هک نوبیتکس و پیامدهای آن
هک نوبیتکس چگونه اتفاق افتاد؟
۱. هک نوبیتکس (ژوئن ۲۰۲۵)
۱.۱ تاریخچه و میزان خسارت
تاریخ وقوع: ۲۸ خرداد ۱۴۰۴ (۱۸ ژوئن ۲۰۲۵)
میزان دارایی سرقتشده: حدود ۹۰ میلیون دلار
گروه مهاجم: «گنجشک درنده» (Predatory Sparrow)
۱.۲ نحوه انجام حمله
نفوذ به شبکه داخلی: مهاجمین با استفاده از روشهای مهندسی اجتماعی و بدافزار، به شبکهی داخلی نوبیتکس دسترسی یافتند.
سرقت کلیدهای خصوصی کیفپولهای داغ (Hot Wallet): کلیدهای خصوصی بهصورت ناامن روی سرورهای شرکت ذخیره شده بودند و مهاجمین توانستند آنها را استخراج کنند.
انتقال رمزارز: پس از در اختیار گرفتن کلیدها، حدود ۹۰ میلیون دلار رمزارز از کیفپولهای داغ خارج و به آدرسهای ناشناس منتقل شد.
انتشار اسناد داخلی: مهاجمین علاوه بر سرقت دارایی، کد منبع و مستندات داخلی صرافی را نیز افشا کردند که نشان از عمق نفوذ داشت.
۱.۳ پیامدها
توقف موقت خدمات: نوبیتکس فوراً برداشت و واریز را متوقف کرد و اپلیکیشن و وبسایت خود را آفلاین برد.
تعهد به جبران خسارت: صرافی اعلام کرد کاربران را از طریق منابع سرد (Cold Wallet) جبران خواهد کرد.
اقدامات نظارتی: نهادهای مرتبط در ایران تحقیقاتی را آغاز کردند و دستور به بازنگری کامل سیستمهای امنیتی دادند.
بازسازی امنیتی: نوبیتکس ساختار نگهداری کلیدها را به مدل چندامضایی (Multi‑Sig) و محیطهای ایزوله مبتنی بر HSM ارتقا داد.
۲. نگاهی به مهمترین هکهای صرافیهای رمزارز
۲.۱ Mt. Gox (۲۰۱۴)
در جریان بهرهبرداری از آسیبپذیری «تغییرپذیری تراکنش» (Transaction Malleability)، مهاجمین توانستند برداشتهای مکرر انجام دهند و در مجموع حدود ۶۵۰٬۰۰۰ بیتکوین معادل ۴۶۰ میلیون دلار سرقت کنند. نتیجهی این حادثه، ورشکستگی کامل صرافی و پیگرد قانونی مدیرعامل آن بود.
۲.2 Bitfinex (۲۰۱۶)
در این حمله که تقریباً ۱۲۰٬۰۰۰ بیتکوین سرقت شد، مهاجمین امنیت کیفپول چندامضایی (2‑of‑3) ارائهشده توسط BitGo را دور زدند. کاربران ۳۶٪ از داراییهای خود را بهطور موقت از دست دادند، اما سپس با توکنهای بازیابی BFX جبران شدند و به مرور زمان تسویه صورت گرفت.
۲.۳ Coincheck (۲۰۱۸)
مهاجمین با سرقت کلید خصوصی کیف داغ، ۵۲۳ میلیون توکن NEM (معادل ۵۳۴ میلیون دلار) را برداشت کردند. نهاد ناظر ژاپن (FSA) پس از این حادثه، مقررات سختتری برای نگهداری سرد رمزارزها وضع کرد و شرکت تحت مالکیت Monex Group قرار گرفت.
۲.۴ BitGrail (۲۰۱۸)
حدود ۱۷ میلیون XRB (نِانو) به ارزش ~۱۷۰ میلیون دلار به دلیل مدیریت ضعیف کیفپول داغ سرقت شد. پس از اعلان ورشکستگی، هزاران کاربر درخواست غرامت کردند و مباحث حقوقی متعددی شکل گرفت.
۲.۵ Binance (۲۰۱۹)
با استفاده از فیشینگ و بدافزار، مهاجمین کلیدهای API و 2FA کاربران را سرقت و ۷٬۰۰۰ بیتکوین (~۴۰ میلیون دلار) از کیفپول داغ برداشت کردند. Binance از صندوق بیمه داخلی SAFU برای جبران خسارت استفاده کرد و هیچ مشتریای متضرر نشد.
۲.۶ Upbit (۲۰۱۹)
گروه Lazarus پس از نفوذ به سیستم، ۳۴۲٬۰۰۰ اتر (~۵۰ میلیون دلار) برداشت کرد. Upbit با منابع داخلی وجوه کاربران را پوشش داد و پس از آن، پروتکلهای KYC و امنیتی خود را تقویت نمود.
۲.۷ KuCoin (۲۰۲۰)
در پی سرقت کلیدهای کیف داغ، حدود ۲۸۱ میلیون دلار انواع رمزارزها خارج شد. صرافی توانست با همکاری سایر پلتفرمها بیش از ۲۰۰ میلیون دلار را بازیابی و کاربران را جبران کند.
۲.۸ Liquid Global (۲۰۲۱)
مهاجمین با دور زدن سیستم MPC، ~۹۰ میلیون دلار از دارایی مشتریان برداشتند. Liquid با وام ۱۲۰ میلیون دلاری از FTX جبران خسارت نمود و بخش عمدهای از وجوه را بازپس گرفت.
۲.۹ BitMart (۲۰۲۱)
استفاده از یک کلید خصوصی مشترک برای دو کیفپول داغ، موجب برداشت ~۱۹۶ میلیون دلار شد. BitMart خسارت را از صندوق بیمه خود جبران کرد و به سرعت زیرساختهای امنیتیاش را بهبود داد.
۲.۱۰ DMM Bitcoin (۲۰۲۴)
گروه Lazarus با سرقت کلیدهای کیف داغ، حدود ۴,۵۰۲ بیتکوین (~۳۰۸ میلیون دلار) را برداشت کرد. این حادثه منجر به خروج DMM از کسبوکار صرافی در سال ۲۰۲۵ و انتقال مشتریان به SBI VC شد.
۲.۱۱ WazirX (۲۰۲۴)
با دستکاری قرارداد هوشمند چندامضایی، مهاجمین ₹۱,۹۰۰ کرور (≈۲۳۰ میلیون دلار) برداشت کردند. WazirX تحت نظارت شدیدتر باقی ماند و اعلام شد تمام کاربران جبران خواهند شد.
۲.۱۲ Bybit (۲۰۲۵)
با بهرهبرداری از یک نرمافزار ثالث و حملات فیشینگ، ~۱.۴ میلیارد دلار اتر سرقت شد. حادثه بزرگترین هک تاریخ صرافیها تا آن زمان بود و قوانین بینالمللی برای استانداردسازی امنیت صرافیها شدت گرفت.
۳. پیامدهای کلان حملات
زیان مالی گسترده: مجموع هکهای یادشده بیش از دهها میلیارد دلار بود.
کاهش اعتماد کاربران: هر حمله باعث ترک گروهی از سرمایهگذاران و فشار بر قیمت رمزارزها شد.
تقویت مقررات: پس از هکهای بزرگ، دولتها و نهادهای ناظر (مثل FSA ژاپن، SEC آمریکا) قوانین سختگیرانهتری برای ذخیره سرد، حسابرسیهای امنیتی و صندوق بیمه اجباری وضع کردند.
بهبود استانداردهای فنی: استفاده گسترده از HSM، سیستمهای MPC، کیفپولهای چندامضایی، و پروتکلهای امضای آستانه (Threshold Signature Schemes) افزایش یافت.
مجازات حقوقی: برخی مدیران صرافیها تحت پیگرد قرار گرفتند و جرایم سنگینی برای آنها ثبت شد.
۴. روشهای پیشگیری و افزایش امنیت
استفاده از کیفپول سرد (Cold Storage): نگهداری عمده دارایی در کیفپولهای آفلاین که به اینترنت متصل نیستند.
کیفپول چندامضایی (Multi‑Sig): توزیع کلیدها بین چند فرد یا سرویس مجزا؛ نیاز به تأیید چندین امضاکننده برای انتقال وجوه.
محافظت کلیدها با HSM: ذخیره و پردازش کلیدهای خصوصی در ماژول سختافزاری امن.
بازرسی و حسابرسی منظم: انجام آزمونهای نفوذ (Penetration Testing) و بررسی دورهای امنیتی توسط تیمهای مستقل.
ایمنسازی فرآیندهای DevOps: استفاده از محیطهای ایزوله برای توسعه و تست، اجتناب از ذخیره کلید در کد منبع.
آموزش کارکنان: آموزش مداوم در زمینه مهندسی اجتماعی، فیشینگ و شیوههای عملیاتی امن.
صندوق بیمه داخلی (SAFU): تخصیص بودجه مخصوص برای جبران خسارت احتمالی کاربران.
استفاده از تایید دو عاملی (2FA) قوی: بهویژه سختافزاری (مثل YubiKey) برای دسترسی به پنل مدیریت.
منابع
سوالات متداول
۱. هک صرافیها چطور روی قیمت رمزارزها تأثیر میگذارد؟
هک بزرگ معمولاً باعث ترس و فروش گسترده شده و قیمت را در کوتاهمدت کاهش میدهد؛ اما پس از جبران خسارت و بازگشت اعتماد، بازار میتواند احیا شود.
۲. چه تفاوتی بین کیفپول داغ و سرد وجود دارد؟
کیفپول داغ به اینترنت متصل است و برای معاملات روزمره مناسب است، اما مستعد هک است. کیفپول سرد آفلاین بوده و بیشترین امنیت را برای ذخیره بلندمدت فراهم میکند.
۳. آیا صرافیهای کوچک خطرناکتر هستند؟
بله، صرافیهای کوچک معمولاً بودجه و تخصص لازم برای امنیت سراسری را ندارند؛ بنابراین احتمال حمله و سرقت در آنها بیشتر است.
۴. چطور بفهمم صرافی مورد نظرم امن است؟
بررسی گزارشهای امنیتی، حسابرسیهای عمومی، استفاده از کیفپول سرد، و وجود صندوق بیمه عمومی از نشانههای صرافی امن هستند.
۵. آیا بیمهگرهای شخص ثالث برای رمزارز وجود دارد؟
تعدادی شرکت بیمهکننده رمزارز فعال هستند، اما پوشش آنها محدود و پرهزینه است. بهتر است خود صرافی صندوق بیمه داشته باشد.