اختراق Binance يكشف ثغرات أمنية في منصات تداول العملات المشفرة

يُظهر الاختراق الذي تعرضت له Binance الأسبوع الماضي وأسفر عن سرقة 6.3 مليار دولار أهمية تدابير الأمن التي لا تحجب التهديدات فحسب، بل تتحكم أيضاً فيما هو مسموح به داخل المؤسسة.

وفقاً لإفصاحات Binance، اخترق فاعل تهديد حددته FBI بأنه مجموعة TraderTraitor التابعة لكوريا الشمالية حاسوب محمول لمطور للوصول إلى حاوية خدمة داخلية لديها القدرة على بدء طلبات السحب.

أتاح هذا الوصول الأولي للمهاجمين استغلال ثغرات إضافية وآلية تفويض حسابات Ethereum للحصول على صلاحية الموافقة على المعاملات على محفظة ساخنة، ما مكّنهم من سحب مليارات الدولارات من الأصول في نحو 20 دقيقة.

أفادت Binance بأن المهاجمين تجاوزوا ضوابط الموافقة المعتادة لديها، ولا يوجد دليل على استخدام مفاتيح محفظة مسربة في السرقة.

وقالت Binance: «أشارت النتائج الأولية إلى أن نقطة البداية كانت حاسوباً محمولاً مخترقاً يملكه أحد الموظفين. وحددت التحقيقات اللاحقة نقاط اختراق إضافية، ما يشير إلى أن الحادثة تجاوزت جهازاً واحداً».

غياب الضمانات؟

تثير الحادثة تساؤلات حول ما إذا كانت Binance تمتلك ضمانات كافية لمنع نظام مخترق من الموافقة على عمليات سحب غير مصرح بها. وشدد تيم رولينز، المستشار الأول ومدير الأمن في NCC Group، على أن المنصات التي تحتفظ بأصول رقمية ينبغي أن تطبق طبقات متعددة من الأمن لضمان ألا يتمكن اختراق واحد، مثل حاسوب محمول مخترق لموظف، من الموافقة على تحويل.

واقترح فصل الأموال بين المحافظ الساخنة والباردة للتخفيف من أثر الاختراق. كما ينبغي للمطورين والمسؤولين استخدام محطات عمل ذات وصول مميز لفصل العمليات الحساسة عن الأنشطة اليومية مثل البريد الإلكتروني وتصفح الويب. وأضاف أن المراقبة المستمرة للسلوك الشاذ ضرورية أيضاً لاكتشاف نقاط النهاية المخترقة قبل أن يتمكن المهاجمون من استغلال الوصول المميز.

وقال رولينز: «حماية المفاتيح الخاصة ليست سوى جزء من التحدي. يجب أيضاً تأمين الأنظمة التي تطلب استخدامها وتوافق عليه. النظام المؤمّن بشكل صحيح يتمتع بضوابط مستقلة متعددة الطبقات، وفصل بين الساخن والبارد، وخضع لنمذجة التهديدات واختبارات أمنية شاملة».

اختبار مسارات الهجوم

يعد اختراق Binance تذكيراً للمؤسسات بضرورة اختبار مسارات الهجوم المحتملة بعد الحصول على وصول أولي، وعدم افتراض أن الضوابط الفردية كافية. وقال وسيم أحمد، رئيس الهندسة في Secure.com: «قد تكون نقطة الدخول والضرر متباعدين جداً، لذا توقفوا عن تقييم أمنكم بناءً على مدى صمود الباب الأمامي».

وأوضح أن أساليب الأمن التقليدية غالباً ما تتحقق من الطلبات دون تقييم ما إذا كان ينبغي تنفيذ الإجراءات الكامنة وراءها. وتشير المعلومات إلى أن المهاجمين استخدموا نظام التوقيع الخاص بـ Binance للموافقة على التحويلات، ما جعلها تبدو صالحة. وعلق أحمد: «كانت حسابات صحيحة وقراراً خاطئاً».

احتواء نطاق الضرر

أكد روبرت كولز، المدير الأول لأمن استخبارات التهديدات في Black Duck، أن الدرس الرئيسي للمؤسسات هو فهم نطاق الضرر المحتمل بعد اختراق أولي. وقال: «لكل مؤسسة أنظمة حساسة وحسابات مميزة يمكن أن يكون لاختراقها أثر أكبر بكثير».

وشدد كولز على أهمية الاستعداد لاحتمال الاختراق وضمان عدم تصاعده إلى حدث كارثي. واختراق Binance، وهو الأكبر من نوعه، ليس الأول الذي يصيب منصة تداول عملات مشفرة كبرى. وتشمل الحوادث السابقة خسارة Bybit لنحو 1.5 مليار دولار في فبراير 2025، وخسارة Binance نفسها 7000 بيتكوين في مايو 2019.

وكان فاعلو التهديد الكوريون الشماليون عدوانيين بشكل خاص في استهداف منصات تداول العملات المشفرة، إذ استحوذوا على 76% من السرقات المبلغ عنها في 2026. وفي ستة من السنوات التسع الماضية، كانت هذه المجموعات مسؤولة عن ثلث إجمالي سرقات العملات المشفرة المبلغ عنها على الأقل.

المصدر: Dark Reading