سه شرکت تحلیل بلاک‌چین، حمله این هفته به بایننس را به یک گروه هکری کره شمالی نسبت داده‌اند؛ حمله‌ای که با برآورد حدود ۶.۴ میلیارد دلار، بزرگ‌ترین سرقت ثبت‌شده در بازار رمزارز توصیف شده است. TRM Labs و Chainalysis این گروه را TraderTraitor معرفی کرده‌اند؛ همان گروهی که پلیس فدرال آمریکا پیش‌تر آن را مسئول سرقت ۱.۵ میلیارد دلاری از صرافی Bybit دانسته بود.
نسبت‌دادن حمله به TraderTraitor
به گزارش Decrypt، TRM Labs ارزش دارایی‌های خارج‌شده از کیف‌پول‌های بایننس را حدود ۶.۳۶ میلیارد دلار برآورد کرده است. طبق بررسی این شرکت، وجوه از کیف‌پول‌های بایننس در ۱۰ شبکه بلاک‌چینی خارج شد و بخش عمده انتقال‌ها در حدود ۲۰ دقیقه، از ساعت ۴:۰۵ عصر به وقت شرقی آمریکا در روز پنج‌شنبه، انجام گرفت. این رقم تقریباً چهار برابر سرقت Bybit در فوریه ۲۰۲۵ است؛ حمله‌ای که اف‌بی‌آی آن را به همین گروه نسبت داده بود.
TRM می‌گوید این انتساب را با «اطمینان بالا» و بر پایه اطلاعات درون‌زنجیره‌ای و برون‌زنجیره‌ای قابل اتکا انجام داده است. Chainalysis نیز مجموع سرقت را حدود ۶.۴ میلیارد دلار اعلام کرد و گفت مهم‌ترین نشانه، مشاهده هم‌زمان آمیخته‌شدن بخشی از وجوه سرقت‌شده بایننس با درآمدهای حاصل از حمله ماه گذشته به Bitget بود؛ حمله‌ای که پیش‌تر به عوامل کره شمالی نسبت داده شده بود.
شرکت سنگاپوری Pangolin Intelligence نیز پس از بررسی فعالیت‌های درون‌زنجیره‌ای و مقایسه آن با رخدادهای شناخته‌شده قبلی، یک واحد هکری کره شمالی را مسئول دانست. کره شمالی در گذشته اتهام‌های مربوط به هک را رد کرده است.
مسیر نفوذ و جابه‌جایی دارایی‌ها
طبق تحلیل TRM، مهاجم در شبکه اتریوم از قابلیت EIP-7702 استفاده کرد؛ قابلیتی که پس از ارتقای Pectra به یک کیف‌پول عادی اجازه می‌دهد کد قرارداد هوشمند را اجرا کند. مهاجم با این روش کیف‌پول گرم بایننس را به ابزاری برای جمع‌آوری دارایی‌ها تبدیل کرد و از ۵۰ مجوز امضاشده از پیش استفاده کرد. در ۹ شبکه دیگر، انتقال دارایی‌ها از کیف‌پول‌های بایننس با تراکنش‌های امضاشده معمولی انجام شد.
از نگاه TRM، این الگو نشان می‌دهد زیرساخت امضای کیف‌پول گرم بایننس به خطر افتاده است. بایننس گفته بررسی خود را پس از شناسایی لپ‌تاپ آلوده یک مهندس آغاز کرده، اما در ادامه «نقاط نفوذ بیشتری» پیدا کرده است. در حمله به Bybit نیز مسیر نفوذ با یک دستگاه آلوده شروع شده بود؛ مهاجمان کره شمالی پس از دسترسی به رایانه یک توسعه‌دهنده شرکت Safe، کد مخرب را در زیرساخت ارائه‌دهنده کیف‌پول قرار داده بودند.
Chainalysis اعلام کرده مهاجم برای انتقال و پنهان‌کردن دارایی‌ها از الگوهای پول‌شویی تازه‌ای استفاده می‌کند. هزاران تراکنش در مدت کوتاه، احتمال استفاده از خودکارسازی برای گردش مکرر وجوه میان آدرس‌ها را مطرح می‌کند. به گفته TRM، مهاجم همچنین بخشی از تتر را به بازارسازها فروخته و با وثیقه‌گذاری USDT در پروتکل وام‌دهی Aave، اتریوم قرض گرفته تا پیش از مسدودشدن دارایی‌ها سرعت بیشتری داشته باشد.
بر اساس همین گزارش، مهاجم اکنون بیش از ۴۲۰ هزار ETH و ۱۸٬۲۷۰ BTC در اختیار دارد؛ ارزش این دارایی‌ها حدود ۲.۴ میلیارد دلار اعلام شده و در دسترس مستقیم هیچ صادرکننده‌ای نیست.
تلاش برای مسدودسازی و جبران خسارت
TRM اعلام کرده تتر، Circle، Ripple و World Liberty Financial در مجموع حدود ۲.۶۷ میلیارد دلار استیبل‌کوین را مسدود کرده‌اند. شورای امنیت Arbitrum نیز ۸٬۴۲۶ ETH و ۷۴.۶ میلیون ARB را فریز کرده است. بایننس مجموع دارایی‌های مسدودشده را حدود ۳ میلیارد دلار اعلام کرده است.
بایننس در به‌روزرسانی روز جمعه گفت بیش از ۶.۳۴ میلیارد دلار از منابع شرکت را برای پوشش خسارت این حادثه کنار گذاشته است. از این مبلغ، ۵ میلیارد دلار از قبل در همان توکن‌هایی نگهداری می‌شود که سرقت شده‌اند. صرافی گفته برای تأمین باقی‌مانده، از مسیرهای بازار و معاملات خارج از بورس خرید می‌کند؛ فرایندی که ممکن است برای توکن‌های کم‌نقدشونده طولانی‌تر باشد. این ارقام شامل دارایی‌های مسدودشده نمی‌شود.
بایننس همچنین اعلام کرده بازیابی دارایی‌های کاربران آسیب‌دیده را آغاز کرده و با نهادهای قضایی، صادرکنندگان توکن، شرکت‌های اطلاعات بلاک‌چین و دیگر فعالان صنعت همکاری می‌کند. این شرکت گفته هدفش ردیابی، مسدودسازی و بازگرداندن وجوه بیشتر است.
تصویر بازار در داده‌های Moneyiar
بر اساس داده‌های بازار Moneyiar در زمان ثبت‌شده، قیمت بایننس‌کوین (BNB) برابر با ۷۴۰.۸۶۱۸۱۳۶۸۹۱ دلار بوده است. این دارایی در ۲۴ ساعت ۰.۸۱ درصد و در هفت روز ۳.۳۲ درصد افزایش داشته است؛ زمان ثبت این داده‌ها ۲۵ اکتبر ۲۰۲۶، ساعت ۲۲:۳۹ به وقت +۰۳:۳۰ اعلام شده است.
در همین داده‌ها، قیمت BILL از شبکه Billions Network برابر با ۰.۰۱۳۹۹۷۱۹۳۹ دلار بود که تغییر روزانه منفی ۰.۵۹ درصد و تغییر هفتگی مثبت ۱۰.۰۴ درصد داشت. FUNToken با نماد FUN در قیمت ۰.۰۰۸۹۱۸۲۴۱۴ دلار قرار داشت؛ بازده ۲۴ ساعته آن ۱.۶۲ درصد و تغییر هفتگی آن ۰.۰۸ درصد بود. قیمت Loaded Lions با نماد LION نیز ۰.۰۰۱۱۸۱۷۷۰۳ دلار ثبت شد؛ این توکن در ۲۴ ساعت ۲.۳۹ درصد و در هفت روز ۳.۰۶ درصد افت کرده بود. داده‌های BILL در ۲۱ سپتامبر ۲۰۲۶ ساعت ۰۱:۳۹ و داده‌های FUN و LION در ۲۵ اکتبر ۲۰۲۶، به‌ترتیب ساعت ۲۲:۳۹ و ۲۲:۳۸ به وقت +۰۳:۳۰ ثبت شده‌اند.
هدف‌گیری بایننس توسط مهاجمان کره شمالی سابقه‌دار است. جیمی سو، مدیر ارشد امنیتی بایننس، در اوت ۲۰۲۵ گفته بود مهاجمان کره شمالی هر روز تلاش می‌کنند در این شرکت استخدام شوند و آن‌ها را بزرگ‌ترین تهدید برای شرکت‌های رمزارزی دانسته بود. همچنین خزانه‌داری آمریکا روز چهارشنبه ۱۰ فرد و یک نهاد را به دلیل طرح‌های مرتبط با کارکنان فناوری اطلاعات کره شمالی که میلیون‌ها دلار رمزارز جابه‌جا کرده‌اند، تحریم کرد.
