اختراق بينانس.. مقابلات توظيف وهمية وراء سرقة 6.3 مليار دولار

كشفت تفاصيل جديدة عن اختراق بينانس، أكبر منصة لتداول العملات المشفرة في العالم، عن اعتماد القراصنة على أساليب احتيال تستهدف الموظفين بدلًا من مهاجمة الأنظمة مباشرة، بعدما استخدموا مقابلات توظيف وهمية وبرمجيات خبيثة لاختراق أجهزة مهندسي برمجيات يعملون ضمن فريق تطوير المحافظ الرقمية، في عملية أسفرت عن سرقة عملات مشفرة بقيمة 6.3 مليار دولار.

وأكدت المنصة، في تقرير أولي أصدرته الثلاثاء، أن الهجوم لم يحدث في لحظة واحدة، بل امتد عبر مراحل بدأت في يونيو الماضي، وشملت اختراق أجهزة موظفين وجمع معلومات عن طبيعة عملهم وصلاحياتهم، قبل استغلال تلك البيانات للوصول إلى أنظمة حساسة وتنفيذ عملية السرقة يوم الخميس الماضي.

وتكشف تفاصيل اختراق بينانس عن تطور أساليب الهجمات الإلكترونية، إذ لم يعتمد المهاجمون على ثغرة تقنية واحدة، وإنما استغلوا الثقة المهنية للموظفين، وبيئات العمل الرقمية، وأدوات الذكاء الاصطناعي، للوصول تدريجيًا إلى أجهزة المطورين والبيانات المرتبطة بالمحافظ الرقمية.

أداة برمجية خبيثة كانت بداية اختراق بينانس

بحسب التقرير الأولي للمنصة، بدأت سلسلة الاختراق في يونيو الماضي، عندما حمّل أحد موظفي فريق تطوير المحافظ الرقمية أداة من الإنترنت، تبين لاحقًا أنها تعرضت للتلاعب وزُرعت بداخلها برمجيات خبيثة.

ورغم اكتشاف الواقعة بعد ذلك، واتخاذ إجراءات شملت استبدال جهاز الموظف وتغيير بيانات الدخول الخاصة به، فإن المهاجمين كانوا قد حصلوا بالفعل على معلومات تتعلق بطبيعة مهامه الوظيفية، فضلًا عن بيانات مرتبطة بعمل أعضاء آخرين داخل الفريق.

ولم يتوقف الأمر عند هذا الاختراق الأولي، إذ استغل القراصنة المعلومات التي جمعوها لتوسيع نطاق استهدافهم، والانتقال إلى موظفين آخرين يمتلكون خبرات وصلاحيات مرتبطة بتطوير المحافظ الرقمية، وهي خطوة مهدت للمراحل التالية من الهجوم.

مقابلة عمل وهمية لاستهداف مهندس برمجيات

في سبتمبر الماضي، لجأ المهاجمون إلى وسيلة مختلفة لاختراق أحد مهندسي البرمجيات، بعدما استهدفوه من خلال مقابلة توظيف وهمية، مستغلين بحثه عن فرصة عمل جديدة.

وتضمنت عملية الاحتيال اجتماعًا افتراضيًا مع شخص قدم نفسه باعتباره الرئيس التنفيذي لشركة غير حقيقية، قبل أن يُطلب من المهندس التعامل مع مستودع برمجيات ضار جرى تحميله على جهازه.

ويعكس هذا الأسلوب اعتماد القراصنة على الهندسة الاجتماعية، أي التلاعب بالموظفين ودفعهم إلى تنفيذ إجراءات تبدو طبيعية في سياق العمل، لكنها تمنح المهاجمين فرصة للوصول إلى أجهزتهم أو بياناتهم.

وتكمن خطورة هذه الطريقة في أن الموظف قد لا يدرك أن المقابلة أو الملفات المرتبطة بها جزء من هجوم إلكتروني منظم، خصوصًا عندما تُنفذ العملية باستخدام هويات مهنية واجتماعات افتراضية تبدو مقنعة.

الذكاء الاصطناعي ساعد القراصنة في الوصول إلى المطورين

دخلت أدوات الذكاء الاصطناعي ضمن مراحل الهجوم في 20 أكتوبر، عندما استغل المهاجمون الجهاز الذي سبق اختراقه، إلى جانب أداة ذكاء اصطناعي داخلية، للوصول إلى أنظمة اثنين من مطوري المحافظ الرقمية والسيطرة على أجهزتهما.

وبعد تسعة أيام، استخدم القراصنة جهاز أحد المطورين، مستفيدين من بيانات اعتماد مسروقة من المطور الآخر، لتشغيل نص برمجي خبيث أدى إلى تنفيذ الهجوم وسرقة العملات المشفرة.

وأشار تقرير بينانس إلى أن عددًا محدودًا من مهندسي الشركة يمتلكون صلاحيات الوصول المباشر إلى المحافظ الرقمية التي تُستخدم في تخزين العملات المشفرة وتنفيذ المعاملات عليها، وهو ما يجعل السيطرة على أجهزة هؤلاء الموظفين نقطة بالغة الحساسية في أمن المنصة.

وتوضح هذه التفاصيل أن اختراق بينانس استهدف سلسلة من نقاط الوصول المرتبطة بالموظفين، بدلًا من الاعتماد على اختراق مباشر للبنية الأساسية للمنصة، كما أظهر كيف يمكن الجمع بين البرمجيات الخبيثة وسرقة بيانات الاعتماد واستغلال الأدوات التقنية لتنفيذ هجوم واسع النطاق.

القراصنة واصلوا سحب العملات رغم اكتشاف الهجوم

لم تنتهِ عملية السرقة فور اكتشافها، إذ ذكرت بينانس أن القراصنة تمكنوا من مواصلة سحب العملات المشفرة لمدة قاربت أربع ساعات بعد بدء عملية السرقة الأولى، رغم تحرك المنصة لتأمين أنظمتها وتجميد عمليات السحب في وقت متأخر من يوم الخميس.

واتخذت الشركة إجراءات لاحتواء الهجوم والحد من الخسائر، كما أكدت التزامها بإعادة الأموال إلى جميع العملاء الذين تعرضت أرصدتهم للسرقة.

وفي سياق التحقيقات، اتهم مكتب التحقيقات الفيدرالي الأمريكي «إف بي آي» مجموعة قرصنة مرتبطة بكوريا الشمالية بالوقوف وراء الهجوم، في حين نفت بيونج يانج هذه الاتهامات.

بينانس تكشف عن إحباط 57 تهديدًا إلكترونيًا

كشفت المنصة أنها رصدت وأحبطت 57 تهديدًا إلكترونيًا يُشتبه في ارتباطها بكوريا الشمالية خلال عام 2026، وهو ما يسلط الضوء على حجم التحديات الأمنية التي تواجه منصات تداول العملات المشفرة، في ظل استهداف العاملين بها وبيانات الدخول والأنظمة المرتبطة بإدارة الأصول الرقمية.

من جانبه، قال مايكل بارنهارت، الباحث في شركة الأمن السيبراني «دي تكس»، إن استخدام مقابلات العمل الوهمية لاستهداف موظفي شركات التكنولوجيا يمثل أسلوبًا معروفًا لدى مجموعات القرصنة، ومن بينها مجموعات مرتبطة بكوريا الشمالية.

ويعيد اختراق بينانس فتح النقاش حول قدرة منصات تداول العملات المشفرة على حماية أصول العملاء، خصوصًا مع تطور أساليب الاحتيال الإلكتروني التي تستهدف العنصر البشري إلى جانب الأنظمة التقنية.

كما تبرز الواقعة أهمية تشديد إجراءات التحقق من فرص العمل والاجتماعات الافتراضية والملفات البرمجية التي يتعامل معها الموظفون، إلى جانب مراجعة صلاحيات الوصول إلى المحافظ الرقمية والأنظمة الحساسة، باعتبار أن اختراق جهاز موظف واحد قد يتحول إلى مدخل لتهديد أصول رقمية واسعة النطاق.