها با استفاده از سیستم آلوده مصاحبه‌شونده و یکی از ابزارهای هوش مصنوعی (AI) داخلی بایننس، توانستند حرکت عرضی (Lateral Movement) انجام دهند و به سیستم‌های مهندس DevOps و یک کارمند دیگر که با کیف پول‌ها (Wallets) در ارتباط بود، دسترسی پیدا کنند. آن‌ها با سرقت یک توکن دسترسی (Access Token) از دستگاه مهندس DevOps، توانستند اسکریپت‌های خود را اجرا کرده و از طریق سرویس امضای کیف پول (Wallet Signing Service)، تراکنش‌های غیرمجاز و گسترده‌ای را نهایی کنند.