یک حمله هکری می‌تواند در چند دقیقه اعتماد کاربران به یک صرافی ارز دیجیتال را زیر سوال ببرد، اما چطور می‌توان فهمید یک پلتفرم تا چه اندازه از دارایی کاربران محافظت می‌کند؟ شناخت روش‌های حمله در وب 3 و بررسی شواهدی مانند اثبات ذخایر (Proof of Reserves) و گزارش‌های امنیتی، به شما کمک می‌کند با دید بازتری وضعیت امنیت صرافی‌ها را برای معاملات فیوچرز و اسپات ارزیابی کنید.
حملات هکری اخیر چه درس‌هایی برای کاربران ارز دیجیتال دارند؟
بررسی حملات واقعی نشان می‌دهد که هکرها همیشه مستقیما به شبکه بلاکچین حمله نمی‌کنند. گاهی دسترسی به زیرساخت‌های جانبی، کارکنان یا ابزارهای احراز هویت می‌تواند مسیر سرقت دارایی‌ها را باز کند.
حمله به Binance در اکتبر ۲۰۲۶؛ اهمیت امنیت زیرساخت داخلی
یکی از رویدادهای مهم امنیتی اخیر، حمله گزارش‌شده به صرافی Binance در ۲۹ اکتبر ۲۰۲۶ بود. طبق گزارش اولیه منتشرشده در وبلاگ رسمی این صرافی در ۳ نوامبر، مهاجمان با دسترسی غیرمجاز به سرویس داخلی امضای تراکنش کیف پول توانستند خارج از فرایند معمول برداشت، انتقال دارایی انجام دهند.
در این حمله، کیف پول‌های گرم Binance در چند شبکه هدف قرار گرفتند. مهاجمان همچنین از سازوکار EIP-7702 برای ایجاد مجوز اجرای غیرمجاز روی یکی از کیف پول‌ها استفاده کردند.
بایننس در گزارش خود ارزش دارایی‌های تحت تاثیر را حدود ۶.۳۴ میلیارد دلار اعلام کرد. این صرافی همچنین اعلام کرد که تا ۳۱ اکتبر، ۹۸ درصد دارایی‌های توکن‌شده آسیب‌دیده را جایگزین کرده و ذخایر لازم برای پوشش خسارت را بیش از ۱۰۰ درصد تامین کرده است.
درس امنیتی این حمله:
حتی استفاده از فناوری‌هایی مانند MPC برای مدیریت کلیدها، به‌تنهایی مانع همه حملات نمی‌شود. کنترل مجوزهای امضا، امنیت دستگاه‌های کارکنان، نظارت بر تراکنش‌ها و امکان لغو دسترسی‌های غیرمجاز باید در کنار یکدیگر قرار بگیرند.
حمله به پل KelpDAO؛ خطر زیرساخت‌های انتقال بین زنجیره‌ای
در ۱۸ آوریل ۲۰۲۶، پروتکل KelpDAO با حمله‌ای به زیرساخت پل انتقال دارایی LayerZero مواجه شد. طبق تحلیل شرکت Chainalysis، مهاجمان با دستکاری گره‌های RPC داخلی و مختل‌کردن دسترسی به گره‌های خارجی، داده‌های نادرستی به سیستم تایید پیام‌های بین‌زنجیره‌ای رساندند.
در نتیجه، قرارداد مقصد تصور کرد توکن‌ها در زنجیره مبدا سوزانده شده‌اند و اجازه آزادسازی دارایی‌ها را صادر کرد؛ اما چنین اتفاقی رخ نداده بود. ارزش دارایی‌های خارج‌شده حدود ۲۹۲ میلیون دلار برآورد شد.
درس امنیتی این حمله:
امنیت یک پل بلاکچینی فقط به قرارداد هوشمند آن وابسته نیست. اعتبارسنج‌ها، گره‌های RPC و سازوکار تایید پیام‌ها نیز باید به‌صورت مستقل بررسی شوند. هرچه تایید یک انتقال به یک نقطه متمرکز وابسته‌تر باشد، احتمال ایجاد نقطه شکست واحد بیشتر می‌شود.
امنیت در وب 3 چه معنایی دارد و چرا اهمیت دارد؟
وب 3 بر پایه فناوری‌هایی مانند بلاکچین، قراردادهای هوشمند، کیف پول‌های غیرامانی و برنامه‌های غیرمتمرکز (DApp) شکل گرفته است. در این ساختار، کاربران کنترل بیشتری بر دارایی‌ها و اطلاعات خود دارند؛ اما این ویژگی به معنای حذف ریسک‌های امنیتی نیست.
برخلاف تصور رایج، امنیت بلاکچین با امنیت تمام سرویس‌هایی که روی آن فعالیت می‌کنند یکسان نیست. ممکن است شبکه بلاکچین بدون مشکل کار کند، اما یک قرارداد هوشمند، پل انتقال دارایی یا زیرساخت نگهداری کلیدهای خصوصی مورد حمله قرار بگیرد.
برای مثال، امنیت یک پلتفرم ارز دیجیتال به عوامل مختلف زیر وابسته است:
- امنیت کیف پول‌ها و نحوه نگهداری کلیدهای خصوصی
- کنترل دسترسی کارکنان و سیستم‌های داخلی
- بررسی امنیت قراردادهای هوشمند و APIها
- شناسایی تراکنش‌های غیرعادی و حملات سایبری
- امکان بررسی مستقل ذخایر و دارایی‌های کاربران
- سرعت واکنش تیم امنیتی هنگام شناسایی حمله
چگونه امنیت یک صرافی ارز دیجیتال را ارزیابی کنیم؟
برای بررسی امنیت یک صرافی، بهتر است به‌جای تکیه بر تبلیغات یا رتبه‌بندی‌های عمومی، چند معیار قابل بررسی را کنار یکدیگر قرار دهید.
۱- بررسی Proof of Reserves یا اثبات ذخایر
اثبات ذخایر (Proof of Reserves) گزارشی است که نشان می‌دهد صرافی چه میزان دارایی در اختیار دارد و آیا این دارایی‌ها برای پوشش موجودی کاربران کافی هستند یا خیر. در بسیاری از روش‌های اثبات ذخایر، از ساختار درخت مرکل (Merkle Tree) استفاده می‌شود. این ساختار به کاربران اجازه می‌دهد بررسی کنند که موجودی حسابشان در مجموعه اطلاعات ارائه‌شده توسط صرافی لحاظ شده است یا خیر.
۲- بررسی حسابرسی امنیتی و تست نفوذ
حسابرسی امنیتی باید توسط مجموعه‌ای مستقل انجام شود و دامنه بررسی آن مشخص باشد. برای مثال، ممیزی یک قرارداد هوشمند با تست نفوذ وب‌سایت و API تفاوت دارد.
هنگام مطالعه گزارش امنیتی به این موارد توجه کنید:
- نام شرکت حسابرس و تاریخ انجام بررسی
- بخش‌هایی از پلتفرم که مورد آزمایش قرار گرفته‌اند
- تعداد و سطح اهمیت آسیب‌پذیری‌های شناسایی‌شده
- وضعیت اصلاح هر آسیب‌پذیری
- انتشار گزارش نهایی و امکان مشاهده جزئیات
وجود گزارش حسابرسی نشانه مثبتی از شفافیت است؛ اما نتیجه آن فقط درباره محدوده بررسی‌شده اعتبار دارد.
۳- نحوه نگهداری دارایی‌ها
کیف پول گرم به اینترنت متصل است و برای پردازش سریع تراکنش‌ها استفاده می‌شود. در مقابل، کیف پول سرد دارایی‌ها را به‌صورت آفلاین نگهداری می‌کند و معمولا در معرض برخی حملات آنلاین قرار نمی‌گیرد. هیچکدام به‌تنهایی امنیت کامل ایجاد نمی‌کنند. مدیریت مجوز برداشت، امضای چندمرحله‌ای، کنترل دسترسی و نظارت بر تراکنش‌ها نیز باید بررسی شوند.
۴- امنیت حساب کاربری
حتی اگر زیرساخت یک صرافی از نظر فنی مناسب باشد، حساب کاربر همچنان ممکن است از طریق فیشینگ یا سرقت اطلاعات ورود به خطر بیفتد. فعالسازی احراز هویت دومرحله‌ای، استفاده از رمز عبور اختصاصی، بررسی آدرس وب‌سایت و محدود کردن دسترسی API از اقدامات مهم برای کاهش این ریسک‌ها هستند.
امنیت Toobit؛ بررسی اثبات ذخایر و گزارش‌های امنیتی
صرافی توبیت (Toobit) برای نمایش شفافیت دارایی‌ها و وضعیت امنیتی خود، اطلاعاتی درباره اثبات ذخایر و بررسی‌های امنیتی منتشر کرده است. این اطلاعات دو جنبه متفاوت از امنیت صرافی را از جمله توانایی پوشش موجودی کاربران و وضعیت امنیت فنی زیرساخت پوشش می‌دهند.
وضعیت Proof of Reserves صرافی Toobit
طبق اطلاعات منتشرشده در صفحه رسمی اثبات ذخایر Toobit، این صرافی از ساختار Merkle Tree برای ارائه شواهد رمزنگاری‌شده درباره موجودی کاربران استفاده می‌کند. در این صفحه، نسبت ذخایر برخی دارایی‌ها در آخرین گزارش قابل مشاهده، مربوط به اول اکتبر ۲۰۲۶، به این شکل اعلام شده است:
|
دارایی |
نسبت ذخایر |
|
BTC |
۱۰۴٪ |
|
ETH |
۱۰۷٪ |
|
USDC |
۱۰۸٪ |
|
USDT |
۱۰۵٪ |
این نسبت‌ها نشان می‌دهند که ذخایر اعلام‌شده برای دارایی‌های مورد بررسی، از مجموع موجودی کاربران بیشتر است. برای مثال، نسبت ۱۰۵ درصدی USDT به معنای اعلام ذخایری معادل ۱۰۵ درصد تعهدات مربوط به این دارایی است.
همچنین توبیت (Toobit) امکانات زیر را برای بررسی مستقل اطلاعات فراهم کرده است:
- نمایش هش Merkle Root برای بررسی اطلاعات ثبت‌شده
- ابزار خود ارزیابی موجودی حساب کاربران
- انتشار کد متن‌باز برای بررسی فنی
- اعلام انجام ممیزی‌های دوره‌ای ماهانه
کاربران می‌توانند با ورود به توبیت (Toobit) و مراجعه به صفحه Proof of Reserves صرافی، گزارش‌ها و ابزارهای اعتبارسنجی را مشاهده کنند.
گزارش تست نفوذ Toobit توسط Hacken
یکی دیگر از اطلاعات عمومی قابل بررسی درباره امنیت Toobit، گزارش تست نفوذ منتشرشده توسط شرکت امنیت بلاکچین Hacken است. طبق گزارش نهایی منتشرشده در ۱۷ اوت ۲۰۲۶، بررسی امنیتی روی وب‌اپلیکیشن و APIهای Toobit انجام شده است. خلاصه گزارش شامل ۱۹ یافته امنیتی است.
|
وضعیت یا سطح یافته |
تعداد |
|
کل یافته‌ها |
۱۹ |
|
موارد رفع‌شده |
۷ |
|
موارد پذیرفته‌شده |
۱۲ |
|
موارد با شدت متوسط |
۵ |
|
موارد با شدت پایین |
۹ |
|
موارد مشاهده‌ای |
۵ |
نکته مهم:
نتایج تست نفوذ Hacken را می‌توان یک نشانه مثبت در ارزیابی امنیت Toobit دانست. شناسایی نشدن آسیب‌پذیری‌های بحرانی و سطح بالا و رفع تمام موارد با شدت متوسط، نشان می‌دهد این صرافی بخشی از ضعف‌های فنی شناسایی‌شده را برطرف کرده است.
کاربران ایرانی چگونه ریسک امنیتی حساب خود را کاهش دهند؟
حتی انتخاب یک پلتفرم با گزارش‌های امنیتی قابل بررسی، تمام مسئولیت حفاظت از حساب را از بین نمی‌برد. بخشی از امنیت دارایی به رفتار خود کاربر وابسته است.
برای کاهش احتمال سرقت دارایی می‌توانید اقدامات زیر را انجام دهید:
- برای حساب صرافی رمز عبور منحصربه‌فرد و طولانی انتخاب کنید.
- احراز هویت دومرحله‌ای را فعال کنید.
- لینک ورود را از منابع غیررسمی باز نکنید.
- کدهای بازیابی و اطلاعات ورود را در اختیار دیگران قرار ندهید.
- دسترسی API را فقط به امکانات مورد نیاز محدود کنید.
- آدرس کیف پول مقصد و شبکه انتقال را قبل از برداشت ارزیابی کنید.
- گزارش ورودها و تراکنش‌های حساب را به‌صورت دوره‌ای بررسی کنید.
- برای نگهداری بلند مدت، ریسک نگهداری دارایی در کیف پول صرافی و گزینه‌های خودمانی را بشناسید.
کاربران ایرانی علاوه بر این موارد باید شرایط احراز هویت، محدودیت‌های جغرافیایی و قوانین استفاده از صرافی را نیز بررسی کنند. وجود امکان ثبت‌نام یا دسترسی به وب‌سایت لزوما به معنای پشتیبانی رسمی از کاربران ساکن ایران نیست.
کلام آخر
حملات هکری اخیر نشان می‌دهند که امنیت در وب 3 فقط به فناوری بلاکچین یا رمزنگاری محدود نمی‌شود. ضعف در زیرساخت داخلی، مدیریت دسترسی‌ها، پل‌های انتقال دارایی و حتی حساب کاربری کارکنان می‌تواند زمینه‌ساز سرقت دارایی شود.
برای ارزیابی یک صرافی، بهتر است چند معیار را هم‌زمان بررسی کنید: گزارش‌های Proof of Reserves، امکان اعتبارسنجی مستقل موجودی، حسابرسی‌های امنیتی، وضعیت اصلاح آسیب‌پذیری‌ها و شفافیت پلتفرم هنگام وقوع حادثه.
