هکرهای منتسب به کره شمالی با مصاحبه شغلی جعلی و بدافزار به بایننس نفوذ کردند و در سرقتی ۶.۳ میلیارد دلاری نقش داشتند.
بایننس اعلام کرده است هکرهای منتسب به کره شمالی با طراحی فرایندهای استخدامی جعلی، انتشار بدافزار و سوءاستفاده از ابزار هوش مصنوعی داخلی این شرکت، موفق شدند طی چند ماه به زیرساخت‌های آن نفوذ کنند و حدود ۶.۳ میلیارد دلار رمزارز به سرقت ببرند.
بر اساس جزئیات تازه‌ای که بایننس منتشر کرده، این حمله به گروه هکری کره شمالی موسوم به TraderTraitor نسبت داده شده و بزرگ‌ترین سرقت رمزارزی ثبت‌شده تاکنون محسوب می‌شود. مهاجمان برای اجرای این عملیات از ترکیبی از مهندسی اجتماعی، بدافزارهای پیشرفته و دسترسی‌های داخلی استفاده کردند.
طبق گزارش منتشرشده از سوی بایننس، نخستین مرحله نفوذ در ماه ژوئن آغاز شد. در آن زمان، یکی از توسعه‌دهندگان شرکت نرم‌افزاری دست‌کاری‌شده را از طریق یک آگهی تبلیغاتی در موتور جست‌وجوی گوگل دانلود کرد. این نرم‌افزار آلوده اطلاعاتی درباره مهندسان بایننس و شیوه فعالیت آن‌ها در اختیار مهاجمان قرار داد.
تیم امنیتی شرکت خیلی زود نصب بدافزار را شناسایی کرد و دستگاه آلوده کارمند را تعویض کرد؛ بااین‌حال، اطلاعاتی که مهاجمان پیش‌تر به دست آورده بودند، زمینه ادامه عملیات را فراهم کرد.
مصاحبه استخدامی؛ پوششی برای نصب بدافزار
در ماه سپتامبر، مهاجمان یکی دیگر از مهندسان تیم توسعه کیف پول‌های رمزارزی بایننس را هدف گرفتند. آن‌ها با معرفی خود به‌عنوان استخدام‌کنندگان یک شرکت دیگر، پیشنهاد شغلی جذابی را مطرح کردند و برای جلب اعتماد این کارمند، چندین تماس و جلسه مصاحبه ترتیب دادند.
هکرها حتی با ساخت حساب‌های کاربری جعلی در شبکه‌های اجتماعی، تلاش کردند هویت خود را واقعی جلوه دهند. پس از ایجاد اعتماد، از مهندس خواستند فایلی حاوی یک تمرین برنامه‌نویسی مرتبط با فرایند استخدام را دانلود کند. این فایل در واقع حامل بدافزاری بود که دسترسی مهاجمان به سیستم قربانی را ممکن می‌کرد.
سوءاستفاده از ابزار توسعه و هوش مصنوعی داخلی
به گفته بایننس، مهاجمان برای پنهان کردن فعالیت خود، فایل اجرایی ابزار توسعه pyenv را حذف و نسخه‌ای مخرب را جایگزین آن کردند. این تغییر به بدافزار اجازه می‌داد فرمان‌های مهاجمان را اجرا کند و با یک سرور خارجی تحت کنترل آن‌ها ارتباط برقرار سازد.
هکرها همچنین از روش‌های مختلفی برای دور زدن سازوکارهای امنیتی و مخفی نگه داشتن ردپای خود استفاده کردند. بایننس مدعی است بدافزار به یک آسیب‌پذیری روز صفر (Zero-day) متکی بود؛ به همین دلیل، ابزارهای محافظت از نقاط پایانی شبکه در آن مقطع نتوانستند آن را شناسایی کنند.
تا ۲۰ اکتبر، مهاجمان با سوءاستفاده از ابزار هوش مصنوعی داخلی بایننس، توانستند به کیف پول‌های مرتبط با مهندسی دسترسی پیدا کنند. این ابزار امکان کنترل کامپیوترهای کاری دو مهندس دیگر در تیم کیف پول را نیز در اختیار آن‌ها قرار داده بود. در ادامه، دسترسی به سیستم‌های مهندس سومی هم فراهم شد.
در ۲۹ اکتبر، هکرها وارد کامپیوتر این مهندس شدند و مرحله نهایی حمله را آغاز کردند. دسترسی او به سامانه‌هایی که میلیاردها دلار دارایی رمزارزی را کنترل می‌کردند، نقش مهمی در اجرای سرقت داشت.
مهندسی اجتماعی؛ روش تکراری هکرهای کره شمالی
استفاده از هویت‌های جعلی برای نفوذ به شرکت‌های فناوری، روشی تازه برای گروه‌های هکری منتسب به کره شمالی نیست. پژوهشگران امنیت سایبری طی سال‌های گذشته بارها درباره این شیوه هشدار داده‌اند.
این گروه‌ها معمولاً خود را به‌عنوان سرمایه‌گذار خطرپذیر، سرمایه‌گذار یا استخدام‌کننده معرفی می‌کنند و با کارکنان شرکت‌های فناوری و فعالان حوزه رمزارز ارتباط می‌گیرند. آن‌ها ممکن است طی چند هفته یا حتی چند ماه اعتماد قربانی را جلب کنند و در نهایت با ارسال فایل آلوده یا ایجاد موقعیت‌های ظاهراً کاری، به سیستم‌های سازمانی دسترسی پیدا کنند.
چرا بایننس نتوانست تراکنش‌های سرقت را متوقف کند؟
بایننس در گزارش خود به دلیل ناتوانی در متوقف کردن تراکنش‌های مخرب نیز پرداخته است. بر اساس توضیحات این شرکت، انتقال‌های غیرمجاز نزدیک به دو ساعت پس از نخستین تراکنش‌های مشکوک ادامه پیدا کردند.
یکی از عوامل مؤثر در این اتفاق، ساختار امنیتی کیف پول گرم بایننس بود که از فناوری محاسبات چندجانبه (MPC) استفاده می‌کرد. در این روش، کلید خصوصی به‌صورت یک کلید واحد در اختیار یک بخش قرار ندارد و فرایند امضای تراکنش میان چند بخش توزیع می‌شود.
در نتیجه، لغو فوری مجوزهای مخرب EIP-۷۷۰۲ با استفاده از یک کلید خصوصی منفرد امکان‌پذیر نبود؛ موضوعی که به گفته بایننس، محدودیت‌هایی برای واکنش سریع به تراکنش‌های غیرمجاز ایجاد کرد.
با وجود ابعاد گسترده این سرقت، ریچارد تنگ، مدیرعامل بایننس، اعلام کرده است که کاربران متحمل زیان مالی نخواهند شد. او همچنین گفته است حدود ۲.۸۵ میلیارد دلار از دارایی‌های سرقت‌شده تاکنون مسدود یا رهگیری شده است.