افشای جزئیات سرقت ۶.۳ میلیارد دلاری بایننس؛ نفوذ از طریق مصاحبه شغلی جعلی و بدافزار

صرافی ارز دیجیتال بایننس، بزرگ‌ترین پلتفرم معاملاتی رمزارز در جهان، جزئیات تکان‌دهنده‌ای از سرقت ۶.۳۴ میلیارد دلاری خود را فاش کرد. این حمله که در ۲۹ اکتبر ۲۰۲۶ رخ داد، صرفاً یک نقص فنی ساده نبود، بلکه نتیجه ماه‌ها برنامه‌ریزی دقیق و مهندسی اجتماعی پیچیده بود.

ریچارد تنگ، مدیرعامل بایننس، در مصاحبه‌ای با شبکه سی‌ان‌بی‌سی تاکید کرد که مهاجمان ماه‌ها وقت صرف کردند تا راه خود را به داخل زیرساخت‌های حیاتی باز کنند. او صراحتاً این فرضیه را که تنها یک نقطه ضعف یا یک لپ‌تاپ عامل این فاجعه بوده است، رد کرد.

به گفته تنگ: «مهاجمان ماه‌ها وقت صرف کردند تا راه خود را به داخل باز کنند. آن‌ها به‌شکل تهاجمی از طریق ابزارهای هوش مصنوعی داخلی ما حرکت کردند و دسترسی‌ای به دست آوردند که به سیستم مجازکننده تراکنش کیف پول ما نفوذ کرد.» این نفوذ، لایه‌های امنیتی متعددی را دور زد.

آغاز نفوذ از ماه ژوئن

نخستین نشانه‌های این کارزار سایبری به ماه ژوئن بازمی‌گردد. در آن زمان، یکی از مهندسان تیم توسعه عملیات کیف پول بایننس، هنگام جستجو برای یک ابزار برنامه‌نویسی مبتنی بر هوش مصنوعی، یک نسخه دستکاری‌شده از نصب‌کننده هوم‌برو را دانلود کرد.

تیم امنیت سایبری بایننس به سرعت این فعالیت مشکوک را شناسایی کرد. آن‌ها دستگاه آلوده این مهندس را تعویض کرده و تمامی اعتبارنامه‌های او را تغییر دادند. با این حال، مهاجمان توانسته بودند پیش از قطع دسترسی، اطلاعات ارزشمندی درباره ساختار تیم کیف پول جمع‌آوری کنند.

این اطلاعات اولیه به هکرها اجازه داد تا اهداف بعدی خود را با دقت بیشتری انتخاب کنند. سه ماه بعد، در ماه سپتامبر، فاز دوم و مرگبارتر این عملیات کلید خورد. این بار، مهاجمان به جای استفاده از بدافزارهای عمومی، به سراغ فریب مستقیم و شخصی‌سازی‌شده رفتند.

دام مصاحبه‌های شغلی ساختگی

هکرها با استفاده از یک پلتفرم معتبر کاریابی، با مهندس نرم‌افزار دیگری در بایننس تماس گرفتند. آن‌ها خود را به عنوان مدیر پروژه و نماینده منابع انسانی یک شرکت فناوری معرفی کردند و برای جلب اعتماد، حساب‌های کاربری جعلی در شبکه‌های اجتماعی ارائه دادند.[1]

این مهندس در دو مرحله مصاحبه ویدیویی و چت آنلاین شرکت کرد. در پایان مصاحبه دوم که ظاهراً با مدیرعامل این شرکت خیالی انجام می‌شد، از او خواسته شد تا یک فایل حاوی تکلیف برنامه‌نویسی را به عنوان بخشی از فرآیند استخدام دانلود و اجرا کند.[4]

این فایل در ظاهر یک تمرین ساده بود، اما در واقع حاوی یک بدافزار روز صفر بود. این بدافزار با استفاده از تکنیک‌های پیچیده پنهان‌سازی، توانست از سد نرم‌افزارهای امنیتی شبکه بایننس عبور کند و سیستم این مهندس را کاملاً آلوده سازد.[1][4]

بدافزار مذکور با حذف فایل اجرایی ابزارهای توسعه و جایگزین کردن آن‌ها با نسخه‌های مخرب، امکان اجرای فرمان‌های دلخواه را فراهم کرد. این دسترسی پنهان، کلید طلایی هکرها برای ورود به لایه‌های عمیق‌تر شبکه و برقراری ارتباط با سرورهای خارجی تحت کنترل مهاجمان بود.[1]

نفوذ به هسته مرکزی کیف پول‌ها

در ۲۰ اکتبر، مهاجمان با استفاده از رایانه آلوده این مهندس و سوءاستفاده از یک ابزار هوش مصنوعی داخلی بایننس، توانستند به سیستم‌های دو مهندس دیگر نیز دسترسی پیدا کنند. در این مرحله، آن‌ها موفق به کشف یک توکن مجوز استقرار روی یکی از سیستم‌ها شدند.[4]

سرانجام در روز ۲۹ اکتبر، هکرها با استفاده از اعتبارنامه‌های سرقت‌شده، وارد سیستم مهندس سوم شدند. آن‌ها یک اسکریپت مخرب را اجرا کردند که مستقیماً به سرویس داخلی امضای کیف پول بایننس متصل می‌شد؛ سرویسی که وظیفه تایید و صدور مجوز تراکنش‌های رمزارزی را بر عهده دارد.[4]

با در دست گرفتن کنترل این سرویس حیاتی، مهاجمان توانستند بدون نیاز به طی کردن فرآیندهای عادی برداشت، دارایی‌های عظیمی را جابه‌جا کنند. آن‌ها میلیون‌ها توکن از شبکه‌های مختلف از جمله ریپل، سولانا، آپتیمیزم و همچنین ۱۸ هزار و ۲۷۰ بیت‌کوین را به کیف پول‌های خود منتقل کردند.[4]

در جریان این حمله، هکرها در یک بازه زمانی کوتاه چهار ساعته، ۲۳۳.۴ میلیون توکن ریپل را از پنج کیف پول مجزا خارج کردند. علاوه بر این، حدود ۹۷۰ هزار توکن سولانا و ۴۴.۲ میلیون توکن آپتیمیزم نیز به آدرس‌های تحت کنترل مهاجمان سرازیر شد.[4]

واکنش بایننس و مسدودسازی دارایی‌ها

یکی از پیچیده‌ترین بخش‌های این حمله، سوءاستفاده از ویژگی خاصی در شبکه اتریوم بود. این مکانیزم به هکرها اجازه داد تا یک قرارداد هوشمند مخرب را مجاز کنند که حتی پس از مسدود شدن سیستم‌های برداشت بایننس، همچنان به صورت خودکار دارایی‌ها را خارج می‌کرد.[4]

بایننس پس از دریافت هشدارهای امنیتی مبنی بر خروج غیرعادی سرمایه، بلافاصله تمامی برداشت‌ها را متوقف کرد. تیم امنیتی این شرکت با همکاری ناشران استیبل‌کوین‌ها و شرکت‌های تحلیل بلاک‌چین، موفق شد حدود ۲.۸۵ میلیارد دلار از این دارایی‌های سرقت‌شده را مسدود یا رهگیری کند.[1]

صرافی بایننس رسماً اعلام کرد که تمام خسارت کاربران را از محل درآمدهای شرکت و صندوق اضطراری خود جبران خواهد کرد. تا تاریخ ۳۱ اکتبر، این شرکت موفق شد ۹۸ درصد از توکن‌های آسیب‌دیده را مجدداً خریداری و به ذخایر خود بازگرداند تا هیچ کاربری متضرر نشود.[4]

ردپای هکرهای کره شمالی

پلیس فدرال آمریکا در بیانیه‌ای رسمی در ۳۱ اکتبر، مسئولیت این حمله ۶ میلیارد دلاری را متوجه گروه هکری وابسته به دولت کره شمالی دانست. این گروه که پیش از این نیز حملات مشابهی را سازماندهی کرده است، به عنوان یکی از خطرناک‌ترین تهدیدهای سایبری شناخته می‌شود.[3]

اف‌بی‌آی در هشدار خود از تمامی نهادهای بخش خصوصی و صرافی‌های غیرمتمرکز خواست تا تراکنش‌های مرتبط با آدرس‌های شناسایی‌شده این گروه را مسدود کنند. هکرهای کره شمالی معمولاً دارایی‌های سرقتی را به اتریوم تبدیل کرده و از طریق سرویس‌های مبادله فوری پول‌شویی می‌کنند.[3]

شرکت تحلیل بلاک‌چین چین‌آنالیسیس نیز در گزارش جدید خود تایید کرد که این حمله، نسخه تکامل‌یافته‌ای از یک استراتژی قدیمی است. تام مک‌لاوث، تحلیلگر ارشد این شرکت، اشاره کرد که هکرهای کره شمالی این تاکتیک را طی ماه‌ها تمرین و بهینه‌سازی کرده‌اند.[2]

بر اساس داده‌های چین‌آنالیسیس، این گروه هکری طی ۱۸ ماه گذشته، ده‌ها حمله مشابه با استفاده از مصاحبه‌های شغلی جعلی انجام داده است. آن‌ها بیش از ۱۴.۳ میلیون دلار از اهداف کوچک‌تر سرقت کرده بودند تا ابزارها و روش‌های خود را برای این حمله بزرگ آماده کنند.[2]

درس‌هایی برای صنعت امنیت سایبری

این هکرها برای پنهان کردن ردپای خود، از شبکه‌های بلاک‌چینی مختلفی مانند ترون و آپتوس به عنوان زیرساخت فرمان و کنترل استفاده می‌کنند. این روش به آن‌ها اجازه می‌دهد تا در برابر تلاش‌های نهادهای قانونی برای مسدودسازی سرورهایشان، مقاومت بیشتری نشان دهند.[2]

دولت کره شمالی، از طریق کیم یو جونگ، خواهر رهبر این کشور، هرگونه دخالت در این سرقت را تکذیب کرده و ادعاهای اف‌بی‌آی را دارای انگیزه‌های سیاسی خوانده است. با این حال، شواهد فنی و الگوهای پول‌شویی به شدت با سوابق این کشور همخوانی دارد.

این رویداد بی‌سابقه نشان داد که در دنیای امنیت دیجیتال، خطای انسانی همچنان بزرگ‌ترین نقطه نفوذ است. حتی پیشرفته‌ترین سیستم‌های رمزنگاری نیز در برابر مهندسی اجتماعی و فریب کارکنان کلیدی، آسیب‌پذیر هستند و نیازمند لایه‌های نظارتی سخت‌گیرانه‌تری می‌باشند.

بایننس اعلام کرده است که در واکنش به این حمله، سرمایه‌گذاری عظیمی در سیستم‌های تشخیص تهدید مبتنی بر هوش مصنوعی انجام خواهد داد. این شرکت همچنین قصد دارد یک صندوق تحقیقات امنیتی تاسیس کرده و با شرکت‌های پیشرو برای جلوگیری از تکرار چنین فجایعی همکاری کند.

در نهایت، این سرقت تاریخی زنگ خطری برای تمام نهادهای مالی و صرافی‌های ارز دیجیتال است. تا زمانی که فرآیندهای استخدام و دسترسی‌های داخلی با بالاترین استانداردهای امنیتی تطبیق نیابد، دارایی‌های میلیارد دلاری همچنان در معرض تهدید ارتش‌های سایبری قرار خواهند داشت.