كشفت منصة Binance لتداول العملات المشفرة، تفاصيل هجوم بدأ قبل أشهر من سرقة أصول رقمية بقيمة نحو 6.34 مليار دولار في 29 أكتوبر الماضي؛ إذ استدرج المهاجمون أحد مهندسيها إلى مقابلات توظيف مزيفة، ثم انتقلوا بين أجهزة موظفين حتى وصلوا إلى أنظمة اعتماد تحويلات المحافظ.
بحسب نتائج التحقيق الأولية، تعود البداية إلى يونيو الماضي، عندما ثبَّت مهندس نسخة معدّلة خبيثة من برنامج Homebrew أثناء محاولته تثبيت أداة للبرمجة بالذكاء الاصطناعي.
اكتشف الفريق الأمني الواقعة، واستبدل الجهاز، وغيّر بيانات الدخول المرتبطة به، لكن المهاجمين كانوا حصلوا على معلومات عن المهندس، وزملائه المسؤولين عن البنية التقنية للمحافظ.
اختبار برمجي قاد لاختراق منصة Binance
وبحسب تقرير، نشرته مجلة "WIRED"، تواصل شخص ينتحل صفة مسؤول توظيف، في سبتمبر الماضي، مع مهندس آخر عبر منصة للبحث عن عمل، ورتب له مقابلتين في شركة وهمية.
أُجريت الأولى بالفيديو مع شخص زعم أنه مسؤول موارد بشرية، واستعان بحساب على مواقع التواصل، وصور، ومقاطع شخصية لبناء الثقة، ثم أجريت المقابلة الثانية عبر تطبيق للدردشة مع شخص ادعى أنه الرئيس التنفيذي للشركة.
وقرب نهايتها، طُلب من المهندس تثبيت اختبار برمجي على حاسوب العمل، احتوى على الشفرة الخبيثة التي فتحت الطريق إلى جهازه، وقالت "بينانس" إن البرمجية أحلّت "نسخة خبيثة" محل "مكوّن مشروع"، وأخفت آثارها، ولم ترصدها برامج الحماية حينها.
وفي 20 أكتوبر الماضي، استغل المهاجمون أداة ذكاء اصطناعي داخلية للوصول إلى جهازي مهندسين آخرين، وعثروا على تصريح لتشغيل برمجيات داخل أنظمة الشركة.
وفي 29 أكتوبر، استخدموا جهاز أحد المهندسين، وبيانات دخول مسروقة من زميله لتشغيل الهجوم.
ثم وصل المهاجمون إلى خدمة اعتماد تحويلات المحافظ، ما أتاح لهم نقل الأموال خارج إجراءات السحب المعتادة.
واستغلوا آلية "EIP-7702" على شبكة "Ethereum" لمنح برنامج يتحكمون فيه صلاحيات على إحدى المحافظ، واستمرت هذه التفويضات بعد تعليق السحب، ما استلزم إلغاءها على الشبكة نفسها.
وتتيح هذه الآلية للحساب تفويض تنفيذ عمليات إلى برنامج يُعرف باسم "العقد الذكي"، وبذلك، قد تصبح السيطرة على صلاحيات التنفيذ كافية لتحريك الأموال، حتى دون كشف المفتاح الخاص الذي يحمي المحفظة.
تحذير أميركي قبل عامين من اختراق Binance
نسب مكتب التحقيقات الفيدرالي الأميركي الهجوم إلى كوريا الشمالية، وربطه بنشاط يتتبعه باسم "TraderTraitor"، بينما نفت بيونج يانج مسؤوليتها.
وكان المكتب حذّر في سبتمبر 2024 من حملات تستهدف موظفي شركات العملات المشفرة بعروض عمل واختبارات برمجية مزيفة.
وأوضح أن المهاجمين يدرسون خلفيات ضحاياهم، وينتحلون هويات مهنية مقنعة، ويطيلون التواصل لبناء الثقة قبل إرسال البرامج الخبيثة، وشملت مؤشرات الخطر التي حددها طلب تشغيل اختبارات توظيف على أجهزة العمل، أو نقل المحادثات إلى تطبيقات أخرى.
وأوصى بإجراء هذه الاختبارات على أجهزة منفصلة عن شبكة الشركة، وتقييد تشغيل البرامج غير المعتمدة.
وأظهرت متابعة شركة تحليل معاملات العملات المشفرة "Elliptic" تجميد أو ضبط نحو 2.85 مليار دولار، ويعني التجميد منع التصرف في الأصول، ولا يعني بالضرورة إعادتها إلى المنصة.
وقالت الشركة إن محاولات إخفاء مسار الأموال استخدمت نحو 12 ألف محفظة عبر 11 شبكة، وأكثر من 40 ألف معاملة، خلال أول 3 أيام ونصف اليوم.
من جانبها، تعهدت "بينانس" بتحمل الخسائر عبر صندوق حماية المستخدمين وأموال الشركة، وقالت إنها خصصت أموالاً لتغطية المبلغ المسروق.
وأضافت أنها عوّضت 98% من الأصول المتأثرة حتى 31 أكتوبر، وأعادت بناء الأنظمة المتضررة، فيما لا تزال نتائج التحقيق أولية، وتخضع لمراجعة مستقلة.
