چرا مهار سرقت میلیارد دلاری از صرافی‌های ارز دیجیتال دشوارتر از بانک‌هاست؟

حمله اخیر به بایننس و سرقت میلیاردها دلار دارایی، بار دیگر یک تفاوت مهم میان صرافی‌های ارز دیجیتال و بانک‌ها را برجسته کرده است: هکرها در صورت نفوذ به سامانه‌های برداشت یک صرافی می‌توانند در چند دقیقه حجم زیادی از دارایی‌ها را جابه‌جا کنند؛ تراکنش‌هایی که پس از تأیید در بلاکچین، معمولاً امکان بازگرداندن آن‌ها وجود ندارد.

به گزارش میهن بلاکچین، کارشناسان درباره اینکه صرافی‌های کریپتویی بیشتر از بانک‌ها هدف حمله قرار می‌گیرند یا صرفاً سرقت از آن‌ها بیشتر به چشم می‌آید، اختلاف‌نظر دارند. با این حال، سرعت انتقال دارایی‌ها و برگشت‌ناپذیری تراکنش‌ها باعث می‌شود پیامد یک نفوذ امنیتی در صرافی‌ها بسیار سنگین باشد.

بحث بر سر امنیت صرافی‌ها و بانک‌ها

تامر شارونی (Tomer Sharoni)، مدیرعامل شرکت اطلاعات بلاکچینی ادرسِبل (Addressable)، معتقد است تفاوت اصلی حمله به بانک و صرافی در شیوه نفوذ هکرها نیست، بلکه به چیزی برمی‌گردد که پس از نفوذ به دست می‌آورند.

او در گفت‌وگویی در این باره گفت: 

لپ‌تاپ یک کارمند بانک دقیقاً به همان روشی هک می‌شود که لپ‌تاپ یک کارمند صرافی هک می‌شود؛ ایمیل فیشینگ، دانلود فایل آلوده یا مصاحبه شغلی جعلی در هر دو مورد یکسان است. تفاوت در چیزی است که مهاجم در نهایت به آن دسترسی پیدا می‌کند.

به گفته شارونی، بانک‌ها برای شناسایی و متوقف کردن انتقال‌های مشکوک چندین فرصت دارند؛ از بررسی‌های تطبیق قوانین گرفته تا کنترل‌های بانک‌های واسطه. حتی در برخی موارد می‌توان پس از ارسال پول، تراکنش را متوقف یا بازیابی کرد. اما تراکنش‌های تأییدشده در بلاکچین عموماً برگشت‌پذیر نیستند؛ هرچند شرکت‌های صادرکننده برخی استیبل‌کوین‌ها می‌توانند دارایی‌های سرقتی را مسدود کنند.

شارونی این ویژگی‌ها را دلیل جذابیت خزانه‌های بزرگ رمزارزی برای هکرها می‌داند و می‌گوید: 

سرعت، قطعیت و برگشت‌ناپذیری تراکنش‌ها، خزانه‌های بزرگ کریپتویی را به ارزشمندترین اهداف در صنعت مالی تبدیل می‌کند.

در مقابل، عبدالرفای گادیت (Abdul Rafay Gadit)، هم‌بنیان‌گذار زیگ فایننس (ZIG Finance)، معتقد است نمی‌توان گفت شرکت‌های کریپتویی بیشتر از بانک‌ها هک می‌شوند. او تفاوت را در شفافیت بلاکچین و دشواری پنهان ماندن سرقت‌ها می‌بیند.

گادیت می‌گوید: 

کریپتو بیشتر از بانک‌ها هک نمی‌شود؛ فقط نمی‌تواند آن را پنهان کند و نمی‌تواند تراکنش را برگرداند.

به گفته او، بانک‌ها نیز مرتب با نفوذهای امنیتی روبه‌رو می‌شوند، اما بسیاری از این اتفاقات در داخل مجموعه بررسی می‌شوند و ممکن است هیچ‌وقت به‌صورت عمومی مطرح نشوند. در مقابل، سرقت رمزارزها ظرف چند دقیقه روی مرورگرهای بلاکچینی قابل مشاهده است.

هزینه سنگین یک نفوذ امنیتی

حمله اخیر به بایننس نمونه‌ای از خطراتی است که شارونی به آن اشاره می‌کند. بررسی‌ها نشان می‌دهد مهاجمان توانستند پس از تأیید کد مخرب با استفاده از قابلیت EIP-7702 اتریوم، در کمتر از چهار دقیقه حدود ۲.۵ میلیارد دلار از یکی از کیف پول‌های این صرافی خارج کنند. این قابلیت به کیف پول‌های معمولی اجازه می‌دهد کدی را اجرا کنند که پیش‌تر به قراردادهای هوشمند اختصاص داشت.

البته این حمله به معنای شکستن رمزنگاری شبکه اتریوم نبود بلکه مهاجمان از دسترسی‌ها و سازوکارهایی سوءاستفاده کردند که برای مدیریت کیف پول به کار می‌روند. ریچارد تنگ (Richard Teng)، هم‌مدیرعامل بایننس، نیز اعلام کرد بررسی‌ها چندین نفوذ امنیتی را آشکار کرده و شواهدی از تلاش مهاجمان برای پاک کردن رد فعالیت‌هایشان به دست آمده است. بایننس در واکنش به این اتفاقات اما اعلام کرد زیرساخت برداشت و فرایندهای امضای تراکنش، مدیریت کلیدها و امنیت دستگاه‌های کارکنان را بازبینی می‌کند.

گادیت معتقد است صرافی‌ها باید همان تدابیر عملیاتی بانک‌ها از جمله تفکیک اختیار امضای تراکنش‌ها، الزام به تأیید چندمرحله‌ای و تعیین سقف برداشت را به کار بگیرند. او در جمع‌بندی دیدگاهش می‌گوید:

نه، صنعت کریپتو به ذات آسیب‌پذیرتر نیست؛ فقط خطا در آن بخشودنی نیست.

دنیل تانکل (Daniel Tunkel)، مسئول مقررات مالی در شرکت حقوقی ادوین کو (Edwin Coe) نیز وضعیت امنیتی صرافی‌های کریپتویی را «حادثه‌ای در انتظار وقوع» توصیف کرده. از نگاه او، نهادهای ناظر نباید فقط بر جلوگیری از حملات تمرکز کنند؛ بلکه باید بررسی کنند صرافی‌ها پس از یک رخنه بزرگ، منابع مالی و زیرساخت عملیاتی کافی برای تحمل خسارت و محافظت از دارایی مشتریان را دارند یا نه.