اختراق Binance: كيف سرق المهاجمون المليارات عبر EIP-7702

في 29 أكتوبر نقل لصوص نحو 6.34 مليار دولار بعملات رقمية مختلفة من 11 محفظة على الأقل تملكها Binance. واستعادت الشركة وجمّدت لاحقاً نحو 2.85 مليار دولار. ونسب FBI الهجوم إلى مجموعة TraderTraitor الكورية الشمالية.

كيف بدأ الهجوم؟

بحسب تقرير Binance، كان المطورون نقطة الدخول: أحدهم نزّل نسخة مخترقة من Homebrew لأجهزة Mac، وآخر وقع في فخ مقابلة عمل وهمية أعطته «مهمة برمجية» اخترقت جهازه. واستخدم المهاجمون أجهزة ثلاثة مطورين للحصول على صلاحيات التوقيع، وجهزوا 50 تفويضاً موقعاً مسبقاً.

دور EIP-7702

خاصية EIP-7702 تسمح لمحفظة Ethereum بتفويض كود ذكي يعمل باسمها. أرسل المهاجمون التفويضات الخمسين دفعة واحدة، لأن كل معاملة تحتاج رقماً تسلسلياً (Nonce) صحيحاً ويكفي أن يطابق واحد منها. فزرعوا كوداً سحب كل ما في المحفظة الرئيسية، نحو 2.5 مليار دولار، ولم يُبقِ إلا عملة ETH واحدة. والتفويض لا يحدد مبلغاً ولا وجهة، فلا تراه ضوابط السحب العادية.

أطلقت أنظمة Binance إنذاراً خلال دقائق، لكن إيقاف السحب وخدمات المحافظ الساخنة لم يُلغِ التفويضات الموجودة على السلسلة. فاستمر السحب من 20:05 حتى 23:56 بتوقيت UTC.

ما الدرس؟

يوصي الخبراء بما يلي:

1. محاكاة المعاملات قبل توقيعها، ووضع حدود لحجمها ووجهاتها.
2. تنبيهات على أي موجة معاملات كبيرة، وزر إيقاف مبني ومجرّب مسبقاً يوقف التوقيع وتعبئة المحافظ.
3. حماية المطورين: أجهزة توقيع مخصصة ومعزولة، وتدريب على فخاخ التوظيف الوهمي.
4. القدرة على إلغاء الهويات والتوكنات خلال دقائق، مع اختبار ذلك دورياً.