بر اساس اعلام Chainalysis و Elliptic، یک واکنش هماهنگ شامل صادرکنندگان استیبل‌کوین، نهادهای مجری قانون ایالات متحده، شرکت‌های تحلیل بلاکچین، شبکه‌ها و پلتفرم‌های معاملاتی، در عرض چند روز پس از حمله حدود ۲.۸ تا ۳ میلیارد دلار از دارایی‌های کریپتویی مرتبط با سرقت گزارش‌شده ۶.۳ میلیارد دلاری بایننس را مسدود یا توقیف کرد.
این واکنش بر استیبل‌کوین‌ها متمرکز بود، جایی که صادرکنندگان می‌توانند آدرس‌ها را در فهرست سیاه قرار دهند و انتقال‌ها را متوقف کنند. تتر بیش از ۱.۵۶۷ میلیارد USDT را مسدود کرد، در حالی که سیرکل حدود ۸۲۳ میلیون دلار USDC را مسدود کرد و بدین ترتیب بیش از ۲.۳ میلیارد دلار از دارایی‌های استیبل‌کوین سرقت‌شده را از دسترس مهاجم خارج کرد. Elliptic اعلام کرد مبلغ تأییدشده مسدود یا توقیف‌شده به حدود ۲.۸۵ میلیارد دلار رسید، در برابر کل زیان برآوردی ۶.۴۳ میلیارد دلار.
مقیاس این مداخله نشان می‌دهد تلاش‌های بازیابی به‌طور فزاینده‌ای به هماهنگی سریع در بلاکچین‌های عمومی وابسته‌اند، نه به کنترل‌های داخلی یک شرکت واحد. بخش زیادی از بقیه دارایی‌های کریپتویی سرقت‌شده شامل دارایی‌هایی مانند ETH و BTC بود که صادرکننده‌ای برای مسدودکردن مستقیم موجودی ندارند.
صادرکنندگان استیبل‌کوین در عرض چند دقیقه اقدام کردند
اقدام تتر بزرگ‌ترین بخش دارایی‌های مسدودشده را تشکیل داد. این شرکت انتقال‌های مرتبط با بیش از ۱.۵۶۷ میلیارد USDT را پس از رسیدن وجوه به آنچه ردیابی بلاکچین به‌عنوان کیف پول اصلی اتریوم مهاجم شناسایی کرد، مسدود کرد. گزارش‌های اولیه از مسدودسازی حدود ۱.۱۸ میلیارد USDT خبر دادند و ۱۷ دقیقه بعد اقدام دومی انجام شد که چهار آدرس مرتبط با مهاجم را تحت تأثیر قرار داد.
سیرکل بیش از ۸۰۰ میلیون دلار USDC مرتبط با همان حادثه را مسدود کرد و مجموع گزارش‌شده به حدود ۸۲۳ میلیون دلار رسید. بر اساس مطالب ارائه‌شده، اقدام USDC حدود سه دقیقه پس از نخستین مسدودسازی تتر انجام شد و با مجریان قانون هماهنگ بود.
مسدودسازی‌های USDT و USDC در مجموع حدود ۹۴٪ از استیبل‌کوین‌های شناسایی‌شده در میان دارایی‌های سرقت‌شده را پوشش داد و عمدتاً بر اتریوم و ترون متمرکز بود. این نتیجه محدودیت‌های عملی پیش روی مهاجمانی را نشان می‌دهد که استیبل‌کوین‌های با انتشار مرکزی را می‌دزدند: آن‌ها ممکن است کلیدهای خصوصی را کنترل کنند، اما به‌محض اینکه یک صادرکننده کیف پولی را در فهرست سیاه قرار دهد، قابلیت انتقال می‌تواند از بین برود.
FBI این عملیات را به TraderTraitor نسبت می‌دهد
واحد جرایم سایبری FBI در اطلاعیه عمومی مورخ ۳۱ اکتبر، این سرقت را به گروهی کره‌شمالی فعال تحت عنوان TraderTraitor نسبت داد. این دفتر بیش از ۶۰۰ آدرس اتریوم، نزدیک به ۲۰ آدرس بیت‌کوین و یک آدرس سولانا را مرتبط با این فعالیت شناسایی کرد.
پس از این انتساب، اف‌بی‌آی، سرویس مخفی آمریکا و تحقیقات جنایی سازمان امور مالیاتی آمریکا از ارائه‌دهندگان زیرساخت و کسب‌وکارهای رمزارزی خواستند تراکنش‌های مرتبط با کیف‌پول‌های فهرست‌شده و هر نشانی مرتبط را مسدود کنند. این درخواست شامل نودهای THORChain، اپراتورهای فراخوان رویه از راه دور یا RPC، سرویس‌های مبادله فوری، پروتکل‌های DeFi، شرکت‌های تحلیل بلاکچین و ارائه‌دهندگان خدمات دارایی مجازی می‌شد.
سرویس مخفی آمریکا گفت در عرض چند دقیقه پس از حادثه با فعالان صنعت در تماس بوده است. این نهاد همچنین گفت دادستان‌های فدرال در واشینگتن دی‌سی و ناحیه مرکزی کالیفرنیا همراه با بخش‌هایی از وزارت دادگستری در این موضوع مشارکت داشتند.
عملیات هکری کره شمالی بارها به مبادله‌های سریع دارایی، تراکنش‌های پل و شمار زیادی کیف‌پول تازه‌ساخته متکی بوده است تا ردیابی را دشوارتر کند. در این مورد، به نظر می‌رسد سرعت نخستین مسدودسازی‌ها مانع از عبور بخش قابل‌توجهی از موجودی استیبل‌کوین از این فرایند شده است.
ردیابی از صدها کیف‌پول به هزاران کیف‌پول گسترش یافت
شرکت‌های اطلاعات بلاکچین Elliptic، Chainalysis، TRM Labs و SlowMist داده‌های نشانی را گردآوری و جابه‌جایی دارایی‌های سرقت‌شده را رصد کردند. Elliptic یک فهرست سیاه قابل دانلود منتشر کرد که با دنبال‌کردن تراکنش‌ها از سوی بازرسان در کیف‌پول‌های جدید، از صدها نشانی به هزاران و بعداً ده‌ها هزار نشانی افزایش یافت.
Chainalysis گزارش داد که تا حدود ساعت ۱۱:۳۰ صبح به وقت شرقی در ۳ نوامبر، حدود ۲.۸ میلیارد دلار مسدود شده بود. این شرکت گفت بازرسان سرنخ‌ها را با شرکای صنعتی به اشتراک گذاشتند تا دارایی‌ها را شناسایی و مسدود کنند، و همزمان هشدار داد که استفاده مهاجم از هزاران نشانی ممکن است در هفته‌های بعد به ده‌ها هزار برسد.
TRM Labs گفت اطمینان بالایی به انتساب TraderTraitor دارد و به الگوهایی اشاره کرد که با نقض امنیتی Bybit در ۲۰۲۵ و پرونده KelpDAO در آوریل ۲۰۲۶ مقایسه کرده است. SlowMist توالی حمله‌ای را شامل EIP-7702 توصیف کرد؛ استانداردی در اتریوم که می‌تواند به یک حساب با مالکیت خارجی اجازه دهد به‌طور موقت از کد قرارداد هوشمند استفاده کند. به گفته SlowMist، مهاجم ساعت‌ها تمرین کرده بود پیش از آنکه این تکنیک را در یک سرقت دسته‌ای با هدف قرار دادن توکن‌های کیف‌پول داغ به کار ببرد.
حمله گزارش‌شده بزرگ‌ترین سرقت رمزارزی ثبت‌شده خواهد بود و بیش از چهار برابر از حدود ۱.۵ میلیارد دلاری که در فوریه ۲۰۲۵ از Bybit سرقت شد، فراتر می‌رود. این مقایسه همچنین نشان می‌دهد وقتی مهاجمان با میلیاردها دلار پخش‌شده در چند زنجیره و انواع دارایی شروع می‌کنند، چالش عملیاتی چقدر بزرگ‌تر می‌شود.
شبکه‌ها از اختیارات اضطراری حاکمیتی استفاده کردند
Arbitrum و Optimism از اقدامات اضطراری مبتنی بر حاکمیت استفاده کردند تا توکن‌ها را از آدرس‌های تحت کنترل مهاجم به کیف‌پول‌های فریز منتقل کنند. شورای امنیت Arbitrum در 30 اکتبر حدود 8,426 ETH و تقریباً 74.56 میلیون ARB را منتقل کرد؛ دارایی‌هایی به ارزش حدود 30.5 میلیون دلار در مطالب ارائه‌شده.
حاکمیت Optimism حدود 44 میلیون OP را جابه‌جا کرد که ارزشی نزدیک به 5 میلیون دلار داشت. این مداخلات در مجموع حدود 35 میلیون دلار بودند و نشان می‌دهند برخی شبکه‌های لایه ۲ می‌توانند زمانی که ساختارهای حاکمیتی کنترل‌های اضطراری را مجاز می‌کنند، مستقیم‌تر از شبکه‌های لایه پایه عمل کنند.
World Liberty Financial به‌طور جداگانه دارایی‌های مرتبط با حمله را فریز کرد، از جمله حدود 27 میلیون دلار در USD1 و دارایی‌هایی به ارزش تقریبی 2 میلیون دلار از WLFI. این سازمان گفت قصد دارد برای رسیدگی به دارایی‌های متأثر با BitGo همکاری کند.
چنین اقداماتی می‌توانند در جریان یک سرقت فعال از دارایی‌ها محافظت کنند، اما اختیار اضطراری را نیز در دست شوراهای امنیتی، رأی‌دهندگان حاکمیتی یا ناشران توکن قرار می‌دهند. این موازنه با طراحی دفاع‌های شبکه‌ها در برابر بهره‌برداری‌های گسترده، بیش‌ازپیش آشکار شده است.
پروتکل‌های DeFi وجوه وام‌گرفته‌شده را مهار کردند
مهاجم همچنین پیش از اعمال محدودیت‌های سطح پروتکل، از وجوه دزدیده‌شده در امور مالی غیرمتمرکز استفاده کرد. داده‌های زنجیره‌ای نشان داد حدود 60 میلیون USDT در Aave V3 واریز شد و سپس حدود 19,762 WETH وام گرفته شد که در آن زمان ارزشی برابر با حدود 44.6 میلیون دلار داشت.
Aave با توقف واریزها و استقراض‌های جدید در صدها ذخیره بازار تحت مدیریت DAO در V3 و V4 واکنش نشان داد. برداشت‌ها، بازپرداخت‌ها و لیکوییدیشن‌ها همچنان در دسترس ماندند و به کاربران امکان دادند موقعیت‌ها را کاهش دهند و سلامت بازارهای موجود را حفظ کنند، در حالی که مواجهه جدید مرتبط با وثیقه به‌خطرافتاده متوقف شد.
پلتفرم‌های متمرکز از جمله OKX، Coinbase و Bybit نیز در اقداماتی شرکت کردند که هدفشان رهگیری انتقال‌ها از کیف‌پول‌های به‌خطرافتاده بود. دارایی‌هایی که هنوز قابل جابه‌جایی هستند مسیر بازیابی دشوارتری را نشان می‌دهند، به‌ویژه اگر پیش از شناسایی به میزهای معاملات خارج از بورس، سرویس‌های میکسینگ یا خروجی‌های صرافی برسند.
گزارش شده است که مهاجم کنترل حدود 420,000 ETH و 18,270 BTC را حفظ کرده است؛ دارایی‌هایی که در مطالب ارائه‌شده ارزشی نزدیک به 2.4 میلیارد دلار دارند. برخلاف USDT، USDC و توکن‌های تحت کنترل حاکمیت، Bitcoin و Ether را نمی‌توان توسط ناشر توکن فریز کرد. بازیابی آن‌ها به ردیابی، توقیف دارایی‌ها یا شناسایی نقطه‌ای بستگی دارد که وجوه وارد سرویس تحت نظارتی شوند که مایل یا ملزم به اقدام باشد.
بیاموزید که صرافی‌ها چگونه پس از اکسپلویت‌های بزرگ از وجوه محافظت می‌کنند در این راهنمای بازیابی دقیق.
سلب مسئولیت: محتوای این صفحه صرفاً برای اهداف اطلاعاتی عمومی ارائه شده است و بیانگر دیدگاه‌ها یا مشاوره مالی Toobit نیست. ما هیچ تضمینی در مورد صحت یا کامل بودن این اطلاعات ارائه نمی‌دهیم و در قبال هرگونه خطا، حذف یا نتیجه‌ای که از استفاده از آن ناشی شود مسئولیتی نخواهیم داشت. سرمایه‌گذاری در دارایی‌های دیجیتال شامل ریسک است؛ کاربران باید وضعیت مالی خود و ریسک‌های مرتبط را به‌طور مستقل ارزیابی کنند. برای جزئیات بیشتر، لطفاً به موارد زیر مراجعه کنید: شرایط خدمات و افشای ریسک.
