Binance हैक: 6.3 अरब डॉलर बिना मंज़ूरी के निकल गए। आपके हस्ताक्षर के बिना आपकी कंपनी का पैसा कौन भेज सकता है?

अगर आप मानते हैं कि आपके हस्ताक्षर के बिना आपकी कंपनी के खाते से कोई भी ट्रांसफ़र नहीं निकलता, तो Binance हैक इस धारणा को आज ही परखने का अच्छा कारण है। 29 अक्टूबर 2026 की शाम दुनिया के सबसे बड़े क्रिप्टो एक्सचेंज Binance के वॉलेट से लगभग 6.3 अरब डॉलर अनधिकृत निकासी के ज़रिए निकल गए, जिनमें से ज़्यादातर लगभग 20 मिनट में निकले। एक्सचेंज के को-सीईओ ने कहा कि ऑपरेशन का एक हिस्सा सामान्य मंज़ूरी नियंत्रणों से नहीं गुज़रा। आपके कारोबार के लिए सबक का क्रिप्टो से कोई लेना-देना नहीं है: हर उस रास्ते की सूची बनाइए जिससे पैसा भेजा जा सकता है या किसी लाभार्थी का खाता बदला जा सकता है, और हर रास्ते के लिए दो लोग, दो डिवाइस और ऐसा लॉग ज़रूरी कीजिए जिसे कोई मिटा न सके।

Binance में क्या हुआ, आँकड़ों में

Binance द्वारा 30 अक्टूबर को जारी दूसरे आधिकारिक अपडेट के अनुसार, उसके हॉट वॉलेट, यानी इंटरनेट से जुड़े वे वॉलेट जिनसे ग्राहकों की निकासी होती है, लगभग 20:05 UTC पर हैक हुए और नुकसान लगभग 6.3 अरब डॉलर का रहा। एक्सचेंज ने निकासी रोक दी, बताया कि साझेदारों की मदद से लगभग 3 अरब डॉलर ब्लॉकचेन पर फ़्रीज़ किए गए, और नुकसान की भरपाई के लिए अपने 6.34 अरब डॉलर से ज़्यादा के फ़ंड अलग रखे, जिनमें से 5 अरब ठीक उन्हीं टोकनों में रखे हैं जो चोरी हुए, यानी रकम का लगभग 80%। लक्ष्य उस अपडेट के लगभग 34 घंटे के भीतर चरणों में निकासी फिर शुरू करने और 2 नवंबर तक प्रूफ़-ऑफ़-रिज़र्व रिपोर्ट जारी करने का था।

TRM Labs के ब्लॉकचेन डेटा विश्लेषण से अहम ब्योरे सामने आते हैं: फ़ंड 10 नेटवर्क पर निकले, तैयारी चोरी से कम से कम 36 घंटे पहले शुरू हुई, हमलावर ने इस्तेमाल से पहले टूल का किसी दूसरे वॉलेट पर अभ्यास किया, और पहले से हस्ताक्षरित 50 ऑथराइज़ेशन तैयार रखे ताकि अमल के समय उनमें से कोई एक मान्य हो। TRM कुल रकम 6.36 अरब डॉलर आँकता है, जो फ़रवरी 2025 के 1.5 अरब डॉलर वाले Bybit हैक का लगभग चार गुना है। TRM और Elliptic इस हमले को उत्तर कोरिया से जुड़े समूह TraderTraitor से जोड़ते हैं, हालाँकि Elliptic का कहना है कि अभी तक किसी सरकार ने इस आरोपण की पुष्टि नहीं की है।

Binance ने हमले के तरीके के बारे में क्या कहा

शुरुआती जाँच में एक DevOps इंजीनियर के हैक हुए लैपटॉप की ओर इशारा किया गया, जिससे हमलावर एक सर्विस कंटेनर तक पहुँच सका और अनधिकृत निकासी लेनदेन भेज सका। बाद में एक्सचेंज ने कहा कि आगे की जाँच में घुसपैठ के और बिंदु मिले हैं, और उसे अपने वॉलेट की निजी कुंजियाँ लीक होने का कोई सबूत नहीं मिला। को-सीईओ ने कहा कि हमला किसी एक व्यक्ति ने नहीं किया, हमलावर ने ऐसा सेल्फ़-डिस्ट्रक्ट तंत्र इस्तेमाल किया जो काम करते-करते टूल और निशान मिटाता गया, और Ethereum पर इस्तेमाल हुआ डेलिगेशन Binance के सामान्य मंज़ूरी नियंत्रणों से नहीं गुज़रा।

सीधे शब्दों में: हमलावर ने तिजोरी नहीं तोड़ी। उसने Binance के अपने सिस्टम से ट्रांसफ़र पर हस्ताक्षर करवा लिए। TRM के आकलन में सबसे संभावित व्याख्या यह है कि हमलावर को सिग्नेचर सिस्टम से अपनी पसंद के लेनदेन पर, अलग-अलग नेटवर्क और अलग-अलग कुंजियों के साथ, लगभग आधे घंटे में हस्ताक्षर करवाने की क्षमता मिल गई।

यह उस कंपनी के लिए क्यों मायने रखता है जिसके पास एक भी क्रिप्टो नहीं

क्योंकि हर कंपनी इस सिग्नेचर सिस्टम का छोटा रूप चलाती है: बैंक का कॉर्पोरेट पोर्टल, वह भुगतान फ़ाइल जिसे अकाउंटेंट अकाउंटिंग सिस्टम से निकालकर बैंक में अपलोड करता है, वह स्क्रीन जहाँ किसी सप्लायर के बैंक विवरण बदले जाते हैं, आपके पेमेंट गेटवे में रिफ़ंड की अनुमति, हर महीने की पेरोल फ़ाइल। मालिक के रूप में आप आधिकारिक मंज़ूरी का रास्ता देखते हैं, पहले अनुरोध, फिर मैनेजर, फिर वित्त, लेकिन हमलावर साइड रास्ता ढूँढता है: अपने-आप फ़ाइलें अपलोड करने वाला सिस्टम खाता, IBAN बदल सकने वाला IT एडमिन, या किसी बाहरी सेवा प्रदाता के पास ऐसी इंटीग्रेशन कुंजी जो ट्रांसफ़र कर सके।

दो सबक और हैं। पहला है रफ़्तार: ज़्यादातर पैसा लगभग 20 मिनट में निकल गया, और कोई भी कर्मचारी हाथ से इस रफ़्तार की बराबरी नहीं कर सकता, इसलिए सुरक्षा ऐसी सीमाओं और अलर्ट पर टिकी होनी चाहिए जो अपने-आप काम करें। दूसरा है तैयारी: हमलावर ने 36 घंटे पहले से तैयारी की और टूल को परखा, यानी नज़र रखने वाले के लिए शुरुआती संकेत मौजूद थे। हमने पहले लिखा था कि कैसे काम के लैपटॉप पर एक मुफ़्त स्ट्रीमिंग साइट आपकी कंपनी के पासवर्ड हमलावरों को सौंप सकती है, और जिसके पास अनुमतियाँ हैं उसका डिवाइस कंपनी का सबसे क़ीमती निशाना है।

इस हफ़्ते अपनी कंपनी में क्या जाँचें

• पैसा निकलने के हर रास्ते का नक्शा बनाइए: हर उस व्यक्ति और हर उस सिस्टम को लिखिए जो ट्रांसफ़र शुरू कर सकता है, उसे मंज़ूर कर सकता है, किसी लाभार्थी का खाता बदल सकता है या रिफ़ंड जारी कर सकता है, जिसमें सिस्टम खाते, इंटीग्रेशन कुंजियाँ और बाहरी सेवा प्रदाता शामिल हैं।
• हर ट्रांसफ़र के लिए दो लोग और दो डिवाइस: जो ट्रांसफ़र दर्ज करता है वह उसे मंज़ूर नहीं करता, और मंज़ूरी दूसरे डिवाइस से होती है। यही आवश्यक साइबर सुरक्षा नियंत्रणों में कर्तव्यों के पृथक्करण का सिद्धांत है: किसी काम को पूरा करने के लिए एक से ज़्यादा व्यक्ति चाहिए, और हर एक के पास अलग अनुमतियाँ हों। इसे ऐसे मंज़ूरी मैट्रिक्स से जोड़िए जो तय करे कि कौन किस पर हस्ताक्षर करता है।
• सीमाएँ और तुरंत अलर्ट: अपने बैंक से दैनिक ट्रांसफ़र सीमा माँगिए, और हर बड़े ट्रांसफ़र पर तथा जब भी कोई लाभार्थी जोड़ा या बदला जाए, मालिक के फ़ोन पर तुरंत अलर्ट।
• ज़रूरत भर की एडमिन अनुमतियाँ: हर रिमोट लॉगिन और हर विशेषाधिकार वाले खाते के लिए मल्टी-फ़ैक्टर ऑथेंटिकेशन चालू कीजिए, इन अनुमतियों वाले लोगों की सूची की नियमित समीक्षा कीजिए, और पूर्व कर्मचारियों तथा काम पूरा कर चुके सेवा प्रदाताओं के खाते हटाइए।
• ऐसा लॉग जिसे हमलावर मिटा न सके: Binance के हमलावर ने काम करते-करते निशान मिटाए। विशेषाधिकार वाले खातों और रिमोट एक्सेस के लिए इवेंट लॉग चालू कीजिए, उसकी एक प्रति सिस्टम के बाहर रखिए, और नियंत्रणों की माँग के अनुसार उसे कम से कम 12 महीने सँभालकर रखिए।
• पहले कुछ मिनटों की योजना: तय कीजिए कि ट्रांसफ़र रुकवाने के लिए बैंक को कौन फ़ोन करेगा, संदिग्ध खाते को कौन बंद करेगा, और आपातकालीन नंबर कहाँ हैं। Binance मामले में Tether ने सबसे बड़ी निकासी के 37 मिनट बाद हमलावर का मुख्य प्राप्ति वॉलेट फ़्रीज़ कर दिया, और इसी तेज़ी ने पैसे का बड़ा हिस्सा बचाया।

सऊदी नियंत्रण क्या कहते हैं?

राष्ट्रीय साइबर सुरक्षा प्राधिकरण (NCA) द्वारा जारी आवश्यक साइबर सुरक्षा नियंत्रण ECC-2:2024 सरकारी एजेंसियों और उनसे जुड़ी संस्थाओं के लिए, और उन निजी क्षेत्र की संस्थाओं के लिए अनिवार्य हैं जो महत्वपूर्ण राष्ट्रीय अवसंरचना की मालिक हैं, उसे चलाती हैं या होस्ट करती हैं, और NCA राज्य की बाकी सभी संस्थाओं को भी इनका उपयोग करने के लिए पुरज़ोर प्रोत्साहित करता है। ये सीधे Binance के सबकों से मेल खाते हैं: रिमोट एक्सेस और विशेषाधिकार वाले खातों के लिए मल्टी-फ़ैक्टर ऑथेंटिकेशन (2-2-3-2), जानने की ज़रूरत, न्यूनतम विशेषाधिकार और कर्तव्यों के पृथक्करण के सिद्धांत (2-2-3-3), विशेषाधिकार प्राप्त एक्सेस का प्रबंधन (2-2-3-4), पहचानों और एक्सेस अधिकारों की समय-समय पर समीक्षा (2-2-3-5), और विशेषाधिकार वाले खातों तथा रिमोट एक्सेस के इवेंट लॉग, जिनकी लगातार निगरानी हो और जिन्हें कम से कम 12 महीने रखा जाए (2-12-3)।

Origami का नज़रिया

हम Binance हैक को क्रिप्टो का नहीं, बल्कि मंज़ूरी के रास्तों का सबक मानते हैं। ज़्यादातर कंपनियाँ आधिकारिक रास्ते के लिए मंज़ूरी डिज़ाइन करती हैं और साइड रास्ते भूल जाती हैं: भुगतान फ़ाइल अपलोड करने वाला सिस्टम खाता, IBAN बदल सकने वाला यूज़र, अमल कर सकने वाली इंटीग्रेशन कुंजी। यही साइड रास्ते हमलावर सबसे पहले ढूँढता है।

जब हम पैसे से जुड़ा कोई कस्टम सिस्टम बनाते हैं, जैसे ख़रीद चक्र का सिस्टम या सप्लायर भुगतान पोर्टल, तो हम सलाह देते हैं कि मंज़ूरी पहले दिन से ही डिज़ाइन का हिस्सा हो: दर्ज करने और मंज़ूर करने के लिए दो अलग लोग, रकम की सीमाएँ, और लाभार्थी डेटा में हर बदलाव का लॉग। अगर आपको कस्टम सिस्टम के बजाय तैयार अकाउंटिंग सिस्टम चाहिए, तो Fahim देखिए।

निष्कर्ष

अब तक दर्ज सबसे बड़ी क्रिप्टो चोरी से सीखने के लिए आपको क्रिप्टो वॉलेट की ज़रूरत नहीं है। इस हफ़्ते अपने अकाउंटेंट और IT प्रमुख के साथ दो घंटे निकालिए: पैसा निकलने के हर रास्ते को लिखिए, दर्ज करने और मंज़ूरी को दो डिवाइस पर बाँटिए, बैंक से सीमाएँ और अलर्ट माँगिए, देखिए कि एडमिन अधिकार किसके पास हैं, और लॉग को सिस्टम चलाने वालों की पहुँच से दूर रखिए। अगर आप अपने सिस्टम में मंज़ूरी के रास्तों की समीक्षा चाहते हैं, तो हमसे संपर्क करें या हमारी सेवाएँ देखें।

स्रोत

• Binance — Security Incident Update #2, 30 अक्टूबर 2026: घुसपैठ का समय, रकम, फ़्रीज़ और अलग रखे गए फ़ंड, निकासी दोबारा शुरू करने का लक्ष्य और प्रूफ़-ऑफ़-रिज़र्व रिपोर्ट।
• TRM Labs — North Korea Steals USD 6.36 Billion From Binance in the Largest Hack in History, 29 अक्टूबर 2026: दस नेटवर्क, चोरी की अवधि, तैयारी, 50 ऑथराइज़ेशन और Tether द्वारा फ़्रीज़।
• Elliptic — The largest theft in history, 30 अक्टूबर 2026, 31 अक्टूबर को अपडेट: मंज़ूरी नियंत्रणों और सेल्फ़-डिस्ट्रक्ट तंत्र पर Binance के बयान, और आरोपण की स्थिति।
• National Cybersecurity Authority — Essential Cybersecurity Controls ECC-2:2024: दायरा और नियंत्रण 2-2-3 तथा 2-12-3।
• BBC News — Crypto giant Binance attempting to recover $6.3bn stolen in hack linked to North Korea, 30 अक्टूबर 2026: घुसपैठ के अतिरिक्त बिंदुओं पर को-सीईओ के बयान।