هکرها با مصاحبه شغلی جعلی و هوش مصنوعی داخلی به بایننس نفوذ کردند

بایننس میگوید هکرهای منتسب به کره شمالی با مصاحبههای شغلی جعلی، بدافزار و ابزار هوش مصنوعی داخلی این شرکت رمزارزها را به سرقت بردند.

بایننس جزئیات تازهای از حمله سایبری منجر به سرقت ۶.۳ میلیارد دلار رمزارز منتشر کرده است که در آن هکرهای منتسب به کره شمالی با استفاده از آگهی در موتور جستوجو، مصاحبههای شغلی جعلی و دسترسی به ابزار هوش مصنوعی داخلی این شرکت، طی چند ماه به سیستمهای آن نفوذ کردند. این سرقت که به گروه هکری کره شمالی موسوم به TraderTraitor نسبت داده شده، بزرگترین سرقت رمزارزی ثبتشده تاکنون محسوب میشود.

براساس گزارش بایننس، روند نفوذ از ماه ژوئن آغاز شد؛ زمانی که یکی از توسعهدهندگان شرکت، نرمافزاری دستکاریشده را از طریق یک آگهی در گوگل دانلود کرد. این بدافزار اطلاعاتی درباره مهندسان شرکت و نحوه کار آنها در اختیار مهاجمان قرار داد.

تیم امنیتی بایننس در همان زمان نصب اولیه بدافزار را شناسایی و دستگاه آلوده کارمند را تعویض کرد؛ اما مهاجمان همچنان با استفاده از اطلاعات سرقتشده به مسیر نفوذ ادامه دادند.

در ماه سپتامبر، هکرها مهندس دیگری از تیم توسعه کیف پولهای رمزارزی بایننس را هدف گرفتند. آنها خود را بهعنوان استخدامکنندگان یک شرکت معرفی کردند و با این مهندس تماس گرفتند تا او را به شرکت خود جذب کنند. مهاجمان برای باورپذیر کردن این پیشنهاد شغلی، چندین تماس و جلسه مصاحبه ترتیب دادند و با ارائه حسابهای کاربری جعلی در شبکههای اجتماعی، هویت ساختگی خود را معتبر جلوه دادند. پس از جلب اعتماد مهندس، از او خواستند فایلی حاوی تکلیف برنامهنویسی مربوط به فرایند استخدام را دانلود کند؛ فایلی که در واقع به بدافزار آلوده بود.

نفوذ به ابزارهای داخلی بایننس

به گفته این شرکت، بدافزار با حذف فایل اجرایی ابزار توسعه pyenv و جایگزین کردن آن با نسخهای مخرب، امکان اجرای فرمانها و برقراری ارتباط با سرور خارجی تحت کنترل مهاجمان را فراهم کرد. هکرها همچنین از روشهای پنهانسازی و دور زدن سازوکارهای امنیتی استفاده کردند تا فعالیتهای مخرب و آثار نفوذ را مخفی نگه دارند.

بایننس اعلام کرد این بدافزار از آسیبپذیری روز صفر (Zero-day) بهره میبرد و ابزارهای محافظت از نقاط پایانی شبکه در آن زمان قادر به شناسایی آن نبودند. تا ۲۰ اکتبر، مهاجمان با استفاده از ابزار هوش مصنوعی داخلی بایننس توانستند کنترل کیف پولهای مرتبط با مهندسی را که در ماه ژوئن هدف قرار گرفته بود، در اختیار بگیرند. آنها همچنین به سیستمهای مهندس سومی دسترسی پیدا کردند. این ابزار داخلی امکان کنترل کامپیوترهای کاری دو مهندس دیگر در تیم کیف پول را فراهم میکرد.

مهاجمان در ۲۹ اکتبر وارد کامپیوتر مهندس سوم شدند و حمله نهایی را آغاز کردند. دسترسی این کارمند به سیستمهای کنترلکننده میلیاردها دلار رمزارز، نقش مهمی در اجرای سرقت داشت.

پژوهشگران امنیت سایبری سالها پیش درباره استفاده هکرهای کره شمالی از روشهای مهندسی اجتماعی هشدار داده بودند. این گروهها معمولاً با هویتهای جعلی سرمایهگذاران خطرپذیر، سرمایهگذاران یا استخدامکنندگان با کارکنان شرکتهای فناوری و فعالان صنعت رمزارز ارتباط برقرار میکنند و طی هفتهها یا ماهها اعتماد آنها را به دست میآورند.

بایننس در گزارش خود توضیح داده است که چرا نتوانست تراکنشهای مخرب را که نزدیک به دو ساعت پس از نخستین انتقالهای غیرمجاز انجام شدند، متوقف کند.

به گفته شرکت، کیف پول گرم مورد استفاده از فناوری محاسبات چندجانبه (MPC) بهره میبرد؛ روشی که در آن کلید خصوصی واحدی وجود ندارد. به همین دلیل، امکان لغو فوری مجوزهای مخرب EIP-7702 با استفاده از یک کلید خصوصی منفرد فراهم نبود.

ریچارد تنگ، مدیرعامل بایننس، اعلام کرده است که هیچیک از کاربران متحمل زیان نخواهند شد. به گفته او، حدود ۲.۸۵ میلیارد دلار از داراییهای سرقتشده مسدود یا رهگیری شده است.