بينانس تكشف: مقابلة عمل وهمية أدت لسرقة 6.3 مليار دولار
أعلنت منصة بينانس أن هجوماً معقداً بدأ بمحاولة توظيف احتيالية انتهى بسرقة رقمية ضخمة، مؤكدة أنها استعادت معظم الأصول المسروقة.
رضوان عبدالهاديمحرر وكاتب تقني
تفاصيل الهجوم الأولي
أفادت شركة بينانس في تقرير حادثة حديث أن قراصنة مدعومين من الدولة الكورية الشمالية استخدموا الهندسة الاجتماعية لتضليل أحد موظفيها. بدأت الحادثة في سبتمبر عندما تواصل شخص يدّعي أنه مدير مشروع في شركة وهمية مع مهندس برمجيات عبر منصة توظيف مشروعة. استغل المهاجمون خبرة الموظف في بينانس لجعله هدفاً مثالياً، حيث نظموا جولتين من المقابلات، الأولى مع ممثل موارد بشرية عبر مكالمة فيديو لبناء الثقة، والثانية عبر تطبيق محادثة اجتماعي. ويمكن الرجوع إلى BleepingComputer للاطلاع على التفاصيل الأصلية للمصدر.
تقنيات البرمجيات الخبيثة
خلال المقابلة الثانية، طُلب من الموظف تنزيل مهمة برمجة من مستودع أكواد يحتوي على كود خبيث. عند تشغيله، أصاب الجهاز ببرمجيات خبيثة مخصصة لم يسبق رؤيتها ولم تكشفها أدوات مكافحة الفيروسات التقليدية. أوضح التقرير أن البرمجيات استخدمت تقنيات تمويه متقدمة، بما في ذلك استبدال مكوّن أداة تطوير مشروعة بنسخة خبيثة لتنفيذ الأوامر والتواصل مع خوادم المهاجمين. كما قام المهاجمون بإخفاء آثارهم وحذف الدلائل، مما جعل عملية الكشف والتحقيق أكثر تعقيداً. ويمكن الرجوع إلى Lawrence Abrams للاطلاع على التفاصيل الأصلية للمصدر.
الانتشار الداخلي والاستيلاء
بحلول 20 أكتوبر، استغل المهاجمون جهاز المهندس المصاب وأداة ذكاء اصطناعي داخلية للوصول إلى موظفين آخرين يعملون على بنية المحفظة في بينانس. حصلوا على بيانات الاعتماد ورموز نشر الحاويات، مما مكنهم من تنفيذ هجومهم الرئيسي في 29 أكتوبر. استخدم القراصنة البيانات المسروقة لنشر سكربت خبيث والحصول على وصول غير مصرح به لخدمة توقيع المحافظ، مما سمح لهم بتحويل مليارات الدولارات عبر سلاسل بلوكاتين متعددة.
استغلال آلية EIP-7702
واجهت بينانس تحدياً تقنياً إضافياً حيث استغل المهاجمون آلية التفويض EIP-7702 في إيثريوم. سمح هذا لهم بمواصلة سرقة العملات الرقمية حتى بعد أن علقت المنصة عمليات السحب. أشار التقرير إلى أن استخدام الحوسبة متعددة الأطراف (MPC) في المحفظة الساخنة يعني عدم وجود مفتاح خاص واحد يمكن استخدامه لإلغاء التفويضات الخبيثة فوراً، مما أبطأ استجابة الفريق الأمني.
الاستجابة والنتائج المالية
أوضحت بينانس أنها أعادت بناء الأنظمة المتأثرة واستبدلت الأجهزة المصابة وسحبت بيانات الاعتماد المسروقة. حتى تاريخ 3 نوفمبر، تم تجميد أو اعتراض ما يقرب من 2.85 مليار دولار من الأصول المسروقة. كما أكدت الشركة أن 98% من أصول الرموز الرقمية المتأثرة تمت إعادة تعبئتها بحلول 31 أكتوبر، مع استئناف عمليات السحب بشكل عام. لا يزال التحقيق جارياً بمساعدة شركات أمان مستقلة.
خلفية عن الهجمات الكورية
تندرج هذه الحادثة ضمن نمط معروف من الهجمات الكورية الشمالية مثل "Contagious Interview" و"Operation Dream Job"، التي تستخدم عروض العمل الوهمية لاستهداف المطورين. في يونيو 2025، وثقت شركة Socket حملة مشابهة وزعت 35 حزمة npm خبيثة. على الرغم من أن بينانس لم تربط هذه الحادثة بحملة محددة، إلا أن استخدام وسيط توظيف وهمي ومقابلات متعددة ومهمة برمجة خبيثة يعكس بدقة التكتيكات الموثقة سابقاً لهذه الوحدة.
المصادر
- BleepingComputerBinance says fake job interview led to $6.3 billion crypto heist
- The VergeBinance says hackers used fake job interviews and an internal AI tool to pull off the $6.3 billion heist
تابع التسلسل الزمني
أخبار مرتبطة
بينانس تستأنف عمليات السحب بعد اختراق بقيمة 6.3 مليار دولار
أعلنت منصة بينانس استئناف عمليات سحب العملات الرقمية تدريجياً بعد اختراق ضخم. الشركة أكدت تغطية 95% من الأصول المسروقة، مع استمرار التحقيقات الأمنية.
بنانس: اختراق بقيمة 6.3 مليارات دولار يحمل بصمات هاكرز كوريا الشمالية
كشفت تحقيقات TRM Labs وChainalysis أن هجوم بنانس الضخم نفذه فصيل TraderTraitor الكوري الشمالي، مستغلاً ثغرة في نظام التوقيع عبر 10 سلاسل بلوكشين.
مكتب التحقيقات الفيدرالي يربط اختراق بينانس بهجمات كوريا الشمالية
أكد مكتب التحقيقات الفيدرالي مسؤولية مجموعة القرصنة الكورية الشمالية ترايد ترايتر عن سرقة 6.3 مليارات دولار من منصة بينانس في أكبر عملية اختراق بتاريخ العملات الرقمية.
مكتب التحقيقات الفيدرالي يحدد عناوين مرتبطة باختراق بينانس
حدد مكتب التحقيقات الفيدرالي مئات العناوين المرتبطة بهجوم بينانس القياسي، وسط مؤشرات على غسيل أموال رقمية مسروقة عبر تقنيات آلية متقدمة.
