گزارش هکن: سرقت ۱.۱۸ میلیارد دلاری در سه‌ماهه سوم و نقاط کور ممیزی‌های امنیتی

شرکت امنیت سایبری هکن در گزارش جدید خود که در ۱۵ اکتبر ۲۰۲۶ منتشر شد، اعلام کرد که در سه‌ماهه سوم سال جاری، ۱.۱۸ میلیارد دلار از دارایی‌های رمزارزی طی ۱۰۷ حادثه امنیتی به سرقت رفته است. این رقم نشان‌دهنده افزایش ۵۵ درصدی خسارات نسبت به سه‌ماهه دوم است و این دوره را به یکی از پرهزینه‌ترین فصول برای امنیت دارایی‌های دیجیتال تبدیل می‌کند.[1][4]

با وجود این حجم از خسارت، نکته قابل‌توجه در گزارش هکن، تغییر در نحوه نفوذ هکرها است. برخلاف گذشته که بیشتر حملات مستقیماً کدهای قراردادهای هوشمند را هدف قرار می‌دادند، اکنون ۷۷ درصد از این خسارات، معادل حدود ۹۰۶ میلیون دلار، از طریق تامین‌کنندگان شخص ثالث، ابزارهای توسعه‌دهندگان و زیرساخت‌هایی رخ داده است که خارج از دامنه ممیزی‌های امنیتی بوده‌اند.[1][3]

پلتفرم تحلیل داده توکن‌متریکس در بررسی این گزارش هشدار می‌دهد که برچسب ممیزی شده می‌تواند حس امنیت کاذبی به کاربران القا کند. یک ممیزی تنها نشان می‌دهد که کدهای اصلی در یک زمان مشخص بررسی شده‌اند، اما لزوماً به معنای بررسی کیف‌پول‌ها، سیستم‌های امضای تراکنش یا نرم‌افزارهای جانبی متصل به پلتفرم نیست.[2]

تحلیلگران توکن‌متریکس در خلاصه گزارش خود به صراحت بیان می‌کنند که ممیزی‌ها دقیقاً همان نقاطی را که هکرها به آن‌ها حمله می‌کنند، نادیده می‌گیرند و این مهم‌ترین درسی است که باید از اتفاقات اخیر گرفت.[2]

به گفته کارشناسان این پلتفرم، هکرها به دامنه ممیزی اهمیتی نمی‌دهند و مستقیماً به سراغ نقاطی می‌روند که پول در آن‌ها قرار دارد. اگر یک پروژه رمزارزی سیستم‌های مدیریت کلید خصوصی یا ابزارهای خارج از شبکه خود را به‌روزرسانی نکند، حتی با داشتن تاییدیه امنیتی قرارداد هوشمند نیز در برابر نفوذ آسیب‌پذیر خواهد بود.[2]

تمرکز خسارات در حملات بزرگ

بیشترین سهم از خسارات سه‌ماهه سوم تنها در چند حادثه بزرگ متمرکز بوده است. صرافی بیت‌گت در اواخر سپتامبر با یک نفوذ ۳۸۷.۵ میلیون دلاری مواجه شد که بزرگترین هک این دوره به شمار می‌رود. طبق گزارش‌ها، مهاجمان از یک آسیب‌پذیری روز صفر در یک محصول امنیتی شخص ثالث برای دسترسی به سیستم‌های مدیریت داخلی صرافی استفاده کردند.[3][4]

گریسی چن، مدیرعامل صرافی بیت‌گت، درباره پیچیدگی این حمله توضیح داد که مهاجمان فعالیت‌های مخرب خود را در قالب عملیات‌های روتین مدیریتی پنهان کردند و همزمان تمام ردپاهای مربوط به اقدامات خود را از سیستم پاک ساختند.[3]

بر اساس گزارش‌های مستقل منتشر شده توسط شرکت‌های اسلومیست و مندیانت که زیرمجموعه گوگل کلود است، هکرها فعالیت مخرب خود را از اواخر آگوست آغاز کردند. آن‌ها با پنهان کردن ردپای خود توانستند به سرورهای پشتیبان کیف‌پول‌ها نفوذ کرده و دستورات برداشت جعلی را صادر کنند.[3]

پس از بیت‌گت، شبکه لیکوئید که یک زنجیره جانبی برای بیت‌کوین است، با خسارت ۳۲۰ میلیون دلاری در جایگاه دوم قرار گرفت. همچنین پلتفرم تکتونیک با ۱۲۰ میلیون دلار و آسیب‌پذیری در میان‌افزار کیف‌پول‌های کلدکارد با ۱۱۵ میلیون دلار خسارت، از دیگر اهداف اصلی هکرها در این دوره بودند.[1][3]

در حادثه مربوط به پلتفرم تکتونیک، اعتبارسنج‌های شبکه کرونوس موفق شدند با معکوس کردن ۱۱۴ دقیقه از تاریخچه بلاک‌چین، جلوی نهایی شدن بخش عمده‌ای از تراکنش‌های مخرب را بگیرند. از سوی دیگر، آسیب‌پذیری در میان‌افزار کیف‌پول‌های سخت‌افزاری کلدکارد نشان داد که حتی راهکارهای ذخیره‌سازی سرد نیز در صورت عدم به‌روزرسانی به‌موقع، می‌توانند به پاشنه آشیل امنیت کاربران تبدیل شوند.[1]

در مقابل این حملات بزرگ، ۹۸ حادثه دیگر هر کدام خسارتی کمتر از ۱۰ میلیون دلار به همراه داشتند و میانگین زیان در آن‌ها حدود ۶۷۰ هزار دلار برآورد شده است. با این حال، حملات به قراردادهای هوشمند همچنان از نظر تعداد در صدر قرار دارند و با ۷۱ مورد، مجموعاً ۲۲۸ میلیون دلار خسارت به بار آورده‌اند.[1]

شرکت امنیتی سرتیک نیز در گزارش جداگانه‌ای که در اوایل اکتبر منتشر شد، آمار مشابهی را ارائه داده است. این شرکت خسارات سه‌ماهه سوم را حدود ۱.۲۶ میلیارد دلار در ۲۴۷ حادثه امنیتی برآورد کرده و تاکید می‌کند که میانگین خسارت هر حمله از ۳.۷ میلیون دلار در سه‌ماهه دوم به ۵.۱ میلیون دلار افزایش یافته است.[5]

سرتیک در تحلیل خود تاکید می‌کند که هر کاربری که دارایی‌های رمزارزی خود را در یک پلتفرم متمرکز یا قرارداد هوشمند رها می‌کند، ریسک خود را با تمام مشتریان دیگر آن پلتفرم به اشتراک می‌گذارد. این شرکت حوادث امنیتی را به سه دسته اصلی سوءاستفاده از کدهای پروتکل، سرقت کلیدهای خصوصی و کلاهبرداری‌های مبتنی بر تایید دسترسی تقسیم می‌کند.[5]

بازگشت وجوه و جبران خسارات

با وجود آمار نگران‌کننده سرقت‌ها، همه این وجوه برای همیشه از دست نرفته‌اند. گزارش هکن نشان می‌دهد که حدود ۳۸۷ میلیون دلار، معادل ۳۳ درصد از کل خسارات سه‌ماهه سوم، به پلتفرم‌ها بازگردانده شده یا توسط اپراتورها جبران شده است. این موضوع نشان‌دهنده بهبود نسبی در واکنش سریع به بحران‌های امنیتی است.[1][3]

در ماجرای هک شبکه لیکوئید، مهاجمانی که خود را هکرهای کلاه‌سفید معرفی کردند، موفق شدند حدود ۲۷۲ میلیون دلار از دارایی‌های سرقت‌شده را به این شبکه بازگردانند. این اقدام بخش بزرگی از خسارات ثبت‌شده در آمار اولیه را کاهش داد و از ضرر گسترده کاربران جلوگیری کرد.[1]

علاوه بر این، در برخی موارد مانند صرافی بیت‌گت، اپراتورها با استفاده از صندوق‌های محافظت از کاربران خسارت مشتریان خود را به طور کامل پوشش دادند. بیت‌گت تمام ۳۸۷.۵ میلیون دلار زیان کاربران را از منابع داخلی خود جبران کرد، در حالی که دارایی‌های اصلی همچنان در دست هکرها باقی مانده است.[1][3]

این رویکرد نشان می‌دهد که پلتفرم‌های بزرگ رمزارزی در حال تقویت مکانیزم‌های بیمه داخلی خود هستند تا در صورت وقوع نفوذهای امنیتی خارج از کنترل، اعتماد کاربران را حفظ کنند. با این حال، حدود ۳۸۴ میلیون دلار از کل خسارات این دوره نه بازگردانده شد و نه توسط پلتفرم‌ها جبران گردید.[1]

چشم‌انداز نظارتی و مسئولیت‌پذیری

افزایش چشمگیر خسارات ناشی از ضعف در زیرساخت‌های جانبی، توجه نهادهای قانون‌گذار را نیز به خود جلب کرده است. به گفته تیم انطباق هکن، قانون‌گذاران اکنون در حال بررسی این موضوع هستند که آیا کنترل‌های امنیتی پلتفرم‌ها در عملکرد مداوم و روزمره نیز کارایی دارند یا تنها در زمان ممیزی اولیه موفق عمل کرده‌اند.[1]

روند جدیدی در فضای نظارتی شکل گرفته است که در آن، بنیان‌گذاران و مدیران ارشد پلتفرم‌های رمزارزی به طور فزاینده‌ای مسئول شخصی حوادث و نفوذهای امنیتی شناخته می‌شوند. این تغییر رویکرد می‌تواند شرکت‌ها را مجبور کند تا استانداردهای امنیتی خود را فراتر از کدهای پایه گسترش دهند.[1]

در سه‌ماهه سوم ۲۰۲۶، نهادهای نظارتی در سراسر جهان حدود ۴۵۰ هزار دلار جریمه برای ارائه‌دهندگان خدمات دارایی‌های مجازی به دلیل نقض قوانین صدور مجوز و پول‌شویی صادر کردند. با این حال، هیچ‌یک از نقص‌های مدیریت کلید یا پیکربندی که منجر به خسارات بزرگ شد، جریمه مستقیمی در پی نداشت.[1]

برای درک بهتر مقیاس این جریمه‌ها، گزارش هکن اشاره می‌کند که جریمه‌های صادر شده برای شرکت‌های رمزارزی در مقایسه با جریمه‌های مالی سنتی بسیار ناچیز است. به عنوان مثال، جریمه اخیر بانک یوبی‌اس به تنهایی ۲۸۰ برابر کل جریمه‌های اعمال شده بر صنعت رمزارز در این سه‌ماهه بود که نشان‌دهنده خلاء نظارتی در برخورد با سهل‌انگاری‌های امنیتی است.[1]

برای سرمایه‌گذاران خرد و نهادی، پیام این گزارش‌ها روشن است. ارزیابی ریسک یک پروژه رمزارزی باید شامل بررسی جامع زیرساخت‌های ذخیره‌سازی، ابزارهای شخص ثالث و سابقه تیم توسعه‌دهنده در اجرای سریع وصله‌های امنیتی باشد و تکیه صرف بر یک گزارش ممیزی قدیمی دیگر استراتژی قابل‌قبولی برای محافظت از سرمایه نیست.[2][5]