Binance की चोरी की शुरुआत नौकरी के साक्षात्कार से हुई: नुकसान की सीमा पहुंच से तय हुई

सितंबर में Binance के एक सॉफ़्टवेयर इंजीनियर ने ऐसी कंपनी के साथ नौकरी के दो साक्षात्कार दिए, जिसका कोई अस्तित्व ही नहीं था। पहला साक्षात्कार एचआर प्रतिनिधि के साथ लाइव वीडियो कॉल पर हुआ। अपनी असलियत साबित करने के लिए उस प्रतिनिधि ने अपना निजी सोशल मीडिया अकाउंट साझा किया, जिसमें तस्वीरें और वीडियो भी थे। दूसरा साक्षात्कार एक चैट ऐप पर हुआ, जहाँ एक व्यक्ति ने खुद को कंपनी का सीईओ बताया। साक्षात्कार के आखिर में इंजीनियर से कहा गया कि वह अपने काम के कंप्यूटर पर कोडिंग का एक असाइनमेंट डाउनलोड करे।

29 अक्टूबर को हमलावरों ने Binance के वॉलेट से लगभग 6.34 अरब डॉलर निकाल लिए। इसका अधिकांश हिस्सा करीब 20 मिनट के भीतर निकाल लिया गया। FBI ने इस चोरी के लिए TraderTraitor को ज़िम्मेदार ठहराया है। यह उत्तर कोरियाई समूह फ़रवरी 2025 में Bybit से हुई 1.5 अरब डॉलर की चोरी के लिए भी ज़िम्मेदार ठहराया गया था। यह अब तक दर्ज क्रिप्टोकरेंसी की सबसे बड़ी चोरी है।

Binance ने ज़िम्मेदारी स्वीकार की है और कहा है कि वह नुकसान की भरपाई खुद करेगा। 3 नवंबर तक, कंपनी ने बताया कि प्रभावित टोकन परिसंपत्तियों में से 98% की भरपाई कर दी गई थी और लगभग 2.85 अरब डॉलर को फ्रीज़ कर दिया गया था या बीच में ही रोक लिया गया था।

यह सवाल पूछना ज़रूरी है: एक संक्रमित लैपटॉप तक किस-किस चीज़ की पहुंच हो सकती थी, और क्या हर टीम आज अपने वातावरण में इसकी जांच कर सकती है?

प्रवेश के दो रास्ते और जून से अक्टूबर तक चला अभियान

Binance के 3 नवंबर के अपडेट में डीपफ़ेक या एआई की मदद से अपनाई गई दूसरी तकनीकों का कोई संकेत नहीं है। दोनों बार हमलावरों ने लोगों के ज़रिए रास्ता बनाया: एक इंजीनियर ने खोज परिणाम पर भरोसा किया और दूसरे ने भर्ती करने वाले व्यक्ति पर।

यह अभियान कम से कम पांच महीने तक चला। जून में, एआई कोडिंग टूल खोज रहे वॉलेट DevOps इंजीनियर ने छेड़छाड़ किया हुआ Homebrew इंस्टॉलर डाउनलोड किया। Binance की सुरक्षा टीम ने गड़बड़ी पकड़ ली, उपकरण बदल दिया और लॉगिन प्रमाण-पत्र बदल दिए। तब तक हमलावर जान चुके थे कि वॉलेट इंफ्रास्ट्रक्चर टीम में कौन-कौन है।

तीन महीने बाद, वे एक दूसरे रास्ते से लौटे। सितंबर में जिस इंजीनियर से संपर्क किया गया था, उसकी एक वैध नौकरी-खोज मंच पर प्रोफ़ाइल थी, जिसमें Binance में उसके अनुभव का ज़िक्र था। उसके कोडिंग असाइनमेंट में मैलवेयर था, जो सेटअप के दौरान सक्रिय हो गया। उसने pyenv के एक वैध घटक की जगह दुर्भावनापूर्ण घटक डाल दिया, हमलावरों के नियंत्रण वाले सर्वर से संपर्क किया और अपने निशान मिटा दिए। Binance के मुताबिक, उसकी एंडपॉइंट सुरक्षा प्रणाली इसका पता नहीं लगा पाई।

20 अक्टूबर को हमलावरों ने उस लैपटॉप और एक आंतरिक एआई टूल का इस्तेमाल करके दो अन्य इंजीनियरों के कंप्यूटरों पर नियंत्रण कर लिया। उनमें से एक कंप्यूटर जून में संक्रमित किए गए DevOps इंजीनियर का था। उस कंप्यूटर पर उन्हें कंटेनर डिप्लॉय करने की अनुमति वाला एक टोकन मिला। 29 अक्टूबर को उन्होंने दूसरे इंजीनियर के कंप्यूटर में लॉग इन किया, चोरी किए गए लॉगिन प्रमाण-पत्रों से एक कंटेनर डिप्लॉय किया और चोरी को अंजाम देने वाली स्क्रिप्ट चला दी।

भर्ती करने वालों के झांसे अब भी क्यों काम करते हैं

नकली भर्ती करने वाले और मैलवेयर से संक्रमित कोडिंग टेस्ट पुरानी तरकीबें हैं। उत्तर कोरियाई समूह वर्षों से डेवलपरों को निशाना बनाने के लिए इनका इस्तेमाल करते आए हैं। इनमें सबसे चर्चित अभियान Contagious Interview के नाम से जाना जाता है। Binance का कहना है कि उसने 2026 में ही उत्तर कोरिया से जुड़े होने के संदेह वाले 57 प्रयासों को रोक दिया।

यह झांसा इसलिए काम करता है, क्योंकि इसमें इंजीनियरों से वही काम करने को कहा जाता है जो वे रोज़ करते हैं। किसी अनजान रिपॉज़िटरी को चलाना तकनीकी नौकरी के साक्षात्कार का सामान्य हिस्सा है। न कोई संदिग्ध प्रेषक का पता होता है, न ऐसा लिंक जिस पर माउस ले जाकर जांच की जा सके—बस एक विश्वसनीय लगने वाला नियोक्ता, वीडियो पर दिखता एक व्यक्ति और काम जैसा दिखने वाला एक टास्क।

भर्ती करने वाले का संदेश उन कुछ अनचाहे संपर्कों में से एक है जिनका लोग स्वागत करते हैं। जागरूकता का कोई कार्यक्रम यह गारंटी नहीं दे सकता कि हर इंजीनियर हर विश्वसनीय लगने वाले झांसे को पहचान लेगा। इसलिए सुरक्षा उपायों को यह मानकर चलना होगा कि कोई न कोई झांसा कामयाब होगा।

एक लैपटॉप वॉलेट तक कैसे पहुंचा

मेरा पहला सवाल उस इंजीनियर के वातावरण में मौजूद सुरक्षा उपायों को लेकर है। बाहरी कोडिंग आकलन के लिए काम का कंप्यूटर इस्तेमाल करना जांच का विषय होना चाहिए। इससे भी बड़ी चिंता यह है कि उस एक सेंध के कारण दूसरे सिस्टमों और आखिरकार संवेदनशील वित्तीय ढांचे तक पहुंच कैसे संभव हुई।

शुरुआती संक्रमण के बाद का हर कदम Binance के भीतर पहले से मौजूद भरोसे पर निर्भर था। एक आंतरिक एआई टूल ने संक्रमित मशीन से निर्देश स्वीकार किए और उन निर्देशों के ज़रिए सहकर्मियों के उपकरणों तक पहुंच बनाई। एक इंजीनियर के लैपटॉप पर डिप्लॉयमेंट टोकन मौजूद था। वैध लॉगिन प्रमाण-पत्रों से कंटेनर डिप्लॉय करके अरबों डॉलर की रकम निकाल ली गई। इनमें से किसी भी कदम के लिए एक और झांसे की ज़रूरत नहीं पड़ी।

आंतरिक एआई टूल पर विशेष ध्यान देना ज़रूरी है। इन्हें अक्सर रिपॉज़िटरी, एंडपॉइंट और सेवाओं तक व्यापक अनुमति के साथ चलाया जाता है। इसलिए जो भी व्यक्ति ऐसे टूल को निर्देश दे सकने वाली मशीन पर नियंत्रण कर लेता है, उसे उस मशीन की पहुंच भी हासिल हो जाती है।

इंजीनियरिंग का काम रोके बिना डेवलपरों की सुरक्षा

डेवलपरों को पैकेज डाउनलोड करने, अनजान कोड चलाने और सॉफ़्टवेयर की जांच करने की ज़रूरत होती है। उनके लैपटॉप को वित्त विभाग के कार्यस्थल की तरह पूरी तरह बंद कर देने से इंजीनियरिंग का काम बेहद धीमा पड़ जाएगा और इंजीनियर दूसरे रास्ते अपनाने लगेंगे। नौकरी तलाशने से जुड़ी गतिविधियों को कॉर्पोरेट उपकरणों से दूर रखने की नीति उचित है, लेकिन कोई भी हर बार नीति का पालन नहीं करता। व्यावहारिक लक्ष्य यह सीमित करना है कि संक्रमित डेवलपर मशीन आगे क्या कर सकती है।

कुछ नियंत्रण सबसे बड़ा फर्क पैदा करते हैं। अविश्वसनीय कोड ऐसे अस्थायी वर्चुअल मशीनों में चलाया जाना चाहिए जिनकी कॉर्पोरेट क्रेडेंशियल तक पहुँच न हो। जहाँ तक संभव हो, परिनियोजन क्रेडेंशियल अल्पकालिक और सीमित दायरे वाले होने चाहिए तथा नियंत्रित परिनियोजन कार्यप्रवाहों के लिए जारी किए जाने चाहिए। वॉलेट पर हस्ताक्षर करने वाली कुंजियों या कुंजी-हिस्सों को डेवलपर के वर्कस्टेशन से अलग सुरक्षित रखा जाना चाहिए। साथ ही, हस्ताक्षर संबंधी नीतियों में यह सीमित होना चाहिए कि किन लेन-देन और प्राधिकरणों को मंज़ूरी दी जा सकती है। वॉलेट, भुगतान या प्रोडक्शन सिस्टम से जुड़ी कार्रवाइयों के लिए अलग डिवाइस पर मौजूद दूसरे व्यक्ति की मंज़ूरी अनिवार्य होनी चाहिए। आंतरिक एआई टूल न्यूनतम अनुमतियों के साथ चलने चाहिए और उनकी गतिविधियों का लॉग रखना चाहिए।

क्रेडेंशियल वैध होने पर भी खतरे का पता लगाने की व्यवस्था काम करनी चाहिए। किसी अनजान मशीन से या असामान्य समय पर किए गए परिनियोजन को चिह्नित करने वाली व्यवहार-निगरानी टीम को तब हस्तक्षेप करने का मौका देती है, जब सभी क्रेडेंशियल सही पाए जाते हैं। Binance का कहना है कि घटना के बाद से उसने इस तरह की पहचान क्षमता का विस्तार किया है।

खतरे से जुड़ी जानकारी की भूमिका

चोरी से छह सप्ताह पहले ही चेतावनी सार्वजनिक हो गई थी। Contagious Interview पर जारी संयुक्त सलाहकारी चेतावनी में बताया गया था कि इसके संचालक आईटी पेशेवरों को निशाना बनाने और क्रिप्टोकरेंसी चुराने के लिए एआई, क्रिप्टो और NFT कंपनियों के भर्तीकर्ता बनकर पेश आते हैं। Binance का मामला भी इसी तरीके पर चला।

ऐसे अभियानों में खतरे से जुड़ी जानकारी की भूमिका ठोस होती है। हमलावर बदल सकते हैं, लेकिन उनकी रणनीतियाँ जानी-पहचानी हैं। उन पर नज़र रखने वाली टीमें उनके ज्ञात ढाँचे को रोक सकती हैं और इंजीनियरों को उन बहानों के बारे में आगाह कर सकती हैं जिनका अभी इस्तेमाल हो रहा है।

खतरे से जुड़ी जानकारी यह भी बताती है कि किन लोगों को अतिरिक्त सुरक्षा की ज़रूरत है। किसी घटना से यह पता चलने के बाद कि संवेदनशील पहुँच किन लोगों के पास है—जैसा कि Binance में जून में हुई सेंधमारी से पता चला—उन लोगों को महीनों तक संभावित लक्ष्य मानना चाहिए और उनके उपकरणों तथा उनसे संपर्क करने के प्रयासों पर अधिक बारीकी से नज़र रखनी चाहिए।

क्रिप्टो से बाहर इसका क्या अर्थ है

क्रिप्टो एक्सचेंज स्वाभाविक रूप से निशाने पर होते हैं, क्योंकि चुराई गई धनराशि तेज़ी से आगे बढ़ती है और उसे वापस पाना मुश्किल होता है। यही तरीका उन सभी जगहों पर कारगर है जहाँ डेवलपर का वर्कस्टेशन कुछ ही कदम दूर किसी अहम सिस्टम से जुड़ा हो—चाहे वह बैंक की भुगतान प्रक्रिया हो या सॉफ़्टवेयर विक्रेता की बिल्ड और रिलीज़ प्रक्रिया। भर्ती के बहाने इन सभी क्षेत्रों के इंजीनियरों तक पहुँचते हैं।

इस सप्ताह अपने सुरक्षा परिवेश की समीक्षा कर रहे नेताओं के लिए दो जाँच सबसे अहम हैं। पहला, यह पता लगाएँ कि आज एक अकेले हैक हुए डेवलपर लैपटॉप से किन चीज़ों तक पहुँचा जा सकता है—इसमें सहेजे गए टोकन, SSH कुंजियाँ, क्लाउड क्रेडेंशियल और आंतरिक एआई टूल शामिल हैं। दूसरा, पुष्टि करें कि प्रोडक्शन परिनियोजन और उच्च-मूल्य वाले लेन-देन के लिए स्वतंत्र मंज़ूरी ज़रूरी है, जिसे एक अकेली हैक हुई पहचान नहीं दे सकती।

Binance ने प्रभावित सिस्टम फिर से तैयार किए हैं और स्वतंत्र समीक्षकों को शामिल किया है—ये फैसले नुकसान हो जाने के बाद लिए गए। जो संगठन अभी यही अभ्यास करते हैं, वे ये फैसले अपनी समय-सारणी के अनुसार ले सकते हैं।