بدأت سرقة Binance بمقابلة عمل: فإمكانية الوصول حددت حجم الخسائر

في سبتمبر، خاض مهندس برمجيات في Binance مقابلتي عمل مع شركة لم تكن موجودة. جرت المقابلة الأولى عبر مكالمة فيديو مباشرة مع ممثلة للموارد البشرية، شاركت حسابًا شخصيًا على وسائل التواصل الاجتماعي، بما فيه من صور ومقاطع فيديو، لإثبات أنها شخص حقيقي. أما المقابلة الثانية، فجرت عبر تطبيق للمحادثة مع شخص قدّم نفسه على أنه الرئيس التنفيذي. وقرب نهاية المقابلة، طُلب من المهندس تنزيل مهمة برمجية على حاسوب العمل الخاص به.

في 29 أكتوبر، نقل المهاجمون نحو 6.34 مليارات دولار من محافظ Binance، ونُقل معظم المبلغ في غضون نحو 20 دقيقة. عزا مكتب التحقيقات الفيدرالي (FBI) السرقة إلى TraderTraitor، المجموعة الكورية الشمالية التي أُلقي عليها اللوم أيضًا في سرقة 1.5 مليار دولار من Bybit في فبراير 2025. وهي أكبر سرقة للعملات المشفرة مسجلة حتى الآن.

أقرت Binance بمسؤوليتها وقالت إنها ستتحمل الخسائر. وحتى 3 نوفمبر، أفادت بأن 98% من أصول الرموز المتأثرة قد أُعيدت، وبأن نحو 2.85 مليار دولار جُمّدت أو جرى اعتراضها.

السؤال الجدير بالطرح هو: إلى أي مدى أمكن لحاسوب محمول واحد مخترق الوصول، وهل يستطيع كل فريق اختبار ذلك في بيئته الخاصة اليوم؟

منفذا اختراق وحملة امتدت من يونيو إلى أكتوبر

لا يشير أي شيء في التحديث الذي نشرته Binance في 3 نوفمبر إلى استخدام التزييف العميق أو غيره من الأساليب المدعومة بالذكاء الاصطناعي. فقد مرّ الاختراق عبر أشخاص في كلتا الحالتين: مهندس وثق بنتيجة بحث، وآخر وثق بمسؤول توظيف.

استمرت الحملة خمسة أشهر على الأقل. ففي يونيو، نزّل مهندس عمليات تطوير (DevOps) يعمل على المحافظ، وكان يبحث عن أداة برمجة بالذكاء الاصطناعي، برنامج تثبيت Homebrew جرى العبث به. ورصد فريق الأمن في Binance الخلل، واستبدل الجهاز، وغيّر بيانات الاعتماد. لكن المهاجمين كانوا قد عرفوا بحلول ذلك الوقت أعضاء فريق البنية التحتية للمحافظ.

وبعد ثلاثة أشهر، عادوا من منفذ آخر. كان للمهندس الذي تواصلوا معه في سبتمبر ملف شخصي على منصة موثوقة للبحث عن وظائف، أشار فيه إلى خبرته في Binance. واحتوت مهمته البرمجية على برمجية خبيثة عملت أثناء الإعداد، واستبدلت مكوّنًا شرعيًا من pyenv بآخر خبيث، واتصلت بخادم يتحكم فيه المهاجمون، ثم محَت آثارها. وتقول Binance إن نظام الحماية على أجهزتها الطرفية لم يكتشفها.

في 20 أكتوبر، استخدم المهاجمون ذلك الحاسوب المحمول وأداة داخلية للذكاء الاصطناعي للسيطرة على جهازي مهندسين آخرين، أحدهما يعود إلى مهندس عمليات التطوير الذي اختُرق في يونيو. وعثروا على الجهاز المذكور على رمز مميز يمنح صلاحيات لنشر الحاويات. وفي 29 أكتوبر، سجلوا الدخول إلى حاسوب المهندس الآخر، واستخدموا بيانات الاعتماد المسروقة لنشر حاوية، ثم شغّلوا النص البرمجي الذي أطلق عملية السرقة.

لماذا تنجح حيل مسؤولي التوظيف حتى الآن؟

انتحال صفة مسؤولي التوظيف واستخدام اختبارات برمجية ملغومة أسلوب قديم. فقد استهدف مشغّلون كوريون شماليون المطورين بهذا الأسلوب لسنوات، وأبرز مثال على ذلك الحملة المعروفة باسم Contagious Interview. وتقول Binance إنها أوقفت 57 محاولة يُشتبه في ارتباطها بكوريا الشمالية في عام 2026 وحده.

تنجح الحيلة لأنها تطلب من المهندسين فعل شيء يعتادون فعله كل يوم. فتشغيل مستودع برمجي غير مألوف أمر طبيعي في مقابلة تقنية. لا يوجد عنوان مرسل يثير الشكوك ولا رابط يمكن تمرير المؤشر فوقه، بل جهة توظيف تبدو معقولة، وشخص يظهر عبر الفيديو، ومهمة تبدو كأنها جزء من العمل.

كما أن رسالة مسؤول التوظيف من بين الرسائل القليلة غير المطلوبة التي يرحب الناس بتلقيها. ولا يمكن لأي برنامج توعية أن يضمن أن كل مهندس سيكتشف كل رسالة مقنعة، لذا ينبغي أن تفترض الضوابط أن إحداها ستنجح في تجاوزها.

كيف وصل حاسوب محمول واحد إلى المحافظ

أول ما يتبادر إلى ذهني هو ضوابط الأمن في بيئة عمل ذلك المهندس. فاستخدام حاسوب العمل لإجراء اختبار برمجي خارجي يستدعي التدقيق. لكن مصدر القلق الأكبر هو كيف أتاح هذا الاختراق المنفرد الوصول إلى أنظمة أخرى، ثم إلى بنية تحتية مالية حساسة في نهاية المطاف.

اعتمدت كل خطوة تلت الإصابة الأولية على ثقة قائمة مسبقًا داخل Binance. فقد قبلت أداة داخلية للذكاء الاصطناعي تعليمات من جهاز مخترق ونفذتها على أجهزة الزملاء. وكان رمز مميز للنشر موجودًا على حاسوب محمول لمهندس. وأدى نشر حاوية باستخدام بيانات اعتماد صالحة إلى نقل مليارات الدولارات. ولم يتطلب أي من ذلك استخدام حيلة أخرى.

تستحق أدوات الذكاء الاصطناعي الداخلية اهتمامًا خاصًا. فكثيرًا ما تعمل بصلاحيات واسعة عبر المستودعات والأجهزة الطرفية والخدمات، ما يعني أن من يسيطر على جهاز قادر على توجيه الأوامر إليها يرث نطاق وصولها.

حماية المطورين من دون تعطيل العمل الهندسي

يحتاج المطورون إلى تنزيل الحزم وتشغيل شيفرات غير مألوفة واختبار البرمجيات. ومن شأن تقييد حواسيبهم المحمولة بالقدر نفسه المطبق على أجهزة العمل المالي أن يبطئ العمل الهندسي بشدة ويدفع المهندسين إلى اللجوء لحلول بديلة. ومن المعقول وضع سياسة تمنع إجراء أنشطة البحث عن وظائف على أجهزة الشركة، لكن لا أحد يلتزم بسياسة في كل مرة. والهدف العملي هو الحد مما يمكن لجهاز مطور مخترق أن يفعله بعد ذلك.

هناك مجموعة من الضوابط تُحدث الفرق الأكبر. ينبغي تشغيل الشيفرات غير الموثوق بها في آلات افتراضية مؤقتة يمكن التخلص منها، من دون أي وصول إلى بيانات اعتماد الشركة. وينبغي أن تكون بيانات اعتماد النشر قصيرة الأجل ومحدودة الصلاحيات بدقة، وأن تُمنح، حيثما أمكن، لسير عمل نشر خاضع للرقابة. كما ينبغي حماية مفاتيح توقيع المحافظ أو أجزاء المفاتيح بشكل منفصل عن أجهزة المطورين، مع اعتماد سياسات توقيع تقيّد المعاملات وأذونات التفويض التي يمكن الموافقة عليها. وينبغي أن تتطلب الإجراءات التي تمس أنظمة المحافظ أو المدفوعات أو الإنتاج موافقة شخص ثانٍ يستخدم جهازًا منفصلًا. أما أدوات الذكاء الاصطناعي الداخلية، فينبغي تشغيلها بأقل قدر من الصلاحيات وتسجيل ما تقوم به.

يجب أن تنجح آليات الكشف أيضًا عندما تكون بيانات الاعتماد مشروعة. فالمراقبة السلوكية التي ترصد عملية نشر من جهاز غير متوقع أو في ساعة غير معتادة تتيح للفريق فرصة التدخل حتى عندما تبدو جميع بيانات الاعتماد سليمة. وتقول Binance إنها وسّعت نطاق هذا النوع من الكشف منذ الحادثة.

أين تندرج استخبارات التهديدات

كان التحذير معلنًا قبل السرقة بستة أسابيع. وقد وصف التحذير المشترك بشأن Contagious Interview جهاتٍ تنتحل صفة مسؤولي توظيف في شركات الذكاء الاصطناعي والعملات المشفرة والرموز غير القابلة للاستبدال لاستهداف المتخصصين في تقنية المعلومات وسرقة العملات المشفرة. واتّبعت قضية Binance الأسلوب نفسه.

لاستخبارات التهديدات دور عملي محدد في حملات من هذا النوع. فقد تتغير الجهات المنفذة، لكن أساليبها معروفة. ويمكن للفرق التي تتعقبها حظر البنية التحتية المعروفة وتحذير المهندسين من ذرائع الاستدراج المستخدمة حاليًا.

وتساعد الاستخبارات الفريق أيضًا على تحديد من يحتاج إلى حماية إضافية. فبمجرد أن تكشف حادثةٌ عن الأشخاص الذين لديهم صلاحية وصول حساسة، كما حدث في الاختراق الذي تعرضت له Binance في يونيو، ينبغي اعتبارهم أهدافًا محتملة لأشهر، مع تشديد مراقبة أجهزتهم وأساليب الاستدراج التي يتعرضون لها.

ما الذي يعنيه هذا خارج عالم العملات المشفرة

تُعد منصات تداول العملات المشفرة هدفًا واضحًا، لأن الأموال المسروقة تتحرك بسرعة ويصعب استردادها. وينطبق هذا النمط في أي مكان لا يفصل فيه عن الأنظمة الحيوية سوى بضع خطوات من جهاز مطور، سواء أكان ذلك في مسار معالجة المدفوعات لدى بنك أم في عملية بناء البرمجيات وإصدارها لدى مورّد برمجيات. وتصل ذرائع الاستدراج إلى المهندسين في جميع هذه الجهات.

بالنسبة إلى مسؤولي الأمن الذين يراجعون بيئاتهم هذا الأسبوع، هناك فحصان هما الأهم. أولًا، حدّدوا ما يمكن لحاسوب محمول واحد مخترق لمطور أن يصل إليه اليوم، بما في ذلك الرموز المميزة المخزنة ومفاتيح SSH وبيانات اعتماد الخدمات السحابية وأدوات الذكاء الاصطناعي الداخلية. ثانيًا، تأكدوا من أن عمليات النشر إلى بيئة الإنتاج والمعاملات عالية القيمة تتطلب موافقة مستقلة لا يمكن لهوية واحدة مخترقة تقديمها.

أعادت Binance بناء الأنظمة المتأثرة واستعانت بمراجعين مستقلين، لكن القرارات اتُّخذت بعد وقوع الخسارة. ويمكن للمؤسسات التي تجري التمرين نفسه الآن اتخاذ هذه القرارات وفق جدولها الزمني الخاص.