جزئیات پشت پرده بزرگ‌ترین سرقت در تاریخ ارزهای دیجیتال

بزرگ‌ترین صرافی ارز دیجیتال جهان در عملیاتی هدف قرار گرفت که با دانلود ناخواسته بدافزار در ماه ژوئن آغاز شد، در ماه سپتامبر به یک کلاهبرداری استخدام کشیده شد و سپس هفته گذشته به «کیف پول‌های داغ» (hot wallets) یورش برد و طی آن میلیاردها دلار دارایی رمزارز به سرقت رفت.

بایننس در به‌روزرسانی امنیتی جدیدی که روز سه‌شنبه منتشر کرد، یافته‌های اولیه خود را درباره نحوه نفوذ به این شرکت و توانایی هکرها در سرقت میلیاردها دلار تنها طی ۲۰ دقیقه تشریح کرد. بنا بر اعلام بایننس، این هک نتیجه فریب خوردن یک مهندس در یک مصاحبه شغلی جعلی و دانلود بدافزار بود. سپس هکرها توانستند در شبکه شرکت جابه‌جا شوند، از یک ابزار هوش مصنوعی داخلی سوءاستفاده کنند و به یک سرویس امضای کیف پول دسترسی پیدا کنند که به آن‌ها اجازه می‌داد تراکنش‌ها را خارج از رویه‌های عادی برداشت انجام دهند.

این عملیات ماه‌ها پیش از سرقت آغاز شد. در ژوئن ۲۰۲۶، یکی از مهندسان تیم توسعه و عملیات کیف پول بایننس (Wallet DevOps) هنگام جستجوی آنلاین برای یک ابزار محبوب کدنویسی هوش مصنوعی، یک نسخه دستکاری‌شده از Homebrew را دانلود کرد. بایننس این فعالیت مشکوک را شناسایی کرد، دستگاه را جایگزین کرد و اعتبارنامه‌های مرتبط را تغییر داد، اما اطلاعات مربوط به نقش و همکاران آن مهندس از پیش افشا شده بود.

مهاجمان سپس مهندس نرم‌افزار دیگری را از طریق یک پلتفرم قانونی کاریابی هدف قرار دادند. در ماه سپتامبر، فردی که خود را مدیر پروژه‌ای جا زده بود، دو مصاحبه ترتیب داد: نخست با یک نماینده منابع انسانی و سپس با فردی که ادعا می‌کرد مدیرعامل یک شرکت ساختگی است. در طول نخستین مصاحبه ویدیویی، نماینده فرضی منابع انسانی برای اعتبارزایی، حساب شبکه‌های اجتماعی حاوی عکس‌ها و ویدیوهای شخصی را به اشتراک گذاشت.

در پایان مصاحبه دوم، از مهندس خواسته شد یک تکلیف فنی حاوی یک مخزن کد مخرب را روی رایانه کاری خود دانلود کند. بدافزار در حین راه‌اندازی اجرا شد و یک جزء ابزار توسعه مشروع را با نسخه‌ای مخرب جایگزین کرد. این بدافزار برای فرار از شناسایی از مبهم‌سازی استفاده کرد، دستوراتی را اجرا کرد و ارتباطی با یک سرور تحت کنترل مهاجم برقرار ساخت. بایننس اعلام کرد که ابزارهای امنیت نقطه پایانی آن در آن زمان بدافزار را شناسایی نکرده‌اند.

در تاریخ ۲۰ اکتبر، مهاجمان از رایانه به خطر افتاده برای سوءاستفاده از یک ابزار هوش مصنوعی داخلی و دسترسی به سیستم‌های دو کارمند دیگر، از جمله مهندس توسعه و عملیات کیف پول که در ابتدا در ماه ژوئن هدف قرار گرفته بود، استفاده کردند. آن‌ها کشف کردند که رایانه او حاوی یک توکن با دسترسی‌های استقرار کانتینر است. سپس در تاریخ ۲۹ اکتبر، مهاجمان از اعتبارنامه‌های سرقت‌شده برای دسترسی به رایانه مهندس دیگری، استقرار یک کانتینر و اجرای یک اسکریپت مخرب استفاده کردند. این کار به آن‌ها دسترسی به سرویس امضای کیف پول داخلی بایننس را داد و به آن‌ها اجازه داد تراکنش‌هایی را خارج از روند عادی برداشت آغاز کنند.

این نقل‌وانتقالات شامل چندین شبکه بلاک‌چینی بود. پنج کیف پول داغ بایننس ۲۳۳.۴۶ میلیون XRP به یک آدرس تحت کنترل مهاجم ارسال کردند، در حالی که سایر نقل‌وانتقالات شامل تقریباً ۹۷۰,۵۰۰ SOL، ۴۴.۲ میلیون OP و ۱۸,۲۷۰ BTC بود. این شرکت تخمین می‌زند که حدود ۶.۳۴ میلیارد دلار دارایی تحت تأثیر قرار گرفته است که از این میزان، تا به‌روزرسانی ۳ نوامبر حدود ۲.۸۵ میلیارد دلار مسدود یا رهگیری شده است. بایننس می‌گوید تأثیر مالی را متقبل خواهد شد و بر اساس آمارهای گزارش‌شده در ۳۱ اکتبر، از پیش ۹۸ درصد دارایی‌های توکنی آسیب‌دیده را جایگزین کرده است.

این حمله بر ضرورت تلقی کردن فرایندهای استخدام، ایستگاه‌های کاری توسعه‌دهندگان و برنامه‌های کاربردی هوش مصنوعی داخلی به عنوان بخشی از سطح حمله شرکتی تأکید می‌کند. تکالیف فنی باید در محیط‌های ایزوله اجرا شوند، اعتبارنامه‌های استقرار باید عمر کوتاه‌تری داشته باشند و به شدت محدود شوند، و ابزارهای هوش مصنوعی داخلی نباید هرگز دسترسی‌های غیرضروری به سیستم‌های حساس را به ارث ببرند.