Binance توضح سرقة 6.43 مليار دولار عبر مقابلات وهمية وإساءة استخدام أداة ذكاء اصطناعي

قالت Binance يوم الثلاثاء إن سرقة أصول بقيمة 6.43 مليار دولار من أكبر بورصة للعملات المشفرة في العالم كانت نتيجة حملة متطورة متعددة المراحل شملت هندسة اجتماعية، وبرمجيات خبيثة، وإساءة استخدام أدوات داخلية. وقالت الشركة إن الهجوم استهدف مهندسين اثنين وجمع بين مقابلات توظيف وهمية، وتنصيب Homebrew معبأ ببرمجيات خبيثة، وأدوات ذكاء اصطناعي داخلية مخترقة، واختراق نقاط النهاية، وطريقة متقدمة لتفويض المعاملات.

كيف بدأ الهجوم

كانت نقطة البداية هجوم سلسلة توريد استهدف مهندسا من فريق Wallet DevOps، يُشار إليه باسم Engineer A، الذي نزّل مُنصّب Homebrew معبأ ببرمجيات خبيثة أثناء بحثه عن أداة ذكاء اصطناعي شائعة في يونيو 2026. وقالت Binance إنها اكتشفت ذلك الهجوم وقامت بتدوير بيانات الاعتماد ذات الصلة احترازا، لكن معلومات عن Engineer A وزملائه ذوي الصلة في فريق بنية المحفظة التحتية تسربت. في سبتمبر 2026، تواصل فاعل تهديد مع مهندس ثانٍ، Engineer B، عبر منصة مشروعة للبحث عن عمل وهو يتنكر في هيئة مدير مشروع، ثم رتب مقابلات مع ممثل الموارد البشرية وشخص ادعى أنه الرئيس التنفيذي لشركة غير موجودة.

خلال مقابلة الفيديو في الجولة الأولى، شارك ممثل الموارد البشرية حسابا على وسائل التواصل الاجتماعي يحتوي على صور وفيديوهات شخصية لبناء الثقة. في الجولة الثانية، التي أُجريت على تطبيق دردشة اجتماعية شائع، طُلب من Engineer B تنزيل مهمة تحتوي على مستودع كود خبيث على حاسوب عمله. نفّذ المستودع كودا خبيثا أثناء الإعداد، واستخدمت البرمجيات الخبيثة تقنيات تعتيم وإخفاء، واستبدلت مكونا مشروعا لأداة تطوير بنسخة مسممة، وتواصلت مع خادم يتحكم فيه المهاجم، وأزالت آثارا جنائية رقمية.

إساءة استخدام الأنظمة الداخلية

في 20 أكتوبر 2026، استخدم المهاجم حاسوب Engineer B المخترق وأساء استخدام أداة ذكاء اصطناعي داخلية للسيطرة على Engineer A ومهندس برمجيات محفظة آخر، يُشار إليه باسم Engineer C. وجد المهاجم أن Engineer A كان يمتلك رمز صلاحية نشر حاوية على حاسوبه. بين 17:15 و19:56 في 29 أكتوبر، سجل المهاجم الدخول إلى حاسوب Engineer C، واستخدم بيانات اعتماد مسروقة من Engineer A، ونشر حاوية، وشغّل نصا برمجيا خبيثا. وفي نهاية المطاف استخدم الهجوم وصولا غير مصرح به إلى خدمة توقيع محفظة داخلية لبدء معاملات خارج عملية السحب العادية.

الاستجابة والتهديدات الأوسع

اعتبارا من 3 نوفمبر، قالت Binance إنها أعادت بناء نظام المحفظة المتأثر في بيئة جديدة وأعادت بناء أداة الذكاء الاصطناعي الداخلية وضوابط الوصول. واستبدلت الأجهزة المتأثرة، وألغت بيانات الاعتماد والرموز المرتبطة بالمهندسين المتأثرين، وأكملت فحوصات أمنية معززة عبر جميع أجهزة الموظفين، وعززت كشف الشذوذ السلوكي المعتمد على الذكاء الاصطناعي، وقوّت ضوابط مخاطر خدمة المحفظة، وعملت مع إنفاذ القانون، وشركات استخبارات سلسلة الكتل، وشركاء الصناعة لتتبع الأصول المتأثرة وتجميدها. وقالت الشركة إن نقاط الدخول المستخدمة في الهجوم أُغلقت والأنظمة التي مسّها مسار الهجوم أُعيد بناؤها أو استبدالها.

وقالت Binance أيضا إنها تزيد الاستثمار في الكشف الممكّن بالذكاء الاصطناعي، وحماية نقاط النهاية، وأمن بيئة المطورين، ومراقبة الشذوذ السلوكي. ومنذ بداية العام، تقدّر أنها أحبطت 57 حالة تهديد إلكتروني مشتبه بارتباطها بكوريا الشمالية. وتشمل التقنيات في تلك الحالات مقابلات توظيف احتيالية، وبرمجيات خبيثة متنكرة في هيئة أدوات تطوير شائعة، وحزم برمجيات وإضافات متصفح مخترقة، وتطبيقات مؤتمرات فيديو وهمية، وحملات هندسة اجتماعية مصممة لسرقة بيانات الاعتماد أو نشر برمجيات خبيثة للوصول عن بُعد.

تغطية سابقة: Binance تستأنف عمليات السحب بعد اختراق عملات مشفرة بقيمة 6.3 مليار دولار · قراصنة كوريا الشمالية مسؤولون عن سرقة Binance بقيمة 6.3 مليار دولار

المصادر: The Hacker News