حمله امنیتی بایننس در هفته گذشته، ویران‌کننده‌ترین حمله در تاریخ ارزهای دیجیتال بود. این حمله خطراتی را که صرافی‌ها و مشتریانی که به آنها اعتماد دارند، با دارایی‌های خود مواجه می‌کند، نمایان کرد.
این حادثه اکنون باعث شده است که مقامات کره جنوبی دوباره در مورد میزان پول مشتریانی که صرافی‌ها باید در ذخیره‌سازی آفلاین نگه‌دارند، تجدید نظر کنند. گزارش‌های اخیر نشان می‌دهد که بحث‌ها در حال انجام است تا الزامات موجود به طور قابل توجهی افزایش یابد.
قانون ذخیره‌سازی سرد
بر اساس گزارش News1، کمیسیون خدمات مالی نشستی اضطراری با صرافی‌های بزرگ دارایی‌های مجازی و شرکت‌های نگهداری برگزار کرد تا راه‌هایی برای تقویت حفاظت از دارایی‌ها بررسی کند. طبق قانون موجود حفاظت از کاربران دارایی‌های مجازی، صرافی‌ها ملزم به نگهداری حداقل 80٪ از دارایی‌های مشتریان در کیف پول‌های سرد هستند که از اینترنت جدا هستند، در حالی که بقیه می‌توانند در کیف پول‌های داغ برای تسهیل برداشت‌ها و سایر معاملات نگهداری شوند.
با این حال، مقامات اکنون در حال بحث در مورد این هستند که آیا حداقل باید به 99٪ نزدیک‌تر شود، سطحی که برخی از پلتفرم‌های بزرگ قبلاً حفظ می‌کنند.
تغییر پیشنهادی می‌تواند چالش‌های بزرگی ایجاد کند، به ویژه برای صرافی‌های کوچکی که ممکن است ظرفیت عملیاتی مشابهی با رقبای بزرگ‌تر نداشته باشند. اگرچه کیف پول‌های سرد حفاظت قوی‌تری در برابر حملات آنلاین ارائه می‌دهند، دسترسی به وجوه ذخیره‌شده در آنها شامل مراحل تأیید و امضای اضافی است. این بدان معناست که صرافی‌ها ممکن است پول کمتری برای پردازش برداشت‌های مشتریان به راحتی در دسترس داشته باشند.
نگرانی محدود به نارضایتی نیست.
در بازاری که قیمت‌های ارزهای دیجیتال بسیار نوسان دارد، تأخیر در برداشت‌ها می‌تواند مانع از حرکت سرمایه‌گذاران در زمان نیاز به فروش یا انتقال دارایی‌هایشان شود. اگر یک دارایی به سرعت در حال از دست دادن ارزش باشد، انتظار برای آزاد شدن وجوه از ذخیره‌سازی آفلاین می‌تواند سرمایه‌گذاران را در معرض ضررهای بیشتر قرار دهد.
هم‌اکنون نمونه‌ای از اینکه چگونه این می‌تواند اتفاق بیفتد وجود دارد. بithumb تأخیرهای برداشت حدود 13 ساعت برای برخی آلت‌کوین‌ها در ماه اوت تجربه کرد، زیرا موجودی‌های ناکافی کیف پول داغ مجبور شد صرافی را به انتقال دارایی‌های اضافی از ذخیره‌سازی سرد وادار کند.
پیوندهای ضعیف پشت سرقت
بیش از 6.3 میلیارد دلار ارز دیجیتال در حمله بایننس دزدیده شد، که FBI آن را به گروه هکری TraderTraitor مرتبط با کره شمالی نسبت داده است. پیونگ‌یانگ مسئولیت را رد کرده است. کیم یو جونگ، مدیر بخش کمیته مرکزی حزب کارگران کره شمالی، ادعاهای واشنگتن را به عنوان انگیزه سیاسی رد کرد.
این حادثه همچنین باعث شده است که نحوه تأمین امنیت سیستم‌های داخلی صرافی‌ها مورد بررسی قرار گیرد. بنیان‌گذار CoinEx، هایپو یانگ، به عنوان مثال، سه نقطه ضعف امنیتی در بایننس را شناسایی کرد که به عقیده او می‌توانست از آنها جلوگیری شود. اول، او گفت که صرافی به درستی محیط‌های توسعه و عملیات خود را «ایزوله» نکرده است. کارکنانی که به سیستم‌های تولید دسترسی دارند باید از ماشین‌های اختصاصی استفاده کنند، با کدنویسی، پیام‌رسانی و مرور وب که بر روی دستگاه‌های جداگانه نگهداری می‌شود.
نگرانی دوم او عدم وجود احراز هویت دو مرحله‌ای معنادار برای دسترسی به تولید بود. این مدیر گفت که یک کلید compromised کافی بود تا به یک مهاجم دسترسی به سیستم‌های زنده بدهد. یانگ پیشنهاد کرد از AWS Session Manager با کلیدهای امنیتی سخت‌افزاری استفاده شود تا اطمینان حاصل شود که یک اعتبار دزدیده شده کافی نخواهد بود.
سؤالاتی نیز در مورد تنظیمات امنیتی چندامضایی بایننس مطرح شد. یانگ اشاره کرد که طرف‌های مختلف در تأیید معاملات به طور مستقل آنها را تأیید نمی‌کردند. او گفت که این هدف داشتن چند امضا کننده را نقض می‌کند، زیرا نفوذ به یک گره می‌تواند کل سیستم را در معرض خطر قرار دهد.