حمله گسترده به کیف‌پول‌های مرتبط با بایننس، بنا بر بررسی شرکت TRM Labs، با انتقال حدود ۲۹۶ میلیون دلار ریپل (XRP) آغاز شد؛ اما این تنها نخستین مرحله عملیاتی بود که بعدتر به جابه‌جایی دارایی‌ها در ۱۰ شبکه بلاک‌چینی و سرقتی به ارزش تقریبی ۶.۳۶ میلیارد دلار انجامید. گزارش اولیه این رویداد را CryptoSlate منتشر کرده است.
آماده‌سازی ۳۶ ساعته پیش از حمله
ردیابی‌های TRM Labs نشان می‌دهد مهاجم دست‌کم از ۲۸ اکتبر آماده‌سازی عملیات را شروع کرده بود؛ یعنی حدود ۳۶ ساعت پیش از آن‌که انتقال‌های اصلی انجام شود. در نخستین گام، یک کیف‌پول تحت کنترل مهاجم سه انتقال کوچک از تورنادو کش، سرویس میکس‌کننده ارز دیجیتال، دریافت کرد.
در روز بعد، مهاجم کد مخرب یک قرارداد هوشمند را ایجاد کرد و آن را روی دو کیف‌پول تازه‌ساخته‌شده اتریوم آزمایش کرد. سپس نسخه اصلاح‌شده‌ای از کد را به کار گرفت و عملیات را روی کیف‌پول سوم تمرین کرد. در این آزمایش، وجوه برای مدت کوتاهی منتقل و سپس بازگردانده شد. حدود چهار ساعت بعد از آخرین تمرین، جابه‌جایی اصلی آغاز شد.
این الگو نشان می‌دهد سرقت تنها به یک انتقال ناگهانی محدود نبوده است؛ بلکه مهاجم پیش از اجرای نهایی، مسیر انتقال و عملکرد ابزار مورد استفاده را بررسی کرده بود. با این حال، منبع مجوزهای لازم برای اجرای بخش اتریومی حمله همچنان مشخص نیست.
زنجیره انتقال دارایی‌ها در شبکه‌های مختلف
بین ساعت ۲۰:۰۵ تا ۲۰:۰۹ به وقت هماهنگ جهانی، پنج کیف‌پول بایننس روی شبکه XRP Ledger حدود ۲۳۳.۴۶ میلیون XRP، به ارزش تقریبی ۲۹۶ میلیون دلار، به یک نشانی تحت کنترل مهاجم فرستادند. این انتقال نخستین خروج بزرگ شناسایی‌شده در عملیات بود.
تا ساعت ۲۰:۱۰، انتقال‌های مشکوک از کیف‌پول‌های بایننس در شبکه‌های سولانا و آپتیمیزم نیز شروع شد. سپس در ساعت ۲۰:۲۰، یک کیف‌پول بیت‌کوین بایننس ۱۸٬۲۷۰ BTC، به ارزش تقریبی ۱.۴۷ میلیارد دلار، منتقل کرد. مهاجم بلافاصله این مقدار را به بسته‌های کوچک‌تر شامل ۱٬۰۰۰ و ۱۰۰ بیت‌کوین تقسیم کرد؛ اقدامی که جریان حرکت وجوه را به چند بخش جداگانه تقسیم می‌کرد.
تقریباً هم‌زمان، یک کیف‌پول بایننس روی شبکه ترون ۶۱۲.۷ میلیون USDT و ۴۶.۴ میلیون TRX را جابه‌جا کرد که ارزش مجموع آن‌ها حدود ۶۲۸ میلیون دلار برآورد شده است. موج دیگری از انتقال‌ها در حدود ساعت ۲۳:۰۵، کیف‌پول‌های بایننس در شبکه‌های آوالانچ و پالیگان را نیز دربر گرفت.
تا ساعت ۰۰:۳۰ روز ۳۰ اکتبر، TRM Labs انتقال‌هایی را در اتریوم، بیت‌کوین، ترون، XRP Ledger، سولانا، آربیتروم، آپتیمیزم، بیس، آوالانچ و پالیگان دنبال کرده بود. بیشتر وجوه، طبق بررسی این شرکت، در فاصله‌ای حدود ۲۰ دقیقه از کیف‌پول‌های مرتبط با بایننس خارج شدند؛ به همین دلیل این رویداد بزرگ‌ترین سرقت ثبت‌شده در بازار ارزهای دیجیتال توصیف شده است.
نقش EIP-7702 و ادامه برداشت‌ها
بخش اتریومی حمله از قابلیتی با نام EIP-7702 استفاده کرد. این استاندارد به یک کیف‌پول اجازه می‌دهد اجرای تراکنش‌های خود را به یک قرارداد هوشمند واگذار کند. در این پرونده، مهاجم در ساعت ۲۰:۲۰، تعداد ۵۰ مجوز از پیش امضاشده را به یک کیف‌پول گرم بایننس ارسال کرد تا اجرای آن به یک قرارداد هوشمند مخرب واگذار شود.
این مجوزها برای شمارنده‌های متوالی تراکنش تنظیم شده بودند تا یکی از آن‌ها با شمارنده فعلی کیف‌پول مطابقت پیدا کند. سه دقیقه و ۲۴ ثانیه بعد، مهاجم تابع برداشت قرارداد را فعال کرد. در یک تراکنش، ۱۶۷٬۴۶۴ ETH و ۶۳ توکن منتقل شد که در میان آن‌ها ۱.۶۱۵ میلیارد USDT نیز قرار داشت.
برداشت‌ها بعد از انتقال اولیه متوقف نشد. تراکنش‌های تکمیلی در ساعت‌های ۲۰:۴۱، ۲۰:۵۹، ۲۱:۰۴، ۲۱:۴۴، ۲۲:۳۹ و ۲۳:۵۶ انجام شدند؛ هم‌زمان با ورود دارایی‌های بیشتر به کیف‌پول آسیب‌دیده. همان کیف‌پول با استفاده از مجوزهای موجود برای یک حساب هوشمند جداگانه بایننس، انتقال ۸۲۳ میلیون USDC دیگر را نیز تسهیل کرد.
پرسش‌های باقی‌مانده و تصویر بازار
با وجود بازسازی نسبتاً دقیق ترتیب رخدادها، هنوز معلوم نیست مهاجم چگونه مجوزهای لازم را به دست آورده است. درک چیانگ، پژوهشگر Ethlabs، دو احتمال را مطرح کرده است: دسترسی مهاجم به کلید خصوصی کیف‌پول یا فریب مالک برای امضای یک مجوز مخرب. او در عین حال تأکید کرده که اجرای عملیات EIP-7702 به یک مجوز معتبر نیاز داشته است.
داده‌های بازار Moneyiar در زمان ثبت‌شده نشان می‌دهد XRP در ۲۵ اکتبر ساعت ۲۲:۳۸ به وقت ایران، ۱.۲۹۹۱۰۹۹۰۵۱ دلار قیمت داشته و در ۲۴ ساعت ۰.۵۶ درصد افزایش یافته است؛ بازده هفت‌روزه آن نیز ۰.۰۹ درصد بوده است. BNB در ۲۵ اکتبر ساعت ۲۲:۳۹ با قیمت ۷۴۰.۸۶۱۸۱۳۶۸۹۱ دلار، رشد ۰.۸۱ درصدی روزانه و ۳.۳۲ درصدی هفتگی را ثبت کرده بود. این ارقام تصویر بازار در زمان یادشده را نشان می‌دهند و مستقیماً ارزش‌گذاری انتقال‌های گزارش‌شده در زمان حمله نیستند.
