بزرگ‌ترین سرقت ارز دیجیتال در تاریخ تا کنون، داستان ترکیبی از فریبکاری انسانی و گنجشکی نرم‌افزاری است. طبق گزارش پس از حادثه (postmortem) بایننس، این هک بزرگ طی چند ماه و با استفاده از تکنیک‌های شناخته‌شده‌ای محقق شد که در آن‌ها، مهندسان شرکت قربانی تهاجمات مختلف شدند. این ماجرا نشان می‌دهد که چگونه تهدیدات سایبری مدرن دیگر صرفاً با کدگذاری پیچیده، بلکه با هوش مصنوعی، مهندسی اجتماعی و استغلال ابزارهای داخلی شرکت‌ها پیش می‌رود.
شروع داستان: از یک تبلیغ مخرب تا مصاحبه جعلی
بر اساس شواهد، این حملات از ماه ژوئن آغاز شد. در این مرحله، یک توسعه‌دهنده بدون آنکه بداند، نصب‌کننده‌ای دست‌کاری‌شده را دانلود کرد که به نظر می‌رسد از طریق یک تبلیغ گوگل مضر پخش شده بود. این کار باعث شد اطلاعاتی درباره مهندسان و نحوه کار آن‌ها لو برود. اگرچه تیم‌های امنیت بایننس این مورد را شناسایی و دستگاه مربوطه را جایگزین کردند، اما فاجعه در ماه سپتامبر رقم خورد.
تله‌ای به نام «فرصت شغلی»
یکی از مهندسان دیگر بایننس، هدف تهاجمی قرار گرفت که در آن شخص مهاجم خود را به عنوان کسی معرفی کرد که در حال استخدام اوست. مهاجم با برقراری جلسات متعدد، گفتگوهای تلفنی و اشتراک‌گذاری صفحات رسانه‌های اجتماعی، اعتماد مهندس را جلب کرد. در نهایت، او را متقاعد کرد تا یک «وظیفه مصاحبه» را دانلود کند که در واقع یک بدافزار پیشرفته بود.
این بدافزار از تکنیک‌های مبهم‌سازی (obfuscation) و اجتناب از کشف بسیار پیشرفته‌ای استفاده می‌کرد. مهاجمان یک نسخه بدافزاری از یک ابزار توسعه‌دهنده مجاز به نام pyenv جایگزین کردند تا به یک دسترسی بک‌دور (backdoor) برسند. نکته نگران‌کننده این بود که این بدافزار «صفرروز» (0-day) توسط ابزارهای حفاظت پایانی (endpoint security) در زمان تهاجم کشف نشد.
نقش ابزار هوش مصنوعی داخلی در تسهیل سرقت
در ۲۰ اکتبر، مهاجمانی که FBI آن‌ها را یک واحد هکر کوری شمالی با نام «TraderTraitor» شناسایی کرده است، از ابزار داخلی هوش مصنوعی بایننس برای کسب کنترل بر کیف پول‌ها استفاده کردند. آن‌ها ابتدا کنترل روی کیف پول مهندس قربانی‌شده در ژوئن و سپس کارمند سومی را به دست گرفتند.
چرا تیم امنیت نتوانست جلوی تراکنش‌ها را بگیرد؟
در ۲۹ اکتبر، مهاجمان به رایانه کارمند سوم وارد شدند و حملات اصلی را آغاز کردند. یکی از چالش‌های فنی برای تیم امنیتی این بود که از آنجا که کیف پول گرم از محاسبات چندجانبه (Multi-Party Computation یا MPC) استفاده می‌کرد، هیچ کلید خصوصی واحدی وجود نداشت که بتواند به سرعت مجوزهای بدافزاری EIP-770 را لغو کند. این تأخیر تقربی دو ساعتی، مسیر را برای خروج دارایی‌ها هموار کرد.
- شناسایی مهاجمان: FBI مهاجمان را به یک گروه هکری از کورهای شمالی با نام TraderTraitor مرتبط می‌داند.
- وضعیت دارایی‌ها: ریکارد تنگ، مدیرعامل بایننس، تأکید کرد که هیچ کاربری خسارتی نخواهد دید؛ حدود ۲.۸۵ میلیارد دلار از دارایی‌های دزدیده شده مسدود یا متوقف شده است.
- احیا دارایی‌ها: در حال حاضر ۹۸ درصد توکن‌های متأثر جایگزین شده‌اند و برداشت‌ها به طور گسترده ازسر گرفته شده است.
سؤالات بی‌پاسخ درباره امنیت سیستم‌های داخلی
با وجود تمام توضیحات، همچنان ابهاماتی باقی مانده است. چرا این حملات خاص به این خوبی عمل کرد؟ خطر مصاحبه‌های شغلی که افراد را برای دانلود و اجرای کد روی سیستم‌هایی که به منابع کارفرما دسترسی دارند ترغیب می‌کنند، سال‌هاست که توسط متخصصان امنیتی هشدار داده شده است. جزئیات کمی درباره «ابزار داخلی هوش مصنوعی» که مهاجمان از آن بهره بردند، و اینکه دقیقاً چرا و چگونه این ابزار به آن‌ها اجازه داد چنین اختلالاتی را ایجاد کنند، افشا نشده است. این مورد می‌تواند درس بزرگ‌ای برای تمام شرکت‌های فناوری باشد تا مرزهای امنیتی ابزارهای هوش مصنوعی داخلی خود را بازبینی کنند.
نظر، سوال یا تجربه خود را درباره این مطلب با سایر کاربران اوکالا به اشتراک بگذارید.