بينانس تكشف تفاصيل الهجوم الإلكتروني

كشفت منصة تداول العملات المشفرة «بينانس» تفاصيل جديدة بشأن الهجوم الإلكتروني الذي تسبب في خسارة أصول رقمية بقيمة 6.34 مليار دولار، مؤكدة أن العملية ارتبطت بجهات من كوريا الشمالية، وفقًا لنتائج التحقيقات التي توصل إليها مكتب التحقيقات الفيدرالي الأمريكي FBI.

وأوضحت المنصة أن الهجوم لم يكن عملية اختراق سريعة، بل جاء نتيجة حملة إلكترونية معقدة استمرت عدة أشهر، اعتمد خلالها المهاجمون على استهداف موظفي الشركة بطرق احتيالية، من بينها مقابلات التوظيف الوهمية، واستخدام برمجيات خبيثة للتسلل إلى أجهزة العاملين والوصول إلى الأنظمة الداخلية.

وكشفت بينانس أن المهاجمين استغلوا أدوات التطوير والذكاء الاصطناعي في توسيع نطاق الاختراق، قبل تنفيذ الهجوم الرئيسي في 29 أكتوبر، مشيرة إلى أنها تمكنت من تجميد أصول بقيمة 2.85 مليار دولار، وأعادت توفير 98% من الأصول المتضررة.

بداية الاختراق.. أداة ذكاء اصطناعي مزيفة تكشف الطريق للمهاجمين

بحسب بيان بينانس، بدأت سلسلة الاختراقات في يونيو الماضي، عندما قام أحد مهندسي فريق Wallet DevOps، المسؤول عن البنية التحتية لمحافظ المنصة، بتنزيل نسخة معدلة من أداة تثبيت برنامج Homebrew، وهي أداة شائعة الاستخدام في بيئات البرمجة.

وجاء تنزيل الأداة بعد العثور عليها عبر أحد محركات البحث، قبل أن يتضح أنها كانت تحتوي على مكونات ضارة استغلها المهاجمون في تنفيذ هجومهم.

ورغم تمكن بينانس من اكتشاف النشاط غير المعتاد واتخاذ الإجراءات اللازمة في ذلك الوقت، فإن الحادث أتاح للمهاجمين الوصول إلى معلومات تتعلق بزملاء المهندس داخل الشركة، وهو ما ساعدهم على توسيع نطاق الاستهداف خلال الأشهر التالية.

مقابلات عمل وهمية لاختراق موظفي بينانس

في سبتمبر، انتقل المهاجمون إلى مرحلة جديدة من الهجوم، مستهدفين أحد مهندسي البرمجيات العاملين لدى بينانس من خلال عرض عمل وهمي.

وتلقى المهندس رسالة من شخص قدم نفسه باعتباره مدير مشروعات، عبر منصة حقيقية للبحث عن وظائف، قبل أن يخضع لجولتين من مقابلات العمل.

وجرت المقابلة الأولى عبر مكالمة فيديو مباشرة مع شخص ادعى أنه مسؤول موارد بشرية، وشارك المهندس حسابًا شخصيًا على مواقع التواصل الاجتماعي بهدف بناء الثقة.

أما المقابلة الثانية، فأجراها شخص قدم نفسه باعتباره الرئيس التنفيذي لشركة وهمية، عبر أحد تطبيقات المحادثات.

وخلال المقابلة، أرسل الشخص المزيف إلى المهندس مهمة لاختبار قدراته الفنية، تضمنت ملفًا قام المهندس بتنزيله، قبل أن يتضح أن الملف يحتوي على برمجية خبيثة جرى تشغيلها أثناء عملية التثبيت.

برمجيات خبيثة تتجاوز أنظمة الحماية وتخفي آثار الاختراق

أشارت بينانس إلى أن البرمجية الخبيثة استخدمت تقنيات متطورة للتمويه وتجاوز أنظمة الحماية، إذ استبدلت أحد مكونات أدوات التطوير الأصلية بنسخة ضارة قادرة على تنفيذ الأوامر.

كما عملت البرمجية على إخفاء أنشطتها بصورة مستمرة، وحذف الآثار التي تشير إلى حدوث الاختراق، بهدف تجنب اكتشافها من جانب أنظمة الأمن السيبراني.

وفي 20 أكتوبر، استغل المهاجمون جهاز الكمبيوتر المخترق الخاص بمهندس البرمجيات للوصول إلى أداة داخلية للذكاء الاصطناعي، واستخدموها للسيطرة على أجهزة الكمبيوتر الخاصة بمهندس Wallet DevOps وزميل آخر له في فريق الهندسة.

وبذلك تمكن المهاجمون من الانتقال من اختراق جهاز موظف واحد إلى الوصول لأجهزة موظفين آخرين، في إطار سلسلة مترابطة من عمليات الاختراق.

29 أكتوبر.. كيف نُفذت سرقة 6.34 مليار دولار

في 29 أكتوبر، تمكن المهاجمون من تسجيل الدخول إلى جهاز الكمبيوتر الخاص بمهندس ثالث، باستخدام بيانات الدخول التي سرقوها من مهندس Wallet DevOps الأول.

وبعد الوصول إلى الجهاز، شغّل المهاجمون نصًا برمجيًا ضارًا لتنفيذ الهجوم الذي أدى إلى التأثير على أصول رقمية بقيمة إجمالية بلغت 6.34 مليار دولار.

وتكشف تفاصيل الهجوم عن اعتماد المهاجمين على خطة متعددة المراحل، بدأت باستهداف أدوات التطوير، ثم استغلال الثقة من خلال مقابلات التوظيف الوهمية، وصولًا إلى السيطرة على أجهزة الموظفين واستخدام الأدوات الداخلية في توسيع نطاق الاختراق.

بينانس تجمد 2.85 مليار دولار من الأصول المتضررة

أعلنت بينانس أنها تمكنت من تجميد أصول رقمية بقيمة 2.85 مليار دولار من إجمالي الأصول التي تأثرت بالحادث، في إطار جهودها للحد من الخسائر الناتجة عن الهجوم.

واعترفت المنصة بأن عمليات تحويل الأصول استمرت حتى بعد تعليق عمليات السحب، موضحة أن بعض المعاملات كانت قد حصلت بالفعل على الموافقات اللازمة قبل اتخاذ قرار تعليق السحب، وهو ما سمح باستمرار تنفيذها.

ويعكس ذلك التحديات التي تواجه منصات تداول العملات المشفرة عند التعامل مع الهجمات الإلكترونية المعقدة، خاصة عندما تكون بعض المعاملات قد دخلت بالفعل في مراحل التنفيذ قبل اكتشاف الاختراق.

إعادة بناء أنظمة المحافظ وإلغاء بيانات الدخول المسروقة

بحلول 3 نوفمبر، انتهت بينانس من إعادة بناء نظام المحافظ المتأثر بالاختراق، إلى جانب إعادة بناء أدوات الذكاء الاصطناعي الداخلية.

كما استبدلت الأجهزة التي تعرضت للاختراق، وألغت بيانات الاعتماد والرموز الرقمية التي جرى تسريبها، وأجرت عمليات فحص أمني موسعة لأجهزة الموظفين.

وعززت المنصة أنظمتها بإمكانات لاكتشاف الأنشطة غير الطبيعية المدعومة بالذكاء الاصطناعي، بهدف تحسين قدرتها على رصد محاولات الاختراق والتعامل معها بصورة أسرع.

بينانس تتعهد بتحمل الخسائر وإعادة توفير الأصول المتضررة

أكدت بينانس أنها ستتحمل الخسائر المالية الناتجة عن الهجوم الإلكتروني، مشيرة إلى أنها خصصت بالفعل مبالغ كافية لتغطية الأموال المسروقة.

وأضافت المنصة أنها تمكنت من إعادة توفير 98% من أصول الرموز المتأثرة، فيما تعمل حاليًا على شراء الكميات المتبقية من الأصول الأقل سيولة في الأسواق.

ويأتي هذا التعهد في إطار جهود المنصة لاستعادة الأصول المتضررة واحتواء تداعيات الهجوم، وسط متابعة واسعة لتأثير الواقعة على سوق العملات المشفرة.

الهجوم يكشف مخاطر التوظيف الوهمي والهندسة الاجتماعية

تسلط الواقعة الضوء على المخاطر المتزايدة للهجمات السيبرانية التي تستهدف العاملين داخل المؤسسات التكنولوجية، خاصة مع استخدام أساليب الهندسة الاجتماعية والتوظيف الوهمي للوصول إلى الأنظمة الداخلية.

وتوضح تفاصيل الهجوم أن المهاجمين لم يعتمدوا فقط على الثغرات التقنية، بل استغلوا أيضًا ثقة الموظفين وإجراءات التوظيف للوصول إلى أجهزة الشركة وبياناتها.

كما تكشف الواقعة عن خطورة استخدام البرمجيات الخبيثة داخل أدوات التطوير، وإمكانية استغلال الأنظمة الداخلية المدعومة بالذكاء الاصطناعي في توسيع نطاق الهجمات الإلكترونية.

وتؤكد هذه الحادثة أهمية تعزيز إجراءات التحقق من هويات المتقدمين للوظائف، وفحص الملفات والبرمجيات قبل تشغيلها، إلى جانب تطوير أنظمة المراقبة الأمنية لحماية المؤسسات من الهجمات المتقدمة.