فشلت سنوات من التحذيرات في منع سرقة السجلات. كشفت حادثة Binance عن استراتيجية الاختراق طويلة المدى التي يتبعها المتسللون الكوريون الشماليون.

الملخص:

تُظهر أحدث تفاصيل التحقيق التي كشفت عنها Binance، أكبر بورصة للعملات المشفرة في العالم، أن الهجوم السيبراني الذي أدى إلى سرقة 6.3 مليار دولار من الأصول المشفرة لم يكن عملية مفاجئة، ولكنه عملية اختراق للهندسة الاجتماعية تم التخطيط لها بعناية واستمرت لعدة أشهر. في الواقع، كان الباحثون الأمنيون يحذرون الصناعة من هجمات مماثلة منذ سنوات، لكن هذه الحادثة، التي سجلت الرقم القياسي لأكبر سرقة في تاريخ صناعة العملات المشفرة، لا تزال تحدث.

وفقًا لأحدث وصف أصدرته Binance في 3 نوفمبر، تظاهر قراصنة كوريون شماليون بأنهم مسئولو توظيف واتصلوا بمهندس برمجيات مسؤول عن أعمال المحفظة من خلال هوية مزيفة على وسائل التواصل الاجتماعي. وبعد جولتين من عمليات المقابلة التي تبدو طبيعية، طلب الطرف الآخر من المهندس تنزيل ما يسمى بمهمة اختبار البرمجة. ومع ذلك، كانت هناك تعليمات برمجية ضارة مخفية في هذا المستند، والتي تم تشغيلها بنجاح في غزو أجهزة كمبيوتر الشركة التي يستخدمها الموظفون، وفشلت أدوات الأمان الموجودة في Binance في اكتشاف البرامج الضارة ذات الصلة.

بعد أن حصل المتسللون على حق الوصول الأولي، استخدموا أيضًا الأنظمة الداخلية للشركة لتوسيع نتائجهم. لقد تمكنوا من الوصول إلى مجموعة داخلية من الأدوات التي سمحت لهم بالتحكم عن بعد في أجهزة كمبيوتر الموظفين الآخرين، وبذلك، استولوا على أجهزة مهندسين آخرين في فريق المحفظة.

كشف التحقيق أن أحد المهندسين قام عن طريق الخطأ بتنزيل تطبيق تم العبث به أثناء البحث عن برنامج منذ عدة أشهر، مما أدى إلى زرع برامج ضارة لسرقة كلمة المرور في الجهاز. على الرغم من أن Binance استبدلت الكمبيوتر المصاب لاحقًا، إلا أن المتسللين واصلوا أنشطتهم باستخدام بيانات الاعتماد المسروقة سابقًا وفي النهاية قاموا باختراق جهاز مهندس ثالث. وكانت وظيفة الموظف تتمتع بإمكانية الوصول إلى الأنظمة المهمة التي أدارت مليارات الدولارات من الأصول المشفرة، مما مهد الطريق للسرقة في نهاية المطاف.

اعترفت Binance في بيان لها بأن الحادث "لم يكن من المفترض أن يحدث" وقالت إن الشركة عززت إجراءات أمن الشبكة بعد الحادث. متأثرة بالهجوم، قامت منصة Binance بتعليق خدمات السحب لعملاء المنصة مؤقتًا الأسبوع الماضي.

ونسب مكتب التحقيقات الفيدرالي ووكالة تحقيقات blockchain الهجوم إلى كوريا الشمالية. وفي السنوات الأخيرة، اتُهمت كوريا الشمالية بشكل متكرر بسرقة الأصول المشفرة على نطاق واسع لتمويل برنامجها للأسلحة النووية، والذي يخضع لعقوبات دولية.

يسلط هذا الحادث الضوء مرة أخرى على التكتيكات التي استخدمها قراصنة كوريا الشمالية لفترة طويلة. لقد حذر باحثو الأمن السيبراني منذ سنوات من أن مجموعات الهجوم الكورية الشمالية غالبًا ما تتظاهر بأنها شركات رأس مال استثماري ومستثمرين ومستشاري توظيف وعاملين في مجال تكنولوجيا المعلومات عن بعد، باستخدام معلومات هوية المواطن الأمريكي المسروقة لإنشاء صورة موثوقة وخداع الأهداف لفتح أذونات النظام.

في الواقع، هذا النوع من أساليب الهجوم معروف منذ فترة طويلة في صناعة العملات المشفرة. أصدرت الحكومة الأمريكية والعديد من شركات الأمن السيبراني الكبيرة تحذيرات متعددة في السنوات الأخيرة. وتشير البيانات ذات الصلة إلى أن ما يقرب من نصف عمليات اقتحام الشبكة التي حدثت في صناعة التكنولوجيا الأمريكية العام الماضي وحده تُعزى إلى قراصنة كوريين شماليين يتظاهرون بأنهم موظفون في مجال تكنولوجيا المعلومات عن بعد أو موظفون مزيفون.

وفقًا للبيانات التي كشفت عنها Binance، فقد سجلت الشركة سابقًا ما لا يقل عن 57 محاولة هجوم يشتبه في أنها قادمة من كوريا الشمالية. وقالت Binance إن هذا يوضح تمامًا التهديد المستمر الذي تشكله مجموعات الهجوم التابعة للدولة القومية ضد صناعة العملات المشفرة.

ومع ذلك، قد يستمر المحققون في التركيز على سؤالين رئيسيين في المستقبل: كيف نجح المتسللون في إقناع الموظفين بتنزيل البرامج الضارة عندما تم الكشف عن أساليب الهجوم هذه على نطاق واسع؛ ولماذا فشلت شبكة Binance الداخلية في منع المهاجمين بشكل فعال من المزيد من الاختراق الجانبي والحصول على امتيازات أعلى.

وأشار المحللون إلى أنه على الرغم من أن القضية أثبتت مرة أخرى أن المتسللين الكوريين الشماليين يجيدون استغلال فرص التوظيف وإغراءات التطوير الوظيفي لتنفيذ هجمات الهندسة الاجتماعية، إلا أن الشركات تتحمل أيضًا مسؤوليات مهمة. لا تحتاج الشركات إلى تحسين الوعي الأمني ​​للموظفين فحسب، بل يجب عليها أيضًا التأكد من أن الأنظمة الداخلية لا يمكنها تشغيل برامج غير مصرح بها أو غير موثوقة حسب الرغبة، وتقليل خطر تحول نقطة فشل واحدة إلى حادث أمني كبير من الناحية الفنية.

فيما يتعلق بالتفاصيل المحددة للحادث، رفض المتحدث باسم Binance، روس أوليري، الرد على أسئلة وسائل الإعلام حول آليات الحماية الطرفية للموظفين، وقيود تنفيذ التعليمات البرمجية الضارة، وما إذا كان قد تم إجراء تدقيق لأمن شبكة الطرف الثالث قبل الحادث. وذكر فقط أن الشركة ستدعو خبراء أمنيين خارجيين للمشاركة في التحقيق، وقد نشرت إجراءات وقائية جديدة لتجنب وقوع حوادث مماثلة مرة أخرى.

في الوقت الحالي، تظل سرقة 6.3 مليار دولار هذه أكبر سرقة في تاريخ العملات المشفرة.