آسیب‌پذیری Bnb Chain: کارمند سابق عبارت بازیابی را حفظ کرده و توکن ASTEROID را منتشر کرد

آسیب‌پذیری BNB Chain در مدیریت کلیدها منجر به راه‌اندازی توکن ASTEROID شد: کارمند سابق دسترسی به عبارت بازیابی کیف پولی را حفظ کرده بود که قبلاً در ویدیوی آموزشی درباره ایجاد توکن‌ها استفاده شده بود.

تیم BNB Chain یک مشکل جدی امنیتی را در آدرس ایجاد شده برای اهداف نمایشی شناسایی کرد. این کیف پول در حین آماده‌سازی ویدیوی رسمی درباره راه‌اندازی میم‌کوین‌ها در BNB Chain ایجاد شد و آدرس آن در بلاکچین قابل مشاهده باقی ماند. به دلیل شفافیت شبکه، هر کاربری می‌توانست تاریخچه چنین آدرسی را بررسی کند.

چگونه کیف پول نمایشی به خطر برای BNB Chain تبدیل شد

در حین ضبط ویدیوی آموزشی، توسعه‌دهندگان از یک آدرس واقعی استفاده کردند. بعداً کارمندی که با ایجاد این کیف پول مرتبط بود، شرکت را ترک کرد اما دسترسی غیرمجاز به عبارت بازیابی را حفظ کرد. پس از آن، او یک کلید خصوصی جدید تولید کرد و توکن ASTEROID را منتشر کرد.

سرمایه‌گذاران متوجه شدند که توکن از آدرسی ایجاد شده که در ویدیوی رسمی BNB Chain ذکر شده بود. این برای بخشی از بازار نشانه‌ای از اعتماد شد: شرکت‌کنندگان تصمیم گرفتند که این پروژه ممکن است با تیم شبکه مرتبط باشد و شروع به خرید فعال این دارایی کردند.

در اکوسیستم Binance، چنین حوادثی به‌ویژه حساس هستند: BNB Chain، BNB Smart Chain (پلتفرم بلاکچین) و BSC به‌طور مکرر توسط کاربران به‌عنوان بخشی از یک بازار بزرگ کریپتو درک می‌شوند، جایی که شهرت آدرس می‌تواند بر تصمیمات سرمایه‌گذاران به اندازه بیانیه‌های رسمی تأثیر بگذارد.

ASTEROID به‌طور ناگهانی افزایش یافت و سپس پس از بیانیه تیم سقوط کرد

تحولات حول ASTEROID به سرعت پیش رفت:

• راه‌اندازی توکن: در چهار ساعت اول، ارزش بازار به نزدیک ۱۰ میلیون دلار رسید و حجم معاملات از ۲۰.۵ میلیون دلار فراتر رفت.
• بیانیه BNB Chain: تیم به‌طور عمومی اعلام کرد که هیچ ارتباطی با توکن ندارد، انتشار آن را تأیید نکرده و پروژه را کنترل نمی‌کند.
• پس از بیانیه: ASTEROID ۵۲.۵۹٪ از ارزش خود را از دست داد و ارزش بازار در حدود ۲۰ دقیقه به ۳ میلیون دلار کاهش یافت.

این برای بازار یادآوری دیگری بود: در بخش کریپتو، یک تطابق آدرس با یک پروژه شناخته شده کافی نیست تا دارایی را قابل اعتماد بدانند.

ریسک‌های مشابه تنها برای BNB مهم نیستند. شبکه‌های بلاکچینی، از جمله Ethereum، برای بررسی تراکنش‌ها باز هستند، اما این شفافیت در دو طرف عمل می‌کند: کاربران می‌توانند فعالیت‌های گذشته آدرس را ببینند و مهاجمان قادر به ردیابی کیف پول‌های قدیمی هستند که هنوز هم به‌نظر مهم می‌رسند.

چه چیزی درباره BNB Chain مهم است

BNB Chain --- پلتفرم بلاکچینی برای راه‌اندازی برنامه‌های غیرمتمرکز، قراردادهای هوشمند و توکن‌ها است. این شبکه برای انتقالات، خدمات DeFi، NFT، بازی‌ها و میم‌کوین‌ها استفاده می‌شود؛ توکن اصلی اکوسیستم --- BNB است. این توکن برای پرداخت هزینه‌ها، کار با برنامه‌ها و شرکت در فعالیت‌های شبکه ضروری است.

نقاط قوت BNB Chain معمولاً شامل موارد زیر است:

• تراکنش‌های سریع و هزینه‌های پایین.
• سازگاری با EVM که انتقال برنامه‌ها از اکوسیستم Ethereum را آسان می‌کند.
• مقیاس‌پذیری برای خدمات و توکن‌های انبوه.

حفاظت از BNB Chain بر اساس چندین سطح ساخته شده است: حسابرسی‌های قراردادهای هوشمند، برنامه‌های باگ باونتی، نظارت بر تراکنش‌ها و به‌روزرسانی‌های منظم پروتکل. کاربران باید عبارت‌های بازیابی را به‌صورت آفلاین ذخیره کنند، از عکاسی از آن‌ها خودداری کنند، آدرس‌ها را قبل از انتقال بررسی کنند و در صورت امکان از کیف پول‌های سخت‌افزاری استفاده کنند.

گزارش‌ها و به‌روزرسانی‌های امنیتی BNB Chain معمولاً در وب‌سایت رسمی BNB Chain، مخازن GitHub، وبلاگ‌های پروژه و مطالب حسابرسان خارجی منتشر می‌شوند.

چرا عبارت بازیابی خطرناک‌تر از دسترسی شرکتی معمولی است

در شرکت‌های فین‌تک، اخراج یک کارمند معمولاً با مسدودسازی سریع دسترسی همراه است: چت‌های شرکتی Slack، سرورهای ابری و مخازن کد قطع می‌شوند. برای این کار از سیستم‌های مدیریت شناسایی و دسترسی، معروف به IAM، استفاده می‌شود.

با کیف پول‌های کریپتو این موضوع پیچیده‌تر است. اگر فردی کلید خصوصی یا عبارت بازیابی را حفظ کرده باشد، نمی‌توان آن‌ها را به سادگی مانند رمز عبور یک سرویس لغو کرد. این دسترسی تا زمانی که وجوه یا اختیارات به آدرس مربوطه متصل باشد، فعال باقی می‌ماند.

به همین دلیل است که کیف پول‌های شرکتی قدیمی می‌توانند حتی پس از تغییرات پرسنلی نقطه ضعف باشند. شفافیت بلاکچین به تحلیل تراکنش‌ها کمک می‌کند، اما در عین حال به جستجوی آدرس‌های فعال مرتبط با پروژه‌ها، توکن‌ها و تیم‌های شناخته شده اجازه می‌دهد.

برای دارندگان ارزهای دیجیتال، این یک درس جهانی است، چه BNB، بیت‌کوین یا دارایی دیگری.

ریسک‌های مربوط به عبارت‌های بازیابی در تمام بخش کریپتو مورد بحث قرار می‌گیرد. کاربران باید چندین تهدید را در نظر بگیرند:

• هک‌های مستقیم.
• نشت از طریق تصاویر.
• نشت از طریق نسخه‌های پشتیبان.
• نشت از طریق دستگاه‌های قدیمی.
• استفاده از ابزارهای امنیتی و سیگنال‌های داخلی، از جمله TenArmorAler و DLMC.

موارد اخیر نشان می‌دهد که مهاجمان قبلاً یاد گرفته‌اند که عبارت‌های بازیابی را حتی از اسکرین‌شات‌ها و گالری‌های تصاویر در دستگاه‌های iOS و Android استخراج کنند. بنابراین، ذخیره عبارت به‌صورت عکس یا یادداشت، کیف پول را به هدفی آسان تبدیل می‌کند.