این‌بار نوبت بیت‌گت بود؛ صرافی بزرگی که حدود ۳۸۷.۵ میلیون دلار از دارایی‌هایش در یک حمله خارج شد. هک صرافی بیت‌گت در ۲ مهر ۱۴۰۵ (۲۴ سپتامبر ۲۰۲۶) اتفاق افتاد و طبق گزارش شرکت امنیتی Halborn، بزرگترین سرقت کریپتویی گزارش‌شده تا اینجای سال است.
رقم اولیه حدود ۳۵۲ میلیون دلار بود و بعد از بررسی بیشتر اصلاح شد. حالا برداشت‌ها (Withdraw) دارند به‌تدریج باز می‌شوند؛ اما سؤال اصلی باقی است: هکرها چطور به سیستم نفوذ کردند؟
- حدود ۳۸۸ میلیون دلار از کیف پول‌های صرافی خارج شده است.
- بیت‌گت می‌گوید خسارت کاربران را پوشش می‌دهد
- برداشت‌های بیت‌کوین و اتریوم باز شده است و این روند ادامه دارد.
هکرها چطور پول را برداشت کردند؟
طبق بررسی اولیه بیت‌گت، مهاجم احتمالاً از نقص یک ابزار امنیتیِ شرکت دیگری وارد شده و به دسترسی‌های حساس داخلی رسیده است. سپس دستورهای برداشت جعلی را به سیستم کیف پول فرستاده؛ دستورهایی که سیستم آن‌ها را اجرا کرده است.
مثلاً تصور کنید دزد، حواله‌ای جعلی به صندوق می‌دهد و صندوق آن را دستور واقعی مدیر تشخیص می‌دهد. لازم نیست کلید گاوصندوق دزدیده شود؛ خود صندوق پول را تحویل می‌دهد. بیت‌گت هم می‌گوید شواهد فعلی نشان داده که سرقت کلیدهای خصوصی (Private Key) اتفاق نیوفتاده است.
شرکت ردیابی Elliptic احتمال ارتباط حمله با هکرهای کره شمالی را بالا می‌داند؛ هویت عاملان هنوز قطعی اعلام نشده است.
تکلیف پول کاربران و برداشت‌ها چیست؟
به گفته بیت‌گت، موجودی حساب کاربران کم نشده و صندوق حفاظت صرافی خسارت را پوشش می‌دهد. این وعده با برگشت پول از هکرها فرق دارد: صرافی می‌گوید هزینه سرقت را خودش می‌پردازد.
طبق آخرین بهروزرسانی رسمی بیت‌گت، برداشت بیت‌کوین از ۶ مهر ۱۴۰۵ (۲۸ سپتامبر ۲۰۲۶) و اتریوم از ۷ مهر ۱۴۰۵ (۲۹ سپتامبر ۲۰۲۶) باز شده است. بازگشایی تتر برای ۸ مهر ۱۴۰۵ (۳۰ سپتامبر ۲۰۲۶) و سایر خدمات باقی‌مانده برای ۱۰ مهر ۱۴۰۵ (۲ اکتبر ۲۰۲۶) برنامه‌ریزی شده است.
بقیه سرقت‌های بزرگ امسال چه بودند؟
هک صرافی بیت‌گت تنها پرونده پرسر‌وصدای امسال نیست:
- لیکویید: در هک شبکه لیکویید حدود ۳۲۰ میلیون دلار بیت‌کوین خارج شد؛ بخش عمده آن بعداً برگشت.
- کلدکارت: نقص امنیتی کیف پول کلدکارت نشان داد حتی دستگاه آفلاین هم با کلیدهای ضعیف می‌تواند آسیب‌پذیر باشد.
- Tectonic: در حمله‌ای که شبکه Cronos را متوقف کرد، مهاجم قیمت وثیقه را مصنوعی بالا برد و با آن وام گرفت.
چه درسی از این هک می‌توان گرفت؟
درس هک صرافی بیت‌گت این است که حتی اگر کلید گاوصندوق دست دزد نیفتد، ممکن است سیستم فریب بخورد و خودش پول را تحویل بدهد.
پس امنیت فقط داشتن رمز قوی یا انتخاب یک نام بزرگ (مانند صرافی بیت‌گت) نیست؛ نحوه تأیید برداشت‌ها و کنترل دسترسی‌ها هم اهمیت دارد. برای ما کاربران، نتیجه روشن است: همه سرمایه را در یک سبد نذاریم، زیرا سیستمی که پول را نگه می‌دارد هم باید امن باشد.
