اگر آپ سمجھتے ہیں کہ آپ کے دستخط کے بغیر آپ کی کمپنی کے اکاؤنٹ سے کوئی منتقلی نہیں نکلتی، تو Binance ہیک اس یقین کو آج ہی پرکھنے کی اچھی وجہ ہے۔ 29 اکتوبر 2026 کی شام دنیا کے سب سے بڑے کرپٹو ایکسچینج Binance کے والیٹس سے تقریباً 6.3 ارب ڈالر غیر مجاز نکاسی کے ذریعے نکل گئے، جن میں سے زیادہ تر تقریباً 20 منٹ میں نکلے۔ ایکسچینج کے شریک سی ای او نے کہا کہ آپریشن کا ایک حصہ معمول کے منظوری کنٹرولز سے نہیں گزرا۔ آپ کے کاروبار کے لیے سبق کا کرپٹو سے کوئی تعلق نہیں: ہر اس راستے کی فہرست بنائیں جس سے پیسہ منتقل ہو سکتا ہے یا کسی وصول کنندہ کا اکاؤنٹ بدلا جا سکتا ہے، اور ہر راستے کے لیے دو افراد، دو آلات اور ایسا لاگ لازمی بنائیں جسے کوئی مٹا نہ سکے۔

Binance میں کیا ہوا، اعداد و شمار میں

Binance کی جانب سے 30 اکتوبر کو جاری کی گئی دوسری سرکاری اپ ڈیٹ کے مطابق، اس کے ہاٹ والیٹس، یعنی انٹرنیٹ سے جڑے وہ والیٹس جن سے صارفین کی نکاسی ہوتی ہے، تقریباً 20:05 UTC پر ہیک ہوئے اور نقصان تقریباً 6.3 ارب ڈالر رہا۔ ایکسچینج نے نکاسی روک دی، بتایا کہ شراکت داروں کی مدد سے تقریباً 3 ارب ڈالر بلاک چین پر منجمد کیے گئے، اور نقصان پورا کرنے کے لیے اپنے 6.34 ارب ڈالر سے زیادہ فنڈز الگ کیے، جن میں سے 5 ارب بالکل انہی ٹوکنز میں رکھے گئے ہیں جو چوری ہوئے، یعنی رقم کا تقریباً 80%۔ ہدف یہ تھا کہ اس اپ ڈیٹ کے تقریباً 34 گھنٹے کے اندر مرحلہ وار نکاسی دوبارہ شروع کی جائے، اور 2 نومبر تک ذخائر کے ثبوت کی رپورٹ جاری کی جائے۔

TRM Labs کے بلاک چین ڈیٹا کے تجزیے سے اہم تفصیلات سامنے آتی ہیں: فنڈز 10 نیٹ ورکس پر نکلے، تیاری چوری سے کم از کم 36 گھنٹے پہلے شروع ہوئی، حملہ آور نے استعمال سے پہلے ٹول کی کسی دوسرے والیٹ پر مشق کی، اور پہلے سے دستخط شدہ 50 اجازت نامے تیار رکھے تاکہ عمل درآمد کے وقت ان میں سے کوئی ایک درست ہو۔ TRM کل رقم کا تخمینہ 6.36 ارب ڈالر لگاتا ہے، جو فروری 2025 کے 1.5 ارب ڈالر والے Bybit ہیک کا تقریباً چار گنا ہے۔ TRM اور Elliptic اس حملے کو شمالی کوریا سے منسلک گروپ TraderTraitor سے جوڑتے ہیں، تاہم Elliptic کے مطابق ابھی تک کسی حکومت نے اس نسبت کی تصدیق نہیں کی۔

Binance نے حملے کے طریقے کے بارے میں کیا کہا

ابتدائی تحقیقات میں ایک DevOps انجینئر کے ہیک شدہ لیپ ٹاپ کی طرف اشارہ کیا گیا، جس کے ذریعے حملہ آور ایک سروس کنٹینر تک پہنچا اور غیر مجاز نکاسی کی ٹرانزیکشنز بھیجیں۔ بعد میں ایکسچینج نے کہا کہ مزید تحقیقات میں دراندازی کے اضافی مقامات سامنے آئے ہیں، اور اسے اپنے والیٹس کی نجی کیز لیک ہونے کا کوئی ثبوت نہیں ملا۔ شریک سی ای او نے کہا کہ یہ حملہ کسی ایک شخص نے نہیں کیا، حملہ آور نے خود کو تباہ کرنے والا ایسا نظام استعمال کیا جو کام کے دوران ٹولز اور نشانات مٹاتا رہا، اور Ethereum پر استعمال ہونے والا ڈیلیگیشن Binance کے معمول کے منظوری کنٹرولز سے نہیں گزرا۔

سیدھے الفاظ میں: حملہ آور نے تجوری نہیں توڑی۔ اس نے Binance کے اپنے سسٹمز سے منتقلیوں پر دستخط کروا لیے۔ TRM کے جائزے کے مطابق سب سے ممکنہ وضاحت یہ ہے کہ حملہ آور کو دستخطی نظام سے اپنی پسند کی ٹرانزیکشنز پر، مختلف نیٹ ورکس اور مختلف کیز کے ساتھ، تقریباً آدھے گھنٹے میں دستخط کروانے کی صلاحیت مل گئی۔

یہ اس کمپنی کے لیے کیوں اہم ہے جس کے پاس ایک بھی کرپٹو نہیں

کیونکہ ہر کمپنی اس دستخطی نظام کا ایک چھوٹا روپ چلاتی ہے: بینک کا کارپوریٹ پورٹل، وہ ادائیگی کی فائل جو اکاؤنٹنٹ اکاؤنٹنگ سسٹم سے نکال کر بینک میں اپ لوڈ کرتا ہے، وہ اسکرین جہاں کسی سپلائر کی بینک تفصیلات بدلی جاتی ہیں، آپ کے پیمنٹ گیٹ وے میں ریفنڈ کی اجازت، ہر مہینے کی تنخواہوں کی فائل۔ مالک کے طور پر آپ منظوری کا سرکاری راستہ دیکھتے ہیں، پہلے درخواست، پھر مینیجر، پھر مالیات، لیکن حملہ آور ضمنی راستہ تلاش کرتا ہے: خود بخود فائلیں اپ لوڈ کرنے والا سسٹم اکاؤنٹ، IBAN بدل سکنے والا IT ایڈمن، یا کسی بیرونی سروس فراہم کنندہ کے پاس ایسی انٹیگریشن کی جو منتقلی کر سکے۔

دو سبق اور ہیں۔ پہلا رفتار ہے: زیادہ تر پیسہ تقریباً 20 منٹ میں نکل گیا، اور کوئی ملازم ہاتھ سے اس رفتار کا مقابلہ نہیں کر سکتا، اس لیے تحفظ ایسی حدوں اور الرٹس پر مبنی ہونا چاہیے جو خود کام کریں۔ دوسرا تیاری ہے: حملہ آور نے 36 گھنٹے پہلے سے تیاری کی اور ٹول کو آزمایا، یعنی نگرانی کرنے والے کے لیے ابتدائی علامات موجود تھیں۔ ہم پہلے لکھ چکے ہیں کہ کیسے کام کے لیپ ٹاپ پر ایک مفت اسٹریمنگ سائٹ آپ کی کمپنی کے پاس ورڈ حملہ آوروں کے حوالے کر سکتی ہے، اور جس کے پاس اجازتیں ہیں اس کا آلہ کمپنی کا سب سے قیمتی ہدف ہے۔

اس ہفتے اپنی کمپنی میں کیا جانچیں

  • پیسہ نکلنے کے ہر راستے کا نقشہ بنائیں: ہر اس فرد اور ہر اس سسٹم کو لکھیں جو منتقلی شروع کر سکتا ہے، اسے منظور کر سکتا ہے، کسی وصول کنندہ کا اکاؤنٹ بدل سکتا ہے یا ریفنڈ جاری کر سکتا ہے، جن میں سسٹم اکاؤنٹس، انٹیگریشن کیز اور بیرونی سروس فراہم کنندگان شامل ہیں۔
  • ہر منتقلی کے لیے دو افراد اور دو آلات: جو منتقلی درج کرتا ہے وہ اسے منظور نہیں کرتا، اور منظوری دوسرے آلے سے ہوتی ہے۔ یہی بنیادی سائبر سکیورٹی کنٹرولز میں فرائض کی علیحدگی کا اصول ہے: کسی کام کی تکمیل کے لیے ایک سے زیادہ افراد درکار ہوں، اور ہر ایک کی اجازتیں مختلف ہوں۔ اسے ایسے منظوری میٹرکس سے جوڑیں جو طے کرے کہ کون کس چیز پر دستخط کرتا ہے۔
  • حدیں اور فوری الرٹس: اپنے بینک سے روزانہ منتقلی کی حد مانگیں، اور ہر بڑی منتقلی پر نیز جب بھی کوئی وصول کنندہ شامل یا تبدیل ہو، مالک کے فون پر فوری الرٹ۔
  • ضرورت کے مطابق ایڈمن اجازتیں: ہر ریموٹ لاگ ان اور ہر خصوصی اختیارات والے اکاؤنٹ کے لیے ملٹی فیکٹر تصدیق فعال کریں، ان اجازتوں والے افراد کی فہرست کا باقاعدگی سے جائزہ لیں، اور سابق ملازمین اور کام مکمل کر چکے سروس فراہم کنندگان کے اکاؤنٹس حذف کریں۔
  • ایسا لاگ جسے حملہ آور مٹا نہ سکے: Binance کے حملہ آور نے کام کے دوران نشانات مٹائے۔ خصوصی اختیارات والے اکاؤنٹس اور ریموٹ رسائی کے لیے ایونٹ لاگز فعال کریں، ان کی ایک کاپی سسٹم سے باہر رکھیں، اور کنٹرولز کے تقاضے کے مطابق اسے کم از کم 12 مہینے محفوظ رکھیں۔
  • ابتدائی منٹوں کا منصوبہ: طے کریں کہ منتقلی رکوانے کے لیے بینک کو کون فون کرے گا، مشکوک اکاؤنٹ کو کون غیر فعال کرے گا، اور ہنگامی نمبر کہاں ہیں۔ Binance کے معاملے میں Tether نے سب سے بڑی نکاسی کے 37 منٹ بعد حملہ آور کا مرکزی وصولی والیٹ منجمد کر دیا، اور اسی تیزی نے پیسے کا بڑا حصہ بچایا۔

سعودی کنٹرولز کیا کہتے ہیں؟

قومی سائبر سکیورٹی اتھارٹی (NCA) کے جاری کردہ بنیادی سائبر سکیورٹی کنٹرولز ECC-2:2024 سرکاری اداروں اور ان سے وابستہ اداروں کے لیے، اور نجی شعبے کے ان اداروں کے لیے لازمی ہیں جو اہم قومی بنیادی ڈھانچے کے مالک ہیں، اسے چلاتے ہیں یا اس کی میزبانی کرتے ہیں، اور NCA مملکت کے باقی تمام اداروں کو بھی انہیں استعمال کرنے کی پرزور ترغیب دیتی ہے۔ یہ براہ راست Binance کے اسباق سے مطابقت رکھتے ہیں: ریموٹ رسائی اور خصوصی اختیارات والے اکاؤنٹس کے لیے ملٹی فیکٹر تصدیق (2-2-3-2)، جاننے کی ضرورت، کم سے کم اختیارات اور فرائض کی علیحدگی کے اصول (2-2-3-3)، خصوصی رسائی کا انتظام (2-2-3-4)، شناختوں اور رسائی کے حقوق کا وقتاً فوقتاً جائزہ (2-2-3-5)، اور خصوصی اختیارات والے اکاؤنٹس اور ریموٹ رسائی کے ایونٹ لاگز، جن کی مسلسل نگرانی ہو اور جنہیں کم از کم 12 مہینے رکھا جائے (2-12-3)۔

Origami کا نقطۂ نظر

ہم Binance ہیک کو کرپٹو کا نہیں بلکہ منظوری کے راستوں کا سبق سمجھتے ہیں۔ زیادہ تر کمپنیاں سرکاری راستے کے لیے منظوری ڈیزائن کرتی ہیں اور ضمنی راستے بھول جاتی ہیں: ادائیگی کی فائل اپ لوڈ کرنے والا سسٹم اکاؤنٹ، IBAN بدل سکنے والا صارف، عمل درآمد کر سکنے والی انٹیگریشن کی۔ یہی ضمنی راستے حملہ آور سب سے پہلے تلاش کرتا ہے۔

جب ہم پیسے سے متعلق کوئی کسٹم سسٹم بناتے ہیں، جیسے خریداری کے چکر کا سسٹم یا سپلائر ادائیگیوں کا پورٹل، تو ہم مشورہ دیتے ہیں کہ منظوری پہلے دن سے ڈیزائن کا حصہ ہو: اندراج اور منظوری کے لیے دو مختلف افراد، رقم کی حدیں، اور وصول کنندگان کے ڈیٹا میں ہر تبدیلی کا لاگ۔ اگر آپ کو کسٹم سسٹم کے بجائے تیار اکاؤنٹنگ سسٹم درکار ہے تو Fahim دیکھیں۔

خلاصہ

اب تک ریکارڈ کی گئی سب سے بڑی کرپٹو چوری سے سیکھنے کے لیے آپ کو کرپٹو والیٹ کی ضرورت نہیں۔ اس ہفتے اپنے اکاؤنٹنٹ اور IT سربراہ کے ساتھ دو گھنٹے نکالیں: پیسہ نکلنے کا ہر راستہ لکھیں، اندراج اور منظوری کو دو آلات پر الگ کریں، بینک سے حدیں اور الرٹس مانگیں، دیکھیں کہ ایڈمن حقوق کس کے پاس ہیں، اور لاگز کو سسٹم چلانے والوں کی پہنچ سے دور رکھیں۔ اگر آپ اپنے سسٹمز میں منظوری کے راستوں کا جائزہ چاہتے ہیں تو ہم سے رابطہ کریں یا ہماری خدمات دیکھیں۔

ذرائع