פריצת החומות של בייננס: סודות גניבת המיליונים

בעולם הכספים הדיגיטליים, שבו מיליארדים זזים דרך אלגוריתמים שקטים שאינם ישנים לעולם, נראתה פלטפורמת בייננס במשך שנים רבות כמו מבצר בלתי חדיר המוגן על ידי ההצפנות המורכבות ביותר בהיסטוריה המודרנית. עם זאת, המבצר הענק הזה ספג שתי מכות היסטוריות שחשפו את הפנים הנסתרות של מלחמת המוחות במרחב הקיברנטי, והסירו את הלוט מעל פרטים מדהימים של שני מעשי שוד דיגיטליים שבהם לא נעשה שימוש במסכות או בכלי נשק חמים, אלא בשורות קוד זדוניות ובסבלנות אסטרטגית ארוכת טווח שהפכו את שני האירועים הללו לחומר גלם מרתק לחקירות הפליליות הדיגיטליות המורכבות ביותר בעולם.

הפרקים הראשונים של הסיפור החלו ב-7 במאי 2019, במדויק בשעה 17:17 לפי שעון גריניץ', כאשר צפارات האזעקה השקטות החלו לפעול בחדרי הבקרה הביטחוניים של הפלטפורמה לאחר רישום של עברה אחת חריגה בבלוק מספר 575,012 ברשת הביטקוין. עברה זו לא הייתה סתם העברה רגילה, אלא דימום ישיר של ארנק חם של הפלטפורמה המחובר לאינטרנט, שממנו יצאו 7,074 מטבעות ביטקוין ברגע אחד - סכום שהיה שווה באותו זמן ליותר מ-40 מיליון דולר אמריקאי. בעקבות זאת, החלו חוקרים להעלות שאלות רבות לגבי האופן שבו הצליחו התוקפים לעקוף את חומות האש המרובות מבלי לעורר את חשדם של מערכות ניהול הסיכון, וזאת עד לאחר מעשה ולאחר שהכסף כבר יצא בפועל לרשת הציבורית.

חקירות פליליות מעמיקות שבוצעו על ידי צוותי אבטחת הסייבר בשיתוף עם חברות מעקב אחר בלוקצ'יין כמו Chainalysis ו-CypherTrace חשפו כי המבצע לא היה פרי המקרה, אלא תוצאה של חודשים ארוכים של עבודה מודיעינית מדויקת שבוצעה על ידי קבוצת האקרים מקצועית שטביעות האצבע הטכנולוגיות שלהן הצטלבו עם קבוצות פשע מאורגן בינלאומיות, ובראשן קבוצת לזארוס צפון קוריאנית הידועה בהתפרצותה לתשתיות פיננסיות. התוקפים הסתמכו על אסטרטגיית מורכבות משולבת של פישינג ממוקד, תוכנות זדוניות והנדסה חברתית. הם שתלו וירוסים מתקדמים במכשירים של משתמשים בעלי איתנות פיננסית גבוהה, והצליחו בסבלנות רבה לגנוב את מפתחות ממשקי התכנות (API) למסחר אוטומטי, לצד קודי אימות דו-שלבי ופרטי התחברות פעילים. במקום למשוך את הכסף בודדים ולעורר את חשד המערכת, ההאקרים המתינו בצל עד שאספו את שלל המפתחות הדיגיטליים שלהם, ואז הוציאו פקודות משיכה סימולטניות ומתוזמנות בדיוק רב בשברירי שנייה. הדבר הונה את האלגוריתמים האבטחיים וגרם לו לסווג את הפעילות כפעילות טבעית, לפני שהתגלה שהארנק החם רוקן מתוכנו שהיווה כ-2% מסך עתודות הביטקוין של הפלטפורמה.

באותו לילה קשה, בזמן שהעולם המתין לגורלה של הפלטפורמה הגדולה בעולם, התקיימו מאחורי הקלעים דיונים סודיים ורגישים ביותר שרובם לא דלפו החוצה אלא בשלב מאוחר יותר. צ'אנגפנג ז'או, המייסד והמנכ"ל של הפלטפורמה, העלה בהתייעצות עם קבוצת מפתחי ביטקוין בולטים כמו ג'רמי רובין רעיון חסר תקדים שעניינו ארגון מחדש של בלוקצ'יין הביטקוין, או מה שידוע טכנית כארגון מחדש (Reorg). התוכנית כללה שכנוע של הכורים הגדולים בעולם להתעלם מהבלוק שהכיל את העסקה הגנובה ולבנות שרשרת חלופית בתמורה למתן חלק מהכסף המושב כעמלות מתגמלות – צעד שהיה בו כדי לבטל את הגניבה כאילו מעולם לא התרח tercera. עם זאת, הדיונים הסוערים שנמשכו עד שעות הבוקר המוקדמות הסתיימו בנסיגת הנהלת הפלטפורמה מאפשרות רדיקלית זו לאחר שהבינה שמניפולציה בהיסטוריית העסקאות תהרוס את היסוד המרכזי שעליו בנויים מטבעות קריפטוגרפיים, והוא חוסר היכולת לשנות רישומים. הפלטפורמה פנתה מיד להפעיל את קרן ההגנה על נכסים בטוחים למשתמשים, קרן חירום שהוקמה שנה לפני התקרית על ידי ניכוי של 10% מעמלות המסחר, כדי לפצות את כל הנפגעים במלואם מכספה הפרטי, בזמן שהחוקרים המשיכו לרדוף אחר ההאקרים שחילקו את הסכום הגנוב למאות ארנקים משניים והעבירו אותו דרך מערבלי מטבעות ידועים כמו ChipMixer כדי לטשטש את העקבות הפליליות, טרם סגירתו של מערבל זה מאוחר יותר במבצע בינלאומי משותף שהובל על ידי המשטרה האירופית ויורופול ובול-אופס של ה-FBI.

תקרית 2019 הייתה רק פרק ראשון, שכן בלילה של 6 באוקטובר 2022 אירעה המתקפה המסוכנת והגדולה ביותר בתולדות מערכת בייננס. הפעם, מתקפה זו לא כוונה לעבר ארנקי המשתמשים או סיסמאותיהם, אלא פגעה באופן אנוש בתשתית הגשר המקשר בין רשתות הפלטפורמה, הידוע בשם מרכז אסימוני הבלוקצ'יין החכם של בייננס. מהנדסי הרשת התעוררו לאסון דיגיטלי שהערך שלו עלה על 570 מיליון דולר. אולם האירווניה המדהימה שחשפו החקירות הראשוניות הייתה שהגנב לא בזז מטבעות שהיו קיימים מראש, אלא ניצל פגיעות מתמטית סמויה כדי להדפיס 2,000,000 מטבעות מהמטבע המרכזי של הפלטפורמה יש משום מקום והעביר אותם ישירות לארנקו הפרטי בשתי עסקאות עוקבות, כל אחת מהן בערך של 1,000,000 מטבעות.

דוחות טכניים מפורטים שפורסמו על ידי חברות ביקורת אבטחה כמו SlowMist ו-Harpen הראו שהמבצע היה מומחה מנוסה בהצפנה והנדסת חוזים חכמים, לאחר שגילה פגם מדויק בדרך שבה הגשר הדיגיטלי מוודא הוכחות עצי מירקל, ובמיוחד בספריות האימות המבוססות על מבנה קוסמוס ו-Tendermint. התוקף נעזר בעסקה ישנה ולגיטימית שנרשמה באוקטובר 2020 בבלוק מספר 110,217,401, ואז החדיר נתונים מזויפים לזנב העסקה הלגיטימית הזו תוך ניצול העובדה שאלגוריתם האימות הסתפק בבדיקת המסלול הראשוני של ההוכחה והתעלם מהבדיקה של מטענים נוספים שצורפו אליו. הודות לתעלול תכנותי מבריק זה, החוזה החכם של הגשר השתכנע שלתוקף יש יתרה ענקית השמורה בשרשרת האם, ולכן הוא הנפיק מיד 2,000,000 מטבעות חדשים ושלח אותם לכתובת הדיגיטלית שלו מבלי שיהיה להם שום כיסוי פיננסי אמיתי.

מיד עם קבלת השלל הענק, התוקף החל במרוץ קדחני נגד הזמן כדי להלבין הון ולהבריח אותו מחוץ לשליטת הפלטפורמה לפני שהתגלתה הפרצה. בדקות הראשונות פנה לפרוטוקול המימון המבוזר Venus, הפקיד בו 900,000 מטבעות כבטוחה פיננסית כדי ללוות בתמורה כ-147 מיליון דולר במטבעות יציבים, ואז החל לפזר את הנזילות הנותרת דרך גשרים דיגיטליים שונים כמו Stargate ו-Multichain כדי להבריח אותם לרשתות אחרות כמו Ethereum, Arbitrum, Polygon, Fantom ו-Avalanche. עם זאת, ערנות חדרי המבצעים והתגובה המהירה שלהם הפכו את הקערה על פיה על התוקף במחזה דרמטי שנדיר לראות בעולם הרשתות המבוזרות.

בתוך שעות ספורות מרגע גילוי התקלה, הנהלת הפלטפורמה ומפתחי הרשת קיבלו החלטה יוצאת דופן וחסרת תקדים. הם יצרו קשר דחוף עם 26 מאמתים המפוזרים ברחבי העולם המהווים את העצב המפעיל של הרשת, והוציאו פקודה קולקטיבית להשבית את רשת הבלוקצ'יין החכמה של בייננס לחלוטין ובאופן זמני, מה שהוביל לשיתוק תנועת העסקאות והקפאת הרשת ברגע הקריטי. תוצאה זו של המכה המונעת הייתה כליאה של יותר מ-430 מיליון דולר מן המטבעות הגנובים בתוך ארנקו של הפורץ עצמו, כך שהמיליונים האלו הפכו כהרף עין למספרים כלואים שאי אפשר להזיז או לעשות בהם דבר, בזמן שמאמציהם של חברות מטבעות יציבים והפלטפורמות המרכזיות השתלבו כדי לרדוף אחר הסכומים שהתוקף הצליח להבריח דרך הגשרים לפני הסגירה, ששווים הוערך בכ-127 מיליון דולר. חברת Tether מיהרה להכניס את כתובות הגנב לרשימה השחורה ולהקפיא מיליוני דולרים של המטבע היציב שלה ברשת Ethereum, וזירות המסחר הגדולות הלכו בעקבותיה וסגרו את כל הנתיבים בפני הארנקים החשודים.

כהשלמה לתהליך החזרת הכספים וניקוי הרשת מעקבות התוקפנות, המפתחים שיחררו עדכון תוכנה חירום המכונה פיצול מוראן הקשיח, שדרכו שוכתב קוד המקור של הרשת כדי לכלול את כתובות התוקף ברשימת החסימה הקבועה ולסגור את פרצת התוכנה במערכת אימות ההוכחות. אבל נותרה בעיה גדולה שהתגלמה ב-900,000 מטבעות הכלואים כבטוחה בתוך פרוטוקול Venus, שכן מכירתם בשוק הפתוח כדי לסלק את ההלוואות הייתה מובילה לקריסת מחירים הרסנית. כאן התערבה הפלטפורמה דרך מנגנון ממשלתי, והוצעה הצעה דחופה להצבעה שהעניקה לבייננס זכות בלעדית לחסל את הבטוחה הענקית הזו בהדרגה ובבטחה מוחלטת הרחק מתנודות השוק, לצד הזרמת נזילות במזומן לכיסוי החובות האבודים בתוך הפרוטוקול, במקביל לשימוש במנגנון השריפה האוטומטית להשמדת המטבעות המזויפים שהודפסו בליל הפריצה. בכך תמו פרקי מעשה השוד וההשבה המורכבים ביותר בתולדות הנכסים הדיגיטליים, מבלי שמשתמש אחד יאבד אפילו סנט אחד מחסכונותיו, כשהם משאירים מאחוריהם לקחים קשים שניסחו מחדש את סטנדרטים של אבטחת הסייבר בהנדסת גשרים פיננסיים מודרניים.

מאחורי הנתונים הרשמיים שפרסמה פלטפורמת בייננס בעקבות שתי הפריצות בשנים 2019 ו-2022, שוכנים קבצים מודיעיניים וטכניים שנשארו סודיים במשך שנים במסדרונות חדרי המבצעים הסגורים ומשרדי ה-FBI. מפרטים אלה מתגלה שמה שהופיע לעין הציבורית היה רק קצה הקרחון במלחמת צללים אמיתית שהתרחשה במחשכים.

הסודות הנסתרים הראשונים הללו חוזרים לתקופה של כ-14 חודשים טרם גניבת מאי 2019, ובמדויק במרץ וביולי 2018, אז הפלטפורמה חוותה את מה שמכונה בחוגי האבטחה "חזרת מבחן שקטה". באותה תקופה הצליחה קבוצה אלמונית לשתול תוכנות ריגול וגניבת מפתחות API של מספר סוחרים, אך במקום למשוך את הכסף ישירות, ההאקרים פנו לתעלול מסחר פיקטיבי: הם פתחו ארנקים משל עצמם וקנו כמויות ענק של מטבעות קריפטוגרפיים אלמוניים כמו Viacoin ו-Syscoin, ואז השתמשו בחשבונות הקורבנות הפרוצים כדי לקנות את אותם מטבעות במחירים אסטרונומיים בתוך שניות ספורות כדי להעלות את ערכם באופן מלאכותי באלפי מונים ולהרוויח רווחים מידיים. וכאשר ניסו למשוך את הרווחים, צפارات האזעקה האוטומטיות בפלטפורמה הופעלו וחשבונותיהם הוקפאו בטרם יצא דולר אחד. עם זאת, האסון האמיתי היה שהמוחות שמאחורי מתקפת 2019 למדו את כישלון זה בדייקנות רבה והבינו שאלגוריתמים של בייננס רגישים מאוד לתנודות מחירים בתוך השוק, אך סובלים מנקודה עיוורת אם מבוצעות פעולות משיכה ישירות וסימולטניות מהארנק החם מבלי לעבור דרך פלטפורמות המסחר הפנימי – הלקח שאפשר להם לבצע את מכתם הגדולה בהצלחה מלאה לאחר מכן.

חוטי הקונספירציה בשנת 2019 לא נעצרו בגבולות הגניבה הפיננסית, אלא בעקבותיהם הגיעה מספר שבועות לאחר מכן תקרית סחיטה מסתורית שזעזעה את יסודות ההנהלה הבכירה של הפלטפורמה. אדם שכינה את עצמו בשם "גארדיאן אם", ואחריו חשבון נוסף בשם "בנאטוף פלאטון", יצרו קשר בחשאי עם הנהלת בייננס ודרשו כופר של 300 מטבעות ביטקוין בתמורה לאי פרסום מאגר נתונים סודי הכולל 10,000 תמונות של מסמכי זהות ודרכונים השייכים למשתמשי הפלטפורמה בזמן שהם מחזיקים ניירות ועליהם כתוב השם של בייננס ותאריך היום. למרות שהפלטפורמה הודיעה בהמשך שמסמכים אלו נגנבו מחברת תיווך חיצונית שניהלה את אימות הזהויות בתחילת 2018, חוקרים פליליים קשרו בדיווחיהם הבלתי רשמיים בין הדלפות אלו לבין מתקפת מאי, בהעריכם שההאקרים השתמשו ברשימה המודלפת כדי לזהות את עשירי המשתמשים ובעלי החשבונות הגדולים בדיוק כירורגי, מה שהקל עליהם למקד אותם בהודעות פישינג אישיות מדויקות שהעניקו להם את מפתחות הכניסה לארנק החם.

אבל הסוד הגדול ביותר הקשור לזהות מבצעי מתקפת 2019 וגורל הכספים נותר קבור בתוך שרתי הצפנה עד ל-15 במרץ 2023, עת משטרת הפליטים הפדרלית הגרמנית, בשיתוף עם ה-FBI, ביצעה פשיטה בינלאומית שהביאה להחרמת שרתי מערבל המטבעות הידוע ChipMixer, והשתלטות על 7 טרה-בייט של נתונים סודיים שניהל גאון ההצפנה הוייטנאמי מין קוק נגוין, בעל דוקטורט בהנדסת אלקטרוניקה. לאחר פענוח הקופסה השחורה של המערבל, החוקרים הזדעזעו לגלות ש-40 מיליון הדולר שנגנבו מבייננס הולבנו באותם ערוצים וארנקים דיגיטליים ששימשו להלבנת כספים שנגנבו על ידי קבוצת לזארוס הצפון קוריאנית מגשר רונין והרמוני. גרוע מכך, הרישומים הציגו הצטלבות פיננסית עם ארנקים השייכים ליחידה הצבאית הרוסית מספר 26165, הידועה מודיעינית בשם Fancy Bear, מה שחשף את קיומו של שוק שחור משותף להלבנת הון המאגד את סוכנויות הביטחון והמודיעין הסייבר המסוכנות ביותר בעולם.

באשר לפריצה ההיסטורית לגשר בייננס באוקטובר 2022, הסוד הגדול ביותר שלה לא טמון בסכום שנגנב, אלא באסון העולמי שכמעט התרחש אלמלא חדר מבצעים סודי שהוקם בצללים. בזמן שהעולם עקב אחר חדשות הקפאת רשת בייננס, חוקר האבטחה הידוע בכינוי Samczsun, בשיתוף עם המהנדס הראשי של רשת קוסמוס איתן בוכמן, גילה שהפרצה שניצל הגנב כדי להדפיס 2,000,000 מטבעות לא הייתה שגיאת תוכנה ייחודית לבייננס לבדה, אלא פגם קטלני בספריית תוכנה מרכזית שעליה מסתמכות עשרות רשתות ופרויקטים גדולים הבנויים על מבנה קוסמוס ברחבי העולם. ברגע של אימה שקטה, המהנדסים הבינו שכל האקר שיקרא את קוד האירוע של בייננס יוכל מיד לשכפל את המתקפה ולגנוב מיליארדי דולרים מרשתות אחרות. בשל כך, הוקם חדר חירום מוצפן באמצעות אפליקציות תקשורת מהירות שכלל מפתחי רשת עולמיים בכירים, והם פעלו במרוץ קדחני במשך 72 שעות רצופות תחת חיסיון תקשורתי מוחלט כדי לתקן ולעדכן עשרות שרשראות דיגיטליות בעולם בטרם ייחשף הסוד הטכני של הפרצה שנרשמה בהמשך תחת הקוד הבינלאומי של פרצות קריטיות.

מן הפרטים הסודיים המשעשעים והמרתקים כאחד במהלך ליל מתקפת 2022, הוא שהגנב, למרות הגאונות העצומה שלו במתמטיקה ובהצפנה, ביצע טעות מטופשת באבטחה תפעולית שעות ספורות לפני תחילת המתקפה: הוא מימן את ארنקו הריק בסכום של 100 מטבעות בייננס כדי לשלם עמלות עסקאות ראשונות דרך פלטפורמת המרה מיידית בשם ChangeNOW, מתוך אמונה שהיא אינה שומרת רישומי משתמשים. עם זאת, הפלטפורמה רשמה את טביעות האצבע הדיגיטליות של המכשירים וכתובות ההתקשרות – חוט נסתר שנמסר בהמשך לרשויות אכיפת החוק הבינלאומיות. כמו כן, ניתוחי בלוקים חשפו שהגנב עצמו נשדד תוך כדי בריחתו, כאשר אלגוריתמי המסחר האוטומטיים המהירים במיוחד, הידועים כבוטים של ערך ניצול (MEV), קלטו את תנועותיו האקראיות בזמן שניסה להחליף את המטבעות הגנובים במחירים לא מאוזנים בזירות המבוזרות, והבוטים הללו חטפו מיליוני דולרים מידיו בשברירי שנייה מבלי לדעת שהם גונבים מגנב.

הפרק האחרון של הסודות הנסתרים התרחש במלואו 8 חודשים מלאים לאחר המתקפה, ובמדויק ביוני 2023, כאשר 900,000 המטבעות שהשאיר התוקף כבטוחה בתוך פרוטוקול Venus הפכו לפбом מתקתק שאיים להרוס את שוק הקריפטו כולו. החוזים החכמים תוכנתו לחסל את הבטוחה הזו באופן אוטומטי ולמכור אותה בשוק הפתוח אם מחיר מטבע בייננס ירד ל-220 דולר. כאשר קרנות גידור וספקולנטים גדולים בוול סטריט ובאסיה למדו על המחיר הסודי הזה, הם פתחו במתקפת ספקולציה אכזרית דרך עסקאות מכירה בחסר כדי לדחוף את מחיר המטבע לעבר התהום ולפוצץ את הפחם כדי להשיג רווחים פנטסטיים מהקריסה. בלילה של 11 ביוני המחיר אכן ירד כדי לגעת במחסום 220 הדולרים, אך האסון לא התרחש. התברר שצוות בייננס הכין מארב נגדי בסתר דרך שינוי תוכנתי שאפשר לארנק מיוחד וממומן בחשאי בלמעלה מ-60 מיליון דולר במטבעות יציבים להתערב בשבריר שנייה כדי לבלוע את ההלוואה במלואה ולסלק את חובות הגנב מחוץ לשוק הפתוח. בכך סוכל מנוע המניפולציה הפיננסית הגדול ביותר שנועד לנצל את שאריות הפשע הדיגיטלי הגדול בהיסטוריה.