مؤسس «Coinex»: اختراق «Binance» كشف 3 ثغرات «كان يمكن تجنبها»

آراء خبراء الصناعة

أبدى مؤسس منصة التداول المنافسة «Coinex» رأيه بشأن أكبر عملية سرقة في تاريخ العملات المشفرة، مشيرًا إلى أن اختراق «Binance» كشف عن «ثلاثة أخطاء فادحة على الأقل كان من الممكن تجنبها تمامًا». وأضاف يانغ أن الأمر كان فشلًا في الانضباط التشغيلي وليس نقصًا في التكنولوجيا المتطورة.

جاءت تعليقاته في وقت تعمل فيه Binance على معالجة تداعيات الاختراق الذي تقول البورصة إنه أدى إلى استنزاف أصول بقيمة حوالي 6.34 مليار دولار من محافظها الساخنة في 29 أكتوبر. وعزا مكتب التحقيقات الفيدرالي (FBI) الهجوم إلى مجموعة «Tradertraitor» الكورية الشمالية.

الأخطاء الثلاثة

قائمة يانغ هي كما يلي:

• عدم الفصل بين أجهزة العمل والأجهزة الشخصية: قال يانغ إن بيئات التطوير والعمليات «لم تكن معزولة تمامًا». ورأى أن الموظفين الذين لديهم حق الوصول إلى أنظمة الإنتاج كان ينبغي أن يستخدموا أجهزة مخصصة (بحيث تتم معالجة جميع عمليات البرمجة والدردشة وتصفح الويب على جهاز منفصل). ويتطابق هذا النقطة بشكل مباشر مع ما كشفت عنه «باينانس» في تقريرها التحليلي الأخير.
• مفتاح واحد يمكنه تشغيل بيئة الإنتاج: قال يانغ إن بيانات اعتماد واحدة كانت كافية لتشغيل خدمات الإنتاج، مما يعني أن تسربًا واحدًا منح المهاجمين وصولاً كاملاً. واقترح استخدام مدير جلسات قائم على المتصفح مشابه لـ «مدير الجلسات» (Session Manager) التابع لـ «خدمات الويب من أمازون» (AWS)، مع استخدام مفاتيح أمان الأجهزة كعامل ثانوي، بحيث لا يؤدي سرقة بيانات اعتماد واحدة إلى حدوث خرق.
• التوقيع المتعدد موجود على الورق فقط. استهدفت النقطة الثالثة التي أشار إليها يانغ إعداد الحوسبة متعددة الأطراف (MPC) في Binance، وهي طريقة تقسم سلطة التوقيع بين عدة أطراف. وقال إن الموقّعين لم يتحققوا بشكل جدي من المعاملات، لذا كان اختراق عقدة واحدة له نفس تأثير التوقيع الفردي. وجادل بأن التوقيع المتعدد لا يعمل إلا عندما يتحقق كل موقّع بشكل مستقل من المعاملة بدلاً من الوثوق بالطلب الوارد من المصدر.

رواية Binance للأحداث

يدعم الرواية التي قدمتها Binance نفسها الخطوط العريضة لانتقادات يانغ، حيث صرح ريتشارد تنغ، الرئيس التنفيذي المشارك، لشبكة CNBC أنه بعد المقابلات المزيفة، «تسلل المهاجمون بقوة عبر أدوات الذكاء الاصطناعي الداخلية لدينا» وتمكنوا من الوصول إلى «النظام الذي يصرح بمعاملات محفظتنا». وكما أفادت Bitcoin.com News، ربطت دراسة ما بعد الحادث الاختراق بمقابلة عمل مزيفة وأدوات الذكاء الاصطناعي (AI) المخترقة.

ومنذ ذلك الحين، أعادت البورصة بناء نظام المحفظة المتضرر، واستبدلت الأجهزة، وألغت بيانات الاعتماد، وعززت ضوابط مخاطر خدمة المحفظة. كما صرح تنغ لشبكة Fox Business بأن «الشركة تتحمل المسؤولية الكاملة»، مشيرًا في الوقت نفسه إلى أنه تم تعويض 98% من الأصول المتضررة.

ليست يانغ الصوت الوحيد الذي يصف الاختراق بأنه فشل في إدارة المخاطر. فقد صرح أوستن كامبل، مؤسس Zero Knowledge Group، لوسائل الإعلام المتخصصة في العملات المشفرة بأن «العملات المشفرة لم تُبنى أبدًا لتوفير الأمان خارج نطاق القطاع التكنولوجي»، ودعا بعد ذلك إلى تجميد التحويلات التي تبلغ قيمتها مليار دولار لمدة 24 ساعة.

ناقد له مصلحة شخصية في الأمر

تأتي انتقادات يانغ في سياق غير عادي، حيث أعلن في سبتمبر أن Coinex ستبدأ عملية إغلاق منظمة، مع إبقاء عمليات السحب مفتوحة حتى 22 ديسمبر 2026. وقال آنذاك إن المخاطر الأمنية ومخاطر الامتثال المرتبطة بإدارة منصة تداول أصبحت أصعب في السيطرة عليها، مضيفًا أن «تحمل مخاطر غير محدودة مقابل عائدات محدودة لم يعد خيارًا عقلانيًا».

بعبارة أخرى، قرر المؤسس الذي يحلل إخفاقات «باينانس» أن هذه المخاطر نفسها لا تستحق التحمل في شركته الخاصة.

وأخيرًا، تجدر الإشارة إلى أن أياً من الإجراءات التصحيحية التي اقترحها يانغ ليست غريبة؛ أي أن فصل الأجهزة، ومفاتيح الأجهزة، وفحوصات الموقّعين المستقلين، كلها نصائح قياسية لأي شركة كبرى. وحقيقة أن شركة تمتلك موارد مثل Binance قد هُزمت بسبب تلك الثغرات هي ما يجعل منشوره مؤلمًا.

وقد كانت التكلفة باهظة على أي حال، حيث تشير إحدى التحليلات إلى أن «بينانس» ربما خسرت ما يقارب نصف أرباحها على مدى خمس سنوات بسبب الغرامات وعمليات الاختراق. ومع قيام المخترقين بتوزيع الأموال المسروقة على 12,000 محفظة، من المرجح أن تواجه البورصات الأخرى السؤال نفسه الذي طرحه يانغ للتو: هل أساسياتها موجودة بالفعل؟