از Binance تا PHP2Shell: در عصر AI، خط دفاعی امنیت وب نیاز به بازتعریف دارد

مهاجمان در حال نفوذ به کل زنجیره اعتماد هستند و d/acc ویتالیک نیز سعی دارد جهت تسریع فناوری را دوباره به سمت دفاع برگرداند.

صبح روز 30 اکتبر، بازار ارزهای دیجیتال دوباره شاهد یک حادثه تاریخی سرقت ارز بود و این بار نوبت Binance بود.

بر اساس تحقیقات اولیه، به نظر می‌رسد مهاجمان از طریق نفوذ به لپ‌تاپ یک مهندس DevOps (توسعه و عملیات) وارد یک سرویس کانتینر شده و تراکنش‌های برداشت غیرمجاز را ارسال کرده‌اند. Binance تخمین می‌زند که تأثیر کل این حادثه به 63 میلیارد دلار برسد و در حال حاضر حدود 30 میلیارد دلار از دارایی‌های مرتبط را مسدود کرده است.

به طور کلی، در یک سال گذشته، حوادث امنیتی در صرافی‌های بزرگ به قدری متراکم شده که ناامیدکننده است:

سال گذشته، Bybit با سرقت حدود 14.6 میلیارد دلار دارایی مواجه شد و در سپتامبر امسال، Bitget نیز حدود 3.875 میلیارد دلار دارایی را به طور غیرمجاز منتقل کرد و اکنون حتی Binance نیز درگیر یک بحران جدید شده است.

اگر حوادث امنیتی اخیر را با هم بررسی کنیم، یک روند واضح را مشاهده خواهیم کرد: مهاجمان کمتر به طور مستقیم به رمزنگاری و کلیدهای خصوصی حمله می‌کنند و بیشتر بر روی کل زنجیره «اعتماد» تمرکز می‌کنند ------ از پایانه‌های کارمندان، محصولات امنیتی شخص ثالث، تا زنجیره تأمین نرم‌افزار، کانتینرهای خدمات و حتی فرآیندهای مجوز تراکنش، هر یک از مراحل اگر دچار نقص شود، کل خط دفاعی ممکن است شکست بخورد.

توسعه سریع AI نیز این خطر را بیشتر کرده است.

در 22 اکتبر، ویتالیک بوترین، یکی از بنیان‌گذاران اتریوم، یک قضاوت جدید ارائه داد: در عصر AI، آینده امنیت سایبری ممکن است به نفع طرف‌های مدافع باشد، اما دوره انتقال به این آینده بسیار دشوار خواهد بود.

1. از Bybit تا PHP2Shell: مهاجمان در حال نفوذ به کل زنجیره اعتماد هستند

بیایید به این حوادث نگاهی بیندازیم.

مسیرهای حمله آن‌ها یکسان نیست، اما یک نقطه مشترک وجود دارد، و آن این است که مهاجمان به سادگی به رمزهای خصوصی یا پروتکل‌های زیرساخت بلاکچین حمله نکرده‌اند، بلکه آن‌ها فقط به یک بخش از سیستم که به طور پیش‌فرض مورد اعتماد است، دست یافته‌اند.

• در حادثه Bybit، مهاجم با استفاده از روش‌های مهندسی اجتماعی به دستگاه یکی از توسعه‌دهندگان Safe نفوذ کرده و مدارک دسترسی مربوطه را به دست آورد و سپس منابع جلویی زیرساخت کیف پول Safe را کنترل کرد؛
• در حادثه Bitget، مهاجم از آسیب‌پذیری یک محصول امنیتی شخص ثالث استفاده کرده و مدارک دسترسی با سطح بالا را به دست آورد و سپس با استفاده از دستورات برداشت جعلی، مکانیزم‌های کنترل ریسک موجود را دور زد؛
• در حادثه اخیر Binance، مسیر حمله احتمالاً از نفوذ به لپ‌تاپ یک مهندس DevOps آغاز شده است؛

این سه حادثه به ترتیب شامل زیرساخت‌های کیف پول شخص ثالث، محصولات امنیتی شخص ثالث و محیط‌های توسعه و عملیات داخلی هستند.

این توضیح می‌دهد که چرا کیف پول‌های سرد سنتی و مکانیزم‌های چند امضایی نمی‌توانند همه مشکلات را حل کنند، زیرا مهاجمان در واقع از آن بخش‌های اعتماد استفاده می‌کنند که می‌توانند بر اجرای نهایی تراکنش تأثیر بگذارند، اما به طور مستقل به طور کامل تأیید نشده‌اند.

و بحران زنجیره اعتماد مشابه تنها در صرافی‌های ارز دیجیتال وجود ندارد.

یک هفته قبل از حمله به Binance، بنیان‌گذار Binance، CZ، به طور خاص توییتی منتشر کرد و به همه یادآوری کرد که در روزهای آینده هنگام دسترسی به هر وب‌سایتی باید بسیار محتاط باشند ------ در آن زمان، دو آسیب‌پذیری تاریخی و بسیار خطرناک در هسته PHP2Shell (CVE-2026-109618 و CVE-2026-109619، امتیاز CVSS v4.0 به 9.2 می‌رسید) باعث ایجاد وحشت در سراسر وب شده بود.

به عنوان زبان سمت سرور متن‌باز که حدود 70% وب‌سایت‌های جهان را پشتیبانی می‌کند، پلتفرم‌های اصلی مانند WordPress، Magento و Drupal بر اساس PHP ساخته شده‌اند.

این دو آسیب‌پذیری که بیش از ده سال در حال پنهان شدن بودند، به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت، تنها با یک درخواست وب خاص، قبل از اجرای کد برنامه‌های وب‌سایت، کد را از راه دور اجرا کنند (RCE)، سرور را به طور مستقیم کنترل کرده و درب پشتی را نصب کنند یا مدارک کاربری را سرقت کنند.

داده‌های اسکن از سوی مؤسسات امنیتی Palo Alto Networks و Censys نشان می‌دهد که بیش از 22.6 میلیون تا 36.7 میلیون نمونه در معرض خطر در سطح جهانی قرار دارند.

بدتر از آن، طبق گزارش مؤسسات امنیتی، این دو آسیب‌پذیری در وضعیت حافظه زیرساختی که بیش از ده سال خوابیده بودند و به سختی توسط ممیزان انسانی قابل شناسایی بودند، به کمک فناوری AI کشف شده‌اند، به عبارت دیگر، AI به طور قابل توجهی آستانه تبدیل نقص‌های منطقی پنهان به بارهای حمله قابل استفاده را کاهش داده است.

ما قبلاً چندین بار درباره سه تغییر کیفی در روش‌های حمله سایبری در عصر AI بحث کرده‌ایم (مطالعه بیشتر «وقتی هکرها با AI «بیشتر کارآمد» می‌شوند، رقابت تسلیحاتی «سپر و نیزه» Web3 چگونه ارتقا می‌یابد؟»):

• صنعتی شدن کشف آسیب‌پذیری‌های روز صفر (0-day): در گذشته، پیدا کردن آسیب‌پذیری‌های عمیق در هسته PHP یا لایه‌های فریمور، نیاز به ماه‌ها کار ممیزی کد و آزمایش‌های مبهم (Fuzzing) توسط کارشناسان امنیتی برتر داشت، اما اکنون AI می‌تواند با هزینه بسیار کم به صورت 24 ساعته کدهای منبع باز جهانی را اسکن کند و با تبدیل باگ‌های قدیمی که بیش از ده سال پنهان بوده‌اند به سلاح‌های مرگبار، به طور عمده آن‌ها را مورد استفاده قرار دهد؛
• فشرده‌سازی شدید «پنجره زمان وصله» (N-day): به محض اینکه اطلاعات آسیب‌پذیری فاش شود یا کد وصله ارسال شود، مهاجمان بدخواه می‌توانند با استفاده از AI در عرض چند دقیقه وصله را معکوس کرده، انواع جدیدی از Exploit را به طور خودکار تولید کرده و اسکن و تزریق خودکار در سطح جهانی را انجام دهند، در حالی که زمان‌بندی‌های ارتقاء که تیم‌های عملیاتی سنتی بر اساس روزها یا هفته‌ها محاسبه می‌کنند، در برابر اسکریپت‌های حمله AI که در میلی‌ثانیه پاسخ می‌دهند، بی‌معنا می‌شود؛
• زنجیره تأمین نرم‌افزار و DevOps به نقطه ضعف شماره یک تبدیل شده‌اند: سیستم‌های مدرن Web3 و مالی در یک خلأ ساخته نشده‌اند، تعاملات جلویی، کانتینرهای پشتی، بسته‌های وابستگی شخص ثالث NPM/PyPI و محیط توسعه محلی مهندسان، زنجیره تأمین متن‌باز بسیار بزرگ و شکننده‌ای را تشکیل می‌دهند؛

همان‌طور که نفوذ به کانتینر DevOps Binance و تغییر زنجیره تأمین جلویی Bybit نشان می‌دهد، از آنجا که حملات زنجیره‌ای به راحتی به نقدینگی تبدیل می‌شوند، صنعت ارزهای دیجیتال در حال تجربه یک «موج حملات سایبری جهانی AI به شدت شبیه به یک بیماری همه‌گیر» است.

البته، همه حملات فوق به طور مستقیم توسط AI آغاز یا اجرا نمی‌شوند، اما AI همزمان توانایی مهاجمان و مدافعان را افزایش می‌دهد و در چارچوب فعلی مهندسی نرم‌افزار، این اثر بزرگ‌نمایی در واقع عدم تقارن ساختاری موجود بین دو طرف را تشدید می‌کند.

2. ویتالیک: پایان ممکن است به نفع مدافعان باشد، اما «دوره انتقال» بسیار دشوار خواهد بود

در مواجهه با بحث‌های صنعتی ناشی از کشف آسیب‌پذیری‌های زیرساختی مانند PHP2Shell توسط AI، ویتالیک بوترین در 22 اکتبر یک قضاوت بسیار منطقی ارائه داد: پایان طولانی‌مدت امنیت سایبری ممکن است به نفع طرف‌های مدافع باشد، اما دوره انتقال به این وضعیت بسیار دشوار خواهد بود.

چرا؟

زیرا در چارچوب فعلی مهندسی نرم‌افزار، دو طرف در حمله و دفاع به طور طبیعی عدم تقارن دارند. یک سیستم نرم‌افزاری بزرگ ممکن است شامل میلیون‌ها خط کد تاریخی، صدها وابستگی خارجی و تعداد زیادی مسیرهای پیچیده مجوز و اجرا باشد.

مدافعان باید اطمینان حاصل کنند که تمام مراحل کلیدی به اندازه کافی ایمن هستند، در حالی که مهاجمان فقط باید یک نقص که هنوز کشف نشده است را پیدا کنند.

ویتالیک به طور خاص اشاره کرد که تنها تکیه بر محققان امنیتی برای کشف آسیب‌پذیری‌های منتشر شده در نرم‌افزار قبل از هکرها، نمی‌تواند واقعاً مزیت دفاعی ایجاد کند، زیرا اگر هر دو طرف از AI‌های روزافزون و قدرتمندتر استفاده کنند، در واقع در حال رقابت بر سر این هستند که چه کسی می‌تواند سریع‌تر آسیب‌پذیری‌ها را پیدا کند.

آنچه واقعاً نیاز به تغییر دارد، روش ساخت خود نرم‌افزار است، به عنوان مثال، او دو جهت اصلی را پیشنهاد کرد: تأیید رسمی (Formal Verification) و کاهش پایه محاسبات قابل اعتماد (Trusted Computing Base، TCB).

اولین مورد تأیید رسمی است که هدف آن جایگزینی «تجربه خطا» با اثبات ریاضی است.

آزمایش‌های سنتی نرم‌افزار فقط می‌توانند ثابت کنند که «در سناریوهای آزمایش شده، باگی پیدا نشده است»، اما هرگز نمی‌توانند ثابت کنند که «کد به طور مطلق بدون باگ است»، در حالی که تأیید رسمی با استفاده از منطق ریاضی دقیق، اثبات می‌کند که یک کد برنامه در تمام ورودی‌ها و تغییرات وضعیت ممکن، به طور دقیق با استانداردهای ایمنی مورد انتظار مطابقت دارد و هیچ نقصی مانند سرریز حافظه، عدم بازنشانی وضعیت (مانند PHP2Shell) یا ورود مجدد منطقی وجود ندارد.

در گذشته، هزینه تأیید رسمی بسیار بالا بود و حجم کدی که برای نوشتن اثبات ریاضی لازم بود، معمولاً چندین برابر کد تجاری بود و تنها صنایع هوافضا یا پروتکل‌های رمزنگاری اصلی می‌توانستند از آن استفاده کنند.

اما در عصر AI، AI نه تنها می‌تواند آسیب‌پذیری‌ها را پیدا کند، بلکه می‌تواند به یک دستیار فوق‌العاده برای نوشتن اثبات‌های تأیید رسمی تبدیل شود، بنابراین ویتالیک پیش‌بینی می‌کند که در آینده «تأیید رسمی با کمک AI» به شکل نهایی توسعه نرم‌افزار تبدیل خواهد شد ------ چه در پروتکل‌های ارتباطی رمزنگاری مانند Signal، TLS، ZK-EVM و چه در قراردادهای هوشمند در سطح برنامه، می‌توانند قبل از انتشار کد، از طریق AI به طور خودکار اثبات‌های ریاضی ایمنی از ابتدا تا انتها تولید کنند.

زمانی که یک کد به طور ریاضی «بی‌نقص» اثبات شود، حتی اگر قدرت محاسباتی AI مهاجمان نیز بسیار قوی باشد، نمی‌توانند نقصی که وجود ندارد را پیدا کنند.

دومین مورد کاهش پایه محاسبات قابل اعتماد (TCB) است که هدف آن فشرده‌سازی سطح آسیب‌پذیری به حداقل است.

TCB چیست؟ به طور ساده، این یک سیستم است که برای تضمین امنیت، «باید به طور غیرقابل‌اجتناب به همه اجزای نرم‌افزاری و سخت‌افزاری که نمی‌توانند خطا کنند، اعتماد کند».

با نگاهی به حادثه امنیتی 63 میلیارد دلاری Binance و حادثه سرقت چند امضایی Bybit: چرا الگوریتم‌های کلید خصوصی زیرساختی شکسته نشدند، اما دارایی‌ها گم شدند؟ زیرا TCB آن‌ها بسیار بزرگ بود ------ خوشه‌های کانتینر بزرگ، خطوط پیچیده مجوزهای عملیاتی، سیستم‌عامل لپ‌تاپ‌های توسعه‌دهندگان، کتابخانه‌های JavaScript که در جلوی صفحه رندر می‌شوند، همه در زنجیره اعتماد قرار دارند که «اگر شکسته شوند، منجر به از دست رفتن دارایی‌ها می‌شود».

ایده اصلی کاهش TCB، انجام تفریق و جداسازی است: عملکردهایی که واقعاً مربوط به حفاظت از کلیدهای خصوصی، تأیید امضا و مجوزهای اصلی هستند، باید در یک محیط ایمن با مقیاس کوچکتر، مرزهای مشخص‌تر و قابل پذیرش برای ممیزی‌های سختگیرانه جمع‌آوری شوند، در حالی که سایر عملکردهای پیچیده باید تا حد ممکن در محیط‌های با دسترسی محدود اجرا شوند.

حتی اگر مرورگرها، افزونه‌ها، خدمات جلویی یا AI Agent مورد حمله قرار گیرند، نباید به این ترتیب توانایی نامحدود برای جابجایی دارایی‌های کاربران را به دست آورند.

از این منظر، این نیز ارزش کیف پول‌های غیرمتمرکز مانند imToken را نشان می‌دهد. در استفاده از صرافی‌های متمرکز، دارایی‌های کاربران باید از طریق حساب‌های پلتفرم، کیف پول‌های امانی و سیستم‌های داخلی برداشت عبور کنند؛ در حالی که با استفاده از imToken، کاربران خودشان کلید خصوصی را نگهداری می‌کنند، به طور مستقیم دارایی‌های زنجیره‌ای را مدیریت کرده و معاملات را آغاز می‌کنند و این مرحله میانی نگهداری متمرکز را کاهش می‌دهد.

زنجیره اعتماد کوتاه‌تر به معنای ریسک‌های پلتفرمی کمتر است و دیگر نیازی به نگرانی درباره توقف برداشت‌ها یا مسدود شدن موجودی حساب‌های پلتفرم نیست. البته، کاربران نیز باید مسئولیت نگهداری کلید خصوصی و امنیت دستگاه‌های خود را بر عهده بگیرند.

سوم، از تسریع فناوری به تسریع دفاعی: چرا به d/acc نیاز داریم؟

اگر بگوییم که تأیید فرم و حداقل‌سازی TCB به این سؤال پاسخ می‌دهد که «چگونه می‌توانیم از نظر فنی ایمن‌تر باشیم»، d/acc که ویتالیک به طور مداوم از آن حمایت کرده است، سعی دارد به یک سؤال کلان‌تر پاسخ دهد:

وقتی که AI و سایر فناوری‌های پیشرفته به سرعت در حال تغییر جهان هستند، ما باید چگونه اولویت‌های توسعه فناوری را تنظیم کنیم؟

d/acc، که به طور کامل به عنوان Defensive Accelerationism شناخته می‌شود، معمولاً به عنوان «تسریع دفاعی» نامیده می‌شود. ویتالیک این مفهوم را برای اولین بار در سال 2023 به طور سیستماتیک مطرح کرد و در سال 2025 در مقاله «d/acc: یک سال بعد» به تفصیل بیشتری پرداخت.

این مفهوم مخالف پیشرفت فناوری نیست، بلکه بر تسریع انتخابی تأکید دارد: توسعه اولویت‌دار فناوری‌هایی که می‌توانند توان دفاعی اجتماعی را تقویت کنند، قدرت را توزیع کنند و ریسک‌های سیستماتیک را کاهش دهند.

در مقایسه با تسریع کلی که e/acc بر آن تأکید دارد، d/acc بیشتر به این موضوع می‌پردازد که آیا فناوری در حال تقویت توان حمله است یا در حال افزایش توان دفاعی (مطالعه بیشتر «وقتی Web3 با d/acc برخورد می‌کند: در عصر تسریع فناوری، Crypto چه کاری می‌تواند انجام دهد؟»).

در چشم‌انداز d/acc، این سیستم دفاعی شامل چهار بعد ساخت و ساز عمیق است:

• دفاع سایبری: از طریق رمزنگاری، تأیید فرم، جداسازی نرم‌افزار و شناسایی آسیب‌پذیری‌ها، نرخ موفقیت حملات سایبری را کاهش داده و دارایی‌های دیجیتال و داده‌ها را محافظت می‌کند؛
• دفاع زیستی: از طریق شناسایی پاتوژن‌ها، نظارت بر هوا، تحقیق و توسعه واکسن و فناوری‌های بهداشت عمومی، توانایی جامعه در مواجهه با ریسک‌های امنیت زیستی را افزایش می‌دهد؛
• دفاع فیزیکی: از طریق انرژی توزیع‌شده، شبکه‌های ارتباطی مقاوم و ساخت زیرساخت‌های مقاوم، آسیب‌پذیری تأسیسات کلیدی در دنیای واقعی در برابر حملات را کاهش می‌دهد؛
• دفاع اطلاعاتی: از طریق حفاظت از حریم خصوصی، تأیید منابع اطلاعات و مکانیزم‌های همکاری غیرمتمرکز، در برابر اطلاعات نادرست، جعل عمیق و دستکاری اطلاعات در مقیاس بزرگ مقاومت می‌کند؛

این حوزه‌ها به نظر می‌رسد که دامنه وسیعی دارند، اما همه آنها حول یک هدف مشترک می‌چرخند، و آن این است که در حالی که فناوری به طور مداوم توانایی‌های فردی و سازمانی را افزایش می‌دهد، همچنین باید آنها را با توانایی‌های خودمحافظتی متناسب تجهیز کند و از متمرکز شدن فناوری‌های قوی‌تر در دست تعداد کمی از افراد با منابع و قدرت کنترل جلوگیری کند.

همچنین در بحث‌های مربوط به این بحران آسیب‌پذیری PHP، ویتالیک یک ادعای سخت‌افزاری را در چارچوب d/acc دوباره تأکید کرد - در برابر ضربه‌های نامتقارن ناشی از AI پیشرفته، باید در مراحل لازم با پیشرفت بی‌نظم AI‌های تهاجمی با ریسک بالا با احتیاط برخورد کرد؛ در عین حال، کل جامعه باید بیش از 1% از منابع GDP خود را به طور سیستماتیک به امنیت سایبری، امنیت زیستی و تقویت امنیت دنیای فیزیکی اختصاص دهد.

چرا به چنین سرمایه‌گذاری سیستماتیک بزرگی نیاز داریم؟

زیرا منافع ناشی از پیشرفت فناوری معمولاً می‌تواند به سرعت توسط بازار قیمت‌گذاری و تجاری‌سازی شود، اما ارزش زیرساخت‌های امنیتی اغلب نادیده گرفته می‌شود.

شرکت‌ها مایلند برای مدل‌های AI قوی‌تر، قدرت محاسباتی سریع‌تر و ابزارهای توسعه نرم‌افزاری کارآمدتر هزینه‌های هنگفتی صرف کنند، اما ممکن است مایل نباشند برای نگهداری طولانی‌مدت نرم‌افزارهای متن‌باز، تأیید فرم و ممیزی امنیتی همان اندازه حمایت کنند. اگر این عدم تعادل منابع به طور فعال اصلاح نشود، ساختمان دیجیتالی که بر پایه‌های آسیب‌پذیر متن‌باز بنا شده، فقط خطرناک‌تر خواهد شد.

در پایان

از خطرات زیرساخت‌های اینترنت جهانی که از PHP2Shell نمایان شد، تا حوادث امنیتی عمده‌ای که در Bybit، Bitget و Binance رخ داد، وضعیت امنیت سایبری در سال 2026 با هزینه‌های واقعی به همه یادآوری می‌کند:

رقابت‌های حمله و دفاع در عصر AI دیگر فقط به این بستگی ندارد که چه کسی می‌تواند سریع‌تر آسیب‌پذیری‌ها را شناسایی کند، بلکه به این بستگی دارد که آیا کل اکوسیستم نرم‌افزاری می‌تواند یک سیستم دفاعی کافی و قابل اعتماد ایجاد کند یا خیر.

امنیت هرگز نمی‌تواند یک بار برای همیشه حل شود، اما این به این معنا نیست که این یک جنگ فرسایشی غیرقابل پیروزی است.

در چند دهه گذشته، رمزنگاری ثابت کرده است که برخی از توانایی‌های دفاعی می‌توانند از طریق اصول ریاضی یک امنیت بسیار قوی ایجاد کنند و نه صرفاً با اتکا به این که مدافعان نیروی انسانی بیشتری را به کار بگیرند.

ترکیب AI با تأیید فرم، محاسبات قابل اعتماد و سایر فناوری‌ها نیز فرصتی برای گسترش این ایده به کل سیستم‌های نرم‌افزاری فراهم می‌کند.

برای کاربران عادی، این ایده امنیتی همچنین می‌تواند به انتخاب روش‌های مدیریت دارایی مربوط شود.

انتخاب کیف پول‌های غیرمتمرکز مانند imToken در واقع به معنای نگه‌داشتن کنترل دارایی‌ها در دستان خود و کاهش وابستگی به نگهداری و سیستم‌های عملیاتی متمرکز است. البته این به این معناست که کاربران باید به نگهداری عبارت بازیابی، امنیت دستگاه و هر مجوز معامله توجه بیشتری داشته باشند، اما حداقل، اینکه آیا دارایی‌ها می‌توانند تحت کنترل خودشان باشند، دیگر به این بستگی ندارد که آیا یک پلتفرم متمرکز به درستی کار می‌کند یا خیر.

شاید این همان معنای واقعی آنچه ویتالیک درباره پایان امنیت سایبری می‌گوید باشد که ممکن است به نفع دفاع‌کنندگان باشد: نه اینکه انتظار داشته باشیم روزی AI دیگر هیچ آسیب‌پذیری پیدا نکند، بلکه باید به تدریج سیستم‌های کلیدی که به ما اجازه می‌دهند کار کنیم، حتی در برابر حمله‌کنندگان هوشمندتر، با هسته‌های قابل اعتماد کوچکتر، مرزهای دسترسی سخت‌گیرانه‌تر و مکانیزم‌های امنیتی قابل تأیید، به طور قابل اعتماد ادامه دهند.

پیشرفت فناوری شایسته تسریع است، اما توانایی حفاظت از دستاوردهای فناوری و دارایی‌های فردی نیز نیاز به تسریع دارد.