تصور کنید صبح اپلیکیشن صرافی را باز می‌کنید و می‌بینید برداشت‌ها «موقتا» متوقف شده و چند ساعت بعد اطلاعیه‌ای درباره «حادثه امنیتی» منتشر می‌شود. هک صرافی یعنی مهاجم به کیف پول‌ها یا زیرساخت یک صرافی متمرکز دسترسی پیدا کند و دارایی‌ها را خارج کند. در این حالت سرنوشت دارایی کاربران به ذخایر و تصمیم خود صرافی بستگی دارد و پول سرقتی ممکن است بین آدرس‌های زیاد، شبکه‌های مختلف و دارایی‌های دیگر پخش شود؛ FBI در پرونده هک بای بیت از پخش شدن وجوه بین هزاران آدرس در چند بلاکچین خبر داد. همین پول ممکن است چند دست بچرخد و در یک معامله P2P به کیف پول شما برسد. این مقاله مسیر بعد از هک را مرحله به مرحله توضیح می‌دهد و نشان می‌دهد کاربر کجا در معرض ریسک است.
هک صرافی چیست و معمولا از کجا شروع می‌شود
صرافی متمرکز دارایی کاربران را در کیف پول‌هایی نگه می‌دارد که کلیدشان در اختیار خود صرافی است. بخشی از این دارایی در «کیف پول داغ» (hot wallet) است که به اینترنت متصل است تا برداشت‌ها سریع انجام شود، و بخش بزرگ‌تر معمولا در کیف پول سرد یا آفلاین. بیشتر هک صرافی‌ها از نقطه‌ای شروع می‌شوند که به کلید یا فرایند امضای تراکنش نزدیک است.
الگوهای رایج حمله:
- فیشینگ و بدافزار علیه کارکنان: مهاجم با پیام یا فایل آلوده به سیستم کسی دسترسی می‌گیرد که مجوز امضا یا دسترسی به سرور دارد.
- نفوذ به کیف پول داغ: چون این کیف پول آنلاین است، اولین هدف است.
- دست‌کاری فرایند امضا: امضاکنندگان تصور می‌کنند تراکنش عادی را تایید می‌کنند، در حالی که مقصد یا منطق تراکنش تغییر کرده است.
- سرقت کلید API و کد دو مرحله‌ای کاربران: در این حالت حساب‌های کاربران، نه کیف پول صرافی، هدف قرار می‌گیرد.
یک نمونه مستند، هک صرافی بایننس در سال ۲۰۱۹ است. این صرافی در اطلاعیه رسمی ۷ مه ۲۰۱۹ اعلام کرد مهاجمان با روش‌هایی مثل فیشینگ و ویروس، کلیدهای API و کدهای دو مرحله‌ای کاربران را به دست آورده و ۷۰۰۰ بیت‌کوین را در یک تراکنش از کیف پول داغ بیت‌کوین خارج کرده‌اند. طبق همان اطلاعیه، این کیف پول حدود ۲ درصد کل بیت‌کوین صرافی را نگه می‌داشت.
بعد از هک چه اتفاقی برای دارایی کاربران می‌افتد
معمولا ترتیب اتفاقات این است:
- توقف برداشت و گاهی واریز: صرافی برای بررسی سیستم‌ها و جلوگیری از خروج بیشتر، برداشت را می‌بندد. بایننس در همان حادثه اعلام کرد واریز و برداشت در دوره بررسی امنیتی، که حدود یک هفته تخمین زده شد، متوقف می‌ماند اما معاملات باز است تا کاربران بتوانند موقعیت‌هایشان را تنظیم کنند.
- اطلاعیه رسمی: دامنه حادثه، دارایی‌های آسیب‌دیده و برنامه جبران اعلام می‌شود. اطلاعیه‌های اولیه گاهی ناقص است و به‌روز می‌شود.
- جبران یا عدم جبران: اگر صرافی ذخیره یا صندوق اضطراری داشته باشد، ممکن است زیان را پوشش دهد. بایننس اعلام کرد زیان را از صندوق SAFU به طور کامل پوشش می‌دهد و دارایی کاربران آسیب نمی‌بیند. اما این تصمیم هر صرافی است و تضمینی برای همه وجود ندارد.
برای کاربر ایرانی یک نکته واقعی اضافه هم هست: کسی که در صرافی خارجی حساب دارد، اگر حسابش در جریان بررسی‌های بعد از هک محدود شود، ممکن است راه پیگیری محدودتری نسبت به کاربران کشورهای دیگر داشته باشد. در صرافی داخلی هم روند جبران به سیاست همان صرافی بستگی دارد.
پول سرقتی کجا می‌رود: میکسر، پل و صرافی‌های دیگر
مهاجم معمولا سعی می‌کند سریع عمل کند، چون تاخیر فرصت شناسایی و مسدود شدن آدرس‌ها را بیشتر می‌کند. الگوی رایج:
- پخش کردن بین آدرس‌های زیاد: مبلغ بزرگ به ده‌ها یا هزاران آدرس تقسیم می‌شود تا ردیابی سخت‌تر شود.
- تبدیل دارایی: توکن‌هایی که قابل فریز هستند، مثل تتر، سریع به دارایی‌های دیگر تبدیل می‌شوند.
- پل‌های بین شبکه‌ای: انتقال به بلاکچین دیگر، زنجیره ردیابی را چندتکه می‌کند.
- میکسرها: ورود به میکسر تلاش می‌کند ارتباط ورودی و خروجی را بشکند. درباره کارکرد و محدودیت آن‌ها در مقاله میکسرها و ردیابی منبع وجوه بیشتر توضیح داده‌ایم.
- نقد کردن: در نهایت بخشی از پول از طریق صرافی‌ها، کارگزاران OTC یا معاملات P2P به پول نقد تبدیل می‌شود.
هک صرافی بای بیت نمونه روشنی از همین الگوست. FBI در اطلاعیه عمومی ۲۶ فوریه ۲۰۲۵ اعلام کرد کره شمالی مسئول سرقت حدود ۱.۵ میلیارد دلار دارایی مجازی از بای بیت در حدود ۲۱ فوریه ۲۰۲۵ بوده و این فعالیت را TraderTraitor نامید. طبق این اطلاعیه، مهاجمان بخشی از دارایی‌ها را به بیت‌کوین و دارایی‌های دیگر تبدیل کرده و آن‌ها را بین هزاران آدرس در چند بلاکچین پخش کرده‌اند و انتظار می‌رود این دارایی‌ها بیشتر پولشویی و در نهایت به پول رایج تبدیل شوند. FBI همچنین فهرستی از آدرس‌های اتریوم مرتبط را منتشر کرد.
فریز تتر سرقتی و محدودیت‌های آن
تتر یک استیبل‌کوین متمرکز است و صادرکننده آن می‌تواند آدرس مشخصی را در لیست سیاه قرار دهد. وقتی آدرسی فریز شود، تتر موجود در آن قابل انتقال نیست. به همین دلیل بعد از برخی هک‌ها بخشی از تتر سرقتی فریز می‌شود. اما این ابزار محدودیت‌های جدی دارد:
- فقط تتر را شامل می‌شود: اگر مهاجم قبل از فریز، تتر را به دارایی دیگری تبدیل کرده باشد، فریز روی آن اثری ندارد.
- سرعت مهم است: فریز بعد از شناسایی آدرس انجام می‌شود و مهاجم در این فاصله می‌تواند پول را جابه‌جا کند.
- ممکن است به گیرنده بعدی برسد: اگر تتر سرقتی چند دست چرخیده باشد، فریز ممکن است روی آدرسی اعمال شود که صاحبش از منشا پول خبر نداشته است.
برای آشنایی بیشتر با سازوکار فریز، مقاله فریز USDT چیست و چرا اتفاق می‌افتد را بخوانید.
خطر دریافت ناخواسته پول سرقتی در معاملات P2P
FBI در همان اطلاعیه از اپراتورهای نود RPC، صرافی‌ها، پل‌ها، سرویس‌های دیفای و دیگر ارائه‌دهندگان خدمات دارایی مجازی خواسته تراکنش‌هایی را که با آدرس‌های مهاجمان انجام شده یا از آن‌ها «مشتق» شده‌اند مسدود کنند. یعنی ریسک فقط برای آدرس مستقیم هکر نیست؛ پولی که چند مرحله بعد از آن آدرس آمده هم ممکن است در صرافی مقصد زیر سوال برود.
یک مثال ساده: فروشنده‌ای در یک گروه تلگرامی تتر را کمی ارزان‌تر از بازار می‌فروشد. شما خرید می‌کنید و تتر به کیف پولتان می‌رسد. اگر این تتر چند مرحله قبل از آدرس‌های مرتبط با هک صرافی آمده باشد، ممکن است:
- آدرس فروشنده یا آدرس‌های میانی فریز شوند و تتر شما هم در معرض همین خطر باشد؛
- هنگام واریز به صرافی، واریز شما برای بررسی نگه داشته شود یا حساب محدود شود؛
- کیف پول شما در گزارش‌های ریسک، به دلیل ارتباط با منبع سرقتی، پرخطر دیده شود.
نشانه‌های هشدار در این معاملات را در مقاله کلاهبرداری تتر در معاملات P2P مرور کرده‌ایم.
کاربر صرافی برای کم کردن ریسک چه کند
| موقعیت | اقدام پیشنهادی |
|---|---|
| نگهداری دارایی در صرافی | فقط مقداری را در صرافی نگه دارید که برای معامله لازم دارید؛ بقیه را در کیف پولی نگه دارید که کلیدش با خودتان است. |
| امنیت حساب | ورود دو مرحله‌ای با اپلیکیشن، کلید API با کمترین دسترسی و بدون مجوز برداشت، و لیست سفید آدرس برداشت. |
| خبر هک یک صرافی | فقط به اطلاعیه کانال رسمی صرافی اعتماد کنید؛ پیام‌ها و لینک‌های «بازگرداندن دارایی» در این روزها اغلب فیشینگ است. |
| خرید P2P تتر | قبل از پرداخت، آدرس فرستنده را بررسی کنید و قیمت‌های بسیار پایین‌تر از بازار را هشدار بدانید. |
| قبل از واریز به صرافی | ریسک کیف پول مبدا را بسنجید؛ راهنمای بررسی قبل از واریز به صرافی را ببینید. |
SafeON آدرس کیف پول را بررسی می‌کند و امتیاز ریسک ۰ تا ۱۰۰ را همراه با دلایل آن نشان می‌دهد؛ از جمله وضعیت فریز تتر، ارتباط با آدرس‌های تحریم‌شده OFAC، و مسیر ورود وجوه در چند مرحله از منابعی مانند میکسرها، وجوه سرقتی و کلاهبرداری. SafeON پول سرقتی یا فریزشده را بازیابی یا آزاد نمی‌کند و فقط ریسک و ارتباط یک آدرس با این منابع را نشان می‌دهد. بررسی ریسک کیف پول در SafeON
سؤالات متداول
اگر صرافی هک شود پول کاربران برمی‌گردد؟
تضمینی وجود ندارد. بعضی صرافی‌ها از ذخایر یا صندوق اضطراری زیان را پوشش می‌دهند، مثل بایننس در سال ۲۰۱۹، اما این به توان مالی و تصمیم هر صرافی بستگی دارد. اطلاعیه رسمی صرافی مرجع اصلی است.
چطور بفهمم صرافی من هک شده است؟
توقف ناگهانی برداشت بدون اطلاع قبلی، اطلاعیه «حادثه امنیتی» یا «تعمیرات اضطراری» و خبرهایی که در کانال‌های رسمی صرافی تایید شوند نشانه‌های اصلی‌اند. فقط به کانال رسمی اعتماد کنید و روی لینک‌های ناشناس کلیک نکنید.
آیا ممکن است تتر سرقتی از هک صرافی به کیف پول من برسد؟
بله. پول سرقتی بین آدرس‌های زیادی پخش می‌شود و ممکن است از طریق فروشندگان P2P یا واسطه‌ها به دست کاربران عادی برسد. بررسی آدرس فرستنده پیش از معامله این ریسک را کم می‌کند، هرچند آن را صفر نمی‌کند.
نگهداری تتر در صرافی امن‌تر است یا در کیف پول شخصی؟
هر کدام ریسک خودش را دارد. در صرافی، ریسک هک و محدودیت حساب با صرافی است؛ در کیف پول شخصی، حفاظت از عبارت بازیابی و دستگاه با خودتان است. بسیاری از کاربران مقدار لازم برای معامله را در صرافی و بقیه را در کیف پول شخصی نگه می‌دارند.