یک مهندس نرم‌افزار با آنچه که به نظر می‌رسید یک رویکرد عادی از سوی یک استخدام‌کننده بود، مواجه شد. استخدام‌کننده هویت قابل قبولی داشت، مصاحبه ویدیویی زنده برگزار کرد و در مرحله بعد یک تکلیف فنی ارائه داد.
این تکلیف حاوی بدافزار بود.
بایننس می‌گوید که فرآیند استخدام جعلی یکی از چندین نقطه ورود مشکوک بود که قبل از اینکه مهاجمان حدود ۶.۳۶ میلیارد دلار از کیف پول‌های خود را در ۲۹ اکتبر ۲۰۲۶ خارج کنند، مورد استفاده قرار گرفت. FBI از آن زمان این سرقت را به کره شمالی نسبت داده و فعالیت مسئول را TraderTraitor شناسایی کرده است.
این حادثه به عنوان بزرگترین سرقت ارز دیجیتال در تاریخ توصیف می‌شود. اهمیت آن فراتر از مبلغ سرقت شده است. این نشان می‌دهد که عاملان کره‌ای از هر دو طرف بازار کار استفاده می‌کنند: خود را به عنوان توسعه‌دهنده برای ورود به شرکت‌های فناوری معرفی می‌کنند و به عنوان استخدام‌کننده برای به خطر انداختن افرادی که در حال حاضر در داخل آنها کار می‌کنند.
در هک بایننس چه اتفاقی افتاد؟
بر اساس گزارش شرکت اطلاعات بلاک‌چین TRM Labs، مهاجمان حدود ۶.۳۶ میلیارد دلار از کیف پول‌های بایننس را در ۱۰ بلاک‌چین منتقل کردند. بیشتر وجوه در حدود ۲۰ دقیقه منتقل شد.
دارایی‌های تحت تأثیر گزارش شده شامل توکن‌ها در شبکه‌های بیت‌کوین، اتریوم، سولانا، XRP، آربیتروم و سایر شبکه‌ها بود. بایننس تأیید کرد که یکی از کیف پول‌های گرم متصل به آن درگیر بوده است، در حالی که اعلام کرد بیشتر دارایی‌های مشتریان در ذخیره‌سازی سرد آفلاین باقی مانده است.
بایننس گفت که بیش از ۶.۳۴ میلیارد دلار از وجوه شرکت را برای پوشش ضررها اختصاص داده است. این صرافی و شرکای بلاک‌چین آن نیز حدود ۳ میلیارد دلار از دارایی‌های تحت تأثیر را مسدود کردند.
مسدود کردن مانع از انتقال برخی دارایی‌ها از طریق شبکه‌های شرکت‌کننده، صادرکنندگان یا خدمات می‌شود. این لزوماً به معنای بازیابی و بازگرداندن وجوه نیست. مهاجمان ممکن است همچنان دارایی‌هایی را که قبلاً مبادله شده‌اند، پل زده شده‌اند یا فراتر از دسترس سازمان‌های شرکت‌کننده منتقل شده‌اند، کنترل کنند.
چرا FBI کره شمالی را مقصر دانست
FBI این حمله را به کره شمالی نسبت داد و آن را به TraderTraitor مرتبط کرد، برچسبی که برای فعالیت‌های مخرب مرتبط با عملیات سایبری این کشور استفاده می‌شود.
این اداره هشدار داد که انتظار می‌رود مهاجمان به پولشویی دارایی‌های سرقت شده از طریق پروتکل‌های مالی غیرمتمرکز و خدمات مبادله فوری ادامه دهند. این ابزارها به کاربران اجازه می‌دهند دارایی‌ها را بین توکن‌ها یا شبکه‌ها مبادله کنند و به طور بالقوه رد پای پول را پیچیده‌تر کنند.
تراکنش‌های بلاک‌چین قابل مشاهده باقی می‌مانند، اما قابلیت مشاهده تضمین‌کننده بازیابی نیست. محققان باید کیف پول‌ها را در شبکه‌های مختلف به هم متصل کنند، تعیین کنند که کدام خدمات استفاده شده‌اند و افرادی را که کنترل آدرس‌ها را دارند شناسایی کنند. هنگامی که دارایی‌ها به پلتفرم‌هایی می‌رسند که با اجرای تحریم‌ها یا درخواست‌های شناسایی همکاری نمی‌کنند، بازیابی دشوارتر می‌شود.
TRM Labs گفت که ویژگی‌های این حمله شبیه سرقت‌های قبلی مرتبط با کره شمالی است. Chainalysis نیز ارزیابی کرد که TraderTraitor احتمالاً مسئول بوده است. نسبت دادن FBI به این ادعا وزن رسمی می‌دهد، اگرچه سوابق کامل پزشکی قانونی منتشر نشده است.
مصاحبه جعلی یکی از نقاط ورود بود
بایننس گفت که یکی از مهندسان آن در ماه سپتامبر از طریق یک پلتفرم جستجوی شغل معتبر توسط فردی که ادعا می‌کرد نماینده یک شرکت ساختگی است، تماس گرفته شد.
در طول مصاحبه اول، فردی که خود را به عنوان نماینده منابع انسانی معرفی می‌کرد، در یک تماس ویدیویی زنده ظاهر شد. پروفایل حاوی محتوای شخصی و سابقه حرفه‌ای کافی برای معتبر به نظر رسیدن بود.
دور دوم شامل یک تکلیف فنی بود. از مهندس خواسته شد تا یک مخزن کد را که برای انتقال بدافزار اصلاح شده بود، دانلود کند.
بایننس همچنین حادثه جداگانه‌ای را کشف کرد که در آن مهندس دیگری هنگام تلاش برای راه‌اندازی یک ابزار کدنویسی هوش مصنوعی، یک نصب‌کننده نرم‌افزار دستکاری شده را دانلود کرد. تیم امنیتی آن نصب را شناسایی کرد، دستگاه را جایگزین کرد و اعتبارنامه‌ها را چرخاند. این شرکت بعداً گفت که کارمند و همکارانش ممکن است همچنان در معرض خطر باشند.
بایننس چندین نقطه نفوذ مشکوک را شناسایی کرد. بنابراین، شواهد از کاهش کل سرقت به یک مصاحبه یا یک کارمند پشتیبانی نمی‌کند. رویکرد استخدام به نظر می‌رسد بخشی از یک کمپین گسترده‌تر بوده است که ماه‌ها افراد دارای دسترسی به سیستم‌های ارزشمند را هدف قرار داده است.
چرا مصاحبه‌های شغلی به عنوان روش حمله عمل می‌کنند
یک مصاحبه فنی به مهاجم چیزی می‌دهد که یک ایمیل فیشینگ معمولی نمی‌دهد: دلیلی قابل باور برای درخواست از هدف برای اجرای کد.
مهندسان نرم‌افزار به طور معمول مخازن را کلون می‌کنند، بسته‌ها را بررسی می‌کنند و ابزارهای توسعه را نصب می‌کنند. یک تکلیف مصاحبه که بر اساس آن اقدامات ساخته شده است، می‌تواند با رویه استخدام عادی سازگار به نظر برسد. مهاجم نیازی به ایجاد وحشت یا وعده پاداش غیرقابل قبول ندارد. درخواست در چارچوب قرار می‌گیرد.
کارجویان همچنین ممکن است در بازار کار دشوار به مخاطبین جدید پاسخگوتر باشند. یک استخدام‌کننده متقاعدکننده، یک پروفایل شرکت واقع‌بینانه و چندین دور گفتگو می‌تواند قبل از دانلود هر فایلی، سوء ظن را کاهش دهد.
این مهندسی اجتماعی است که برای توسعه‌دهندگان تطبیق داده شده است. مهاجم به جای درخواست مستقیم اعتبارنامه‌ها، وضعیتی را ایجاد می‌کند که در آن هدف داوطلبانه نرم‌افزار مخرب را به یک محیط مورد اعتماد معرفی می‌کند.
کره شمالی از هر دو طرف استخدام از راه دور سوءاستفاده می‌کند
استخدام جعلی تنها بخشی از عملیات است.
کارگران فناوری اطلاعات کره شمالی همچنین از هویت‌های سرقت شده و سوابق شغلی جعلی برای به دست آوردن مشاغل واقعی در شرکت‌های فناوری و مالی استفاده کرده‌اند. دستمزد آنها سپس می‌تواند از طریق حساب‌ها، کیف پول‌های ارز دیجیتال و واسطه‌ها منتقل شود قبل از اینکه به سازمان‌های مرتبط با دولت کره شمالی برسد.
اقدام ۲۸ اکتبر توسط وزارت خزانه‌داری ایالات متحده، ۱۰ فرد و یک نهاد مرتبط با این طرح‌ها را تحریم کرد. دو شهروند روسی متهم به تبدیل حدود ۵.۵ میلیون دلار ارز دیجیتال برای شبکه‌های کارگران فناوری اطلاعات کره شمالی شدند.
Chainalysis یک جریان را از کیف پولی که پرداخت‌های استیبل‌کوین شبیه حقوق را نشان می‌داد به آدرس‌های تجمیعی تحریم شده و سپس به یک واسطه روسی ردیابی کرد. وجوه در نهایت برای تبدیل به Garantex، یک صرافی تحریم شده روسی ارسال شد.
تحقیق Chainalysis گفت که شبکه گسترده‌تر کارگران فناوری اطلاعات ممکن است سالانه بین ۲۵۰ میلیون تا ۶۰۰ میلیون دلار درآمد برای کره شمالی ایجاد کند و به تخمین‌های هیئت سازمان ملل استناد کرد.
هیچ مدرک عمومی مبنی بر اینکه روس‌های تحریم شده در ۲۸ اکتبر در سرقت بایننس شرکت کرده باشند، وجود ندارد. این پرونده‌ها بخش‌های مختلفی از همان استراتژی گسترده‌تر را نشان می‌دهند تا یک گروه مشخص از متهمان.
هوش مصنوعی هویت‌های جعلی را قانع‌کننده‌تر می‌کند
گزارش شده است که عاملان کره‌ای از هوش مصنوعی مولد برای تهیه رزومه، نوشتن نامه‌های پوششی و تمرین مصاحبه‌های فنی استفاده کرده‌اند. تصاویر پروفایل تولید شده توسط هوش مصنوعی و ویدیوهای دستکاری شده می‌توانند به متقاضیان کمک کنند تا هویت واقعی خود را در طول تماس‌های از راه دور پنهان کنند.
همین ابزارها می‌توانند از استخدام‌کنندگان جعلی پشتیبانی کنند. یک مهاجم می‌تواند هویت شرکت را ایجاد کند، پروفایل‌های حرفه‌ای ایجاد کند و مکالمات نوشتاری قانع‌کننده‌ای را بدون خطاهای زبانی که زمانی تقلب را آسان‌تر تشخیص می‌داد، حفظ کند.
ویدئوی دیپ‌فیک نیازی به کامل بودن ندارد. در یک مصاحبه کوتاه که از طریق یک فید ویدیویی فشرده انجام می‌شود، مشکلات جزئی بصری ممکن است شبیه مشکلات عادی شبکه به نظر برسند. یک نامزد یا استخدام‌کننده همچنین می‌تواند کیفیت دوربین، پهنای باند یا نگرانی‌های حریم خصوصی را برای تار نگه داشتن پس‌زمینه مقصر بداند.
هوش مصنوعی طرح اصلی را ایجاد نکرده است. هزینه نگهداری چندین هویت جعلی را کاهش داده و غربالگری اولیه را کمتر قابل اعتماد کرده است.
پرونده تحریم‌های قبلی خط مالی را توضیح می‌دهد
تحریم‌های ۲۸ اکتبر زمینه مفیدی را برای آنچه پس از دریافت پرداخت‌های ارز دیجیتال توسط عاملان کره‌ای اتفاق می‌افتد، فراهم می‌کند.
وزارت خزانه‌داری ایالات متحده ادعا کرد که ایליה الکساندرویچ بویکوف، شهروند روسی، حدود ۳.۵ میلیون دلار ارز دیجیتال را برای Alis، یک شرکت تحریم شده مرتبط با کارگران فناوری اطلاعات کره شمالی، تبدیل کرده است. ویتولد ویکتورویچ اوبرتاس متهم به تبدیل نزدیک به ۲ میلیون دلار ارز دیجیتال و پردازش حداقل ۱.۲۵ میلیون دلار تراکنش ارزی دیگر برای مقامات کره‌ای شد.
وزارت خزانه‌داری همچنین مرکز توسعه مالی و فنی اول، یک سازمان تحت کنترل کره شمالی که در روسیه فعالیت می‌کند را تحریم کرد. شش کارگر مرتبط با این سازمان ادعا شده است که از سال ۲۰۲۵ بیش از ۷۵۰,۰۰۰ دلار درآمد داشته‌اند.
این انتصابات نشان می‌دهد که این عملیات بیش از افرادی که می‌توانند مصاحبه‌های فنی را پشت سر بگذارند، نیاز دارد. همچنین به مدیران، ارائه‌دهندگان هویت، اپراتورهای لپ‌تاپ، کنترل‌کنندگان کیف پول و واسطه‌هایی نیاز دارد که قادر به تبدیل دارایی‌های دیجیتال به وجوه قابل استفاده باشند.
تحریم یک کیف پول ممکن است یک مسیر را مختل کند. شبکه می‌تواند با تغییر آدرس‌ها، زنجیره‌ها، واسطه‌ها یا خدمات نقدینگی پاسخ دهد. به همین دلیل است که نظارت بر تراکنش‌ها باید روابط و رفتار را بررسی کند به جای اینکه فقط به یک لیست سیاه ثابت تکیه کند.
چرا شرکت‌های ارز دیجیتال اهداف جذابی هستند
شرکت‌های ارز دیجیتال کار از راه دور را با دسترسی مستقیم به ارزش قابل انتقال ترکیب می‌کنند.
توسعه‌دهندگان ممکن است به کد منبع، ابزارهای استقرار، زیرساخت ابری یا سیستم‌های کیف پول داخلی دسترسی داشته باشند. مهندسان امنیتی ممکن است با اعتبارنامه‌هایی کار کنند که چندین شبکه را محافظت می‌کنند. مهاجمی که یک نقطه پایانی را به خطر می‌اندازد می‌تواند به دنبال مسیری به سیستم‌هایی باشد که دارایی‌هایی را نگهداری می‌کنند که می‌توانند در هر ساعتی منتقل شوند.
انتقالات مالی سنتی اغلب از طریق سیستم‌های تسویه، بانک‌ها و کنترل‌های ساعات کاری عبور می‌کنند. یک تراکنش ارز دیجیتال می‌تواند در عرض چند دقیقه در سراسر مرزها تسویه شود. این سرعت به نفع کاربران قانونی است، اما زمان موجود برای توقف سرقت را نیز کوتاه می‌کند.
حادثه بایننس مقیاس این مشکل را نشان می‌دهد. حتی با وجود اینکه شرکای بلاک‌چین نزدیک به نیمی از دارایی‌های سرقت شده را مسدود کردند، میلیاردها دلار قبل از اینکه یک واکنش هماهنگ بتواند مؤثر واقع شود، منتقل شد.
کیف پول‌های گرم مرز امنیتی حیاتی باقی می‌مانند
کیف پول‌های گرم به سیستم‌های آنلاین متصل هستند تا صرافی‌ها بتوانند برداشت‌ها را پردازش کنند. این دسترسی آنها را بیشتر از کیف پول‌های سرد که اعتبارنامه‌های امضا را آفلاین نگه می‌دارند، در معرض خطر قرار می‌دهد.
گزارش AP به نقل از یک کارشناس امنیتی خارجی که پرسید آیا یک مجوز به خطر افتاده ممکن است دسترسی بیش از حد گسترده یا طولانی مدت به کیف پول تحت تأثیر قرار گرفته باشد. بایننس یک حساب فنی کامل منتشر نکرده است و تحقیقات آن همچنان ادامه دارد.
مسئله مربوطه صرفاً این نیست که آیا یک صرافی از کیف پول‌های گرم استفاده می‌کند یا خیر. هر پلتفرم معاملاتی فعال نیاز به راهی برای پردازش برداشت‌های مشتری دارد. سوالات این است که چه مقدار ارزش آنلاین نگهداری می‌شود، چگونه محدودیت‌های تراکنش اجرا می‌شوند و چه تعداد تأییدیه مستقل برای انتقال‌های غیرمعمول لازم است.
یک سیستم ذخیره‌سازی سرد امن می‌تواند ضرر کلی را محدود کند، اما نمی‌تواند از دارایی‌هایی که قبلاً به یک کیف پول عملیاتی منتقل شده‌اند محافظت کند. تشخیص و کنترل تراکنش‌ها همچنان در این مرز اهمیت دارند.
مسدود کردن ۳ میلیارد دلار پایان فرآیند بازیابی نیست
مسدود شدن گزارش شده حدود ۳ میلیارد دلار قابل توجه است. همچنین مقدار قابل توجهی را بدون حل و فصل باقی می‌گذارد.
برخی از صادرکنندگان بلاک‌چین می‌توانند توکن‌ها را در سطح قرارداد مسدود کنند. صرافی‌ها می‌توانند واریزهای متصل به آدرس‌های شناسایی شده را مسدود کنند. اعتبارسنج‌ها، پل‌ها و شرکت‌های تجزیه و تحلیل می‌توانند هنگام شروع انتقال دارایی‌های سرقت شده، به سرعت هشدارها را توزیع کنند.
جلوگیری از انتقال برخی دارایی‌ها دشوارتر است. مهاجمان ممکن است توکن‌ها را از طریق استخرهای غیرمتمرکز مبادله کنند، از زنجیره‌ها عبور کنند، از ابزارهای حریم خصوصی استفاده کنند یا وجوه را از طریق خدماتی که در حوزه‌های قضایی قرار دارند و با مقامات ایالات متحده همکاری نمی‌کنند، هدایت کنند.
FBI به طور خاص هشدار داد که خدمات DeFi و مبادله فوری ممکن است در فرآیند پولشویی ظاهر شوند. این هشدار به معنای مشارکت آگاهانه این خدمات نیست. ابزارهای بدون مجوز می‌توانند توسط مشتریان قانونی و عاملان تحریم شده استفاده شوند.
بازیابی به این بستگی دارد که محققان با چه سرعتی آدرس‌های جدید را شناسایی می‌کنند و چه مقدار از پول باقی‌مانده به خدماتی می‌رسد که قادر به مسدود کردن آن هستند.
شرکت‌ها چه چیزی باید از این حمله بیاموزند
پرونده بایننس نشان می‌دهد که چرا امنیت استخدام نمی‌تواند فقط متعلق به بخش منابع انسانی باشد.
یک تماس شغلی با ظاهر معتبر می‌تواند مسیری به سیستم‌های تولیدی باشد. کدی که در طول مصاحبه دریافت می‌شود باید به عنوان نرم‌افزار غیرقابل اعتماد تلقی شود، حتی زمانی که از طریق یک پلتفرم شغلی شناخته شده می‌آید. آزمایش آن بر روی یک دستگاه جداگانه یا محیط موقت می‌تواند از رسیدن یک مکالمه شغلی عادی به اعتبارنامه‌های شرکت جلوگیری کند.
بررسی هویت همچنین باید پس از استخدام ادامه یابد. شرکتی که اسناد را در روز اول تأیید می‌کند اما دسترسی از راه دور غیرمعمول، مکان‌های دستگاه یا تغییرات پرداخت را نادیده می‌گیرد، ممکن است نشانه‌هایی را مبنی بر اینکه شخص دیگری حساب را تصاحب کرده است، از دست بدهد.
راهنمایی FBI در مورد کارگران فناوری اطلاعات کره شمالی، تأیید مستقل سابقه اشتغال، بررسی ناسازگاری‌های هویتی و توجه دقیق به دستگاه‌های شرکتی که به آدرس‌های شخص ثالث ارسال می‌شوند را توصیه می‌کند. همچنین در مورد نرم‌افزارهای دسترسی از راه دور غیرمجاز و «مزارع لپ‌تاپ» مستقر در ایالات متحده که برای پنهان کردن مکان واقعی کارگر استفاده می‌شوند، هشدار می‌دهد.
برای شرکت‌های ارز دیجیتال، کنترل‌های استخدام، امنیت دستگاه، مجوزهای کیف پول و غربالگری تحریم‌ها باید به عنوان یک سیستم واحد عمل کنند. مهاجمان در حال حاضر با آنها به این شکل رفتار می‌کنند.
Tapbit تجزیه و تحلیل بازار و آموزش ارز دیجیتال را برای خوانندگانی که نیروهای شکل‌دهنده بازارهای دارایی دیجیتال را دنبال می‌کنند، منتشر می‌کند. آخرین پوشش را در Tapbit کاوش کنید، از طریق ورود به Tapbit به حساب موجود دسترسی پیدا کنید، یا برای کسب اطلاعات بیشتر در مورد پلتفرم با Tapbit ثبت نام کنید.
سوالات متداول
چه کسی بایننس را در اکتبر ۲۰۲۶ هک کرد؟
FBI این سرقت را به کره شمالی نسبت داد و آن را با TraderTraitor مرتبط کرد. TRM Labs و Chainalysis بر اساس رفتار حمله و ارتباط آن با حوادث قبلی به ارزیابی‌های مشابهی رسیدند.
چه مقدار از بایننس سرقت شد؟
تقریباً ۶.۳۶ میلیارد دلار دارایی ارز دیجیتال از کیف پول‌های بایننس در ۱۰ بلاک‌چین منتقل شد. این به عنوان بزرگترین سرقت ارز دیجیتال در تاریخ توصیف شده است.
آیا بایننس وجوه مشتریان را از دست داد؟
بایننس گفت که بیش از ۶.۳۴ میلیارد دلار از وجوه شرکت را برای پوشش ضررها اختصاص داده و قول داد از کاربران محافظت کند. این شرکت گزارش داد که بیشتر دارایی‌های مشتریان در ذخیره‌سازی سرد آفلاین باقی مانده است.
