Binance מפרטת גניבת 6.43 מיליארד דולר באמצעות ראיונות מזויפים וניצול לרעה של כלי AI

Binance אמרה ביום שלישי כי גניבת נכסים בשווי 6.43 מיליארד דולר מהבורסה הגדולה בעולם למטבעות קריפטוגרפיים הייתה תוצאה של קמפיין מתוחכם ורב-שלבי שכלל הנדסה חברתית, תוכנה זדונית וניצול לרעה של כלים פנימיים. החברה אמרה שהתקיפה כוונה לשני מהנדסים ושילבה ראיונות גיוס מזויפים, התקנת Homebrew שעברה שיבוש, כלי AI פנימיים שנפגעו, פגיעה בנקודת קצה ושיטת אישור עסקאות מתקדמת.

איך החלה התקיפה

נקודת המוצא הייתה תקיפת שרשרת אספקה נגד מהנדס מצוות Wallet DevOps, המכונה Engineer A, שהוריד מתקין Homebrew נגוע בסוס טרויאני בזמן שחיפש כלי בינה מלאכותית פופולרי ביוני 2026. Binance אמרה שהיא זיהתה את התקיפה והחליפה אישורי גישה קשורים כאמצעי זהירות, אך מידע על Engineer A ועמיתים קשורים בצוות תשתית הארנק נחשף. בספטמבר 2026, שחקן איום יצר קשר עם מהנדס שני, Engineer B, דרך פלטפורמת חיפוש עבודה לגיטימית תוך התחזות למנהל פרויקט, ואז ארגן ראיונות עם נציג משאבי אנוש ואדם שהתחזה למנהל כללי של חברה שאינה קיימת.

במהלך ראיון הווידאו בסיבוב הראשון, נציג משאבי האנוש שיתף חשבון ברשת חברתית עם תמונות וסרטונים אישיים כדי לבנות אמון. בסיבוב השני, שנערך באפליקציית צ'אט חברתית פופולרית, נאמר ל-Engineer B להוריד מטלה שהכילה מאגר קוד זדוני למחשב העבודה שלו. המאגר הפעיל קוד זדוני במהלך ההתקנה, והתוכנה הזדונית השתמשה בטכניקות ערפול והתחמקות, החליפה רכיב לגיטימי של כלי פיתוח בגרסה מורעלת, תקשרה עם שרת שנשלט בידי התוקף והסירה עקבות פורנזיות.

ניצול לרעה של מערכות פנימיות

ב-20 באוקטובר 2026, התוקף השתמש במחשב שנפגע של Engineer B וניצל לרעה כלי AI פנימי כדי להשתלט על Engineer A ועל מהנדס תוכנה נוסף בארנק, המכונה Engineer C. התוקף גילה של-Engineer A היה טוקן הרשאה לפריסת קונטיינר במחשב שלו. בין 17:15 ל-19:56 ב-29 באוקטובר, התוקף התחבר למחשב של Engineer C, השתמש באישורים שנגנבו מ-Engineer A, פרס קונטיינר והפעיל סקריפט זדוני. התקיפה השתמשה בסופו של דבר בגישה בלתי מורשית לשירות חתימת ארנק פנימי כדי ליזום עסקאות מחוץ לתהליך המשיכה הרגיל.

תגובה ואיומים רחבים יותר

נכון ל-3 בנובמבר, מסרה Binance כי שחזרה את מערכת הארנקים שנפגעה בסביבה חדשה ובנתה מחדש את כלי הבינה המלאכותית הפנימי ואת בקרות הגישה. היא החליפה מכשירים שנפגעו, ביטלה אישורים ואסימונים הקשורים למהנדסים שנפגעו, השלימה סריקות אבטחה משופרות בכל מכשירי העובדים, שיפרה זיהוי חריגות התנהגותיות מבוסס בינה מלאכותית, חיזקה בקרות סיכון בשירות הארנקים, ופעלה עם אכיפת החוק, חברות מודיעין בלוקצ'יין ושותפים בתעשייה כדי לעקוב אחר נכסים שנפגעו ולהקפיא אותם. החברה מסרה כי נקודות הכניסה ששימשו במתקפה נסגרו, ומערכות שנגעו בהן במסלול המתקפה נבנו מחדש או הוחלפו.

בנוסף מסרה Binance כי היא מגדילה את ההשקעה בזיהוי המופעל בבינה מלאכותית, הגנת נקודות קצה, אבטחת סביבת פיתוח וניטור חריגות התנהגותיות. מאז תחילת השנה, היא מעריכה כי סיכלה 57 מקרים חשודים של איומי סייבר המקושרים לצפון קוריאה. הטכניקות במקרים אלה כוללות ראיונות עבודה מזויפים, תוכנה זדונית המוסווית ככלים פופולריים למפתחים, חבילות תוכנה ותוספי דפדפן שנפרצו, יישומי וידאו-קונפרנס מזויפים, וקמפיינים של הנדסת חברה שמטרתם לגנוב אישורים או לפרוס תוכנת גישה מרחוק זדונית.

סיקור קודם: Binance מחזירה משיכות לאחר פריצת קריפטו של 6.3 מיליארד דולר · האקרים מצפון קוריאה מואשמים בגניבה של 6.3 מיליארד דולר מ-Binance

מקורות: The Hacker News