اختراق بينانس يكشف أساليب احتيال جديدة
تقني نت – كشفت منصة بينانس (Binance) عن تعرضها لمحاولة اختراق ضخمة بقيمة 6.34 مليار دولار، بدأت من خلال مقابلة عمل وهمية استغلها المهاجمون للوصول إلى مهندسي المحافظ الرقمية، باستخدام أداة ذكاء اصطناعي داخلية، وتسلط الحادثة الضوء على تطور الهجمات الإلكترونية، حيث اختراق بينانس يكشف أساليب احتيال جديدة تستهدف المؤسسات والعاملين في قطاع العملات الرقمية، هذا ما سنتعرف عليه اليوم ضمن هذا الخبر، فتابعوا معنا أهم أخبار العملات الرقمية.
كشفت منصة بينانس (Binance) تفاصيل جديدة حول الهجوم الإلكتروني الذي تعرضت له في 29 أكتوبر، وقدرت قيمته بنحو 6.34 مليار دولار، موضحة أن المهاجمين استغلوا مقابلة توظيف وهمية لاختراق حاسوب أحد المهندسين والوصول لاحقاً إلى أنظمة حساسة مرتبطة بمحافظ العملات الرقمية.
ولم يعتمد الهجوم على ثغرة تقنية منفردة فحسب، بل جمع بين الهندسة الاجتماعية والبرمجيات الخبيثة وسرقة بيانات الاعتماد، إلى جانب الاستفادة من أداة ذكاء اصطناعي داخلية، وتكشف تفاصيل الحادثة كيف يمكن لخطوة تبدو طبيعية، مثل التقدم إلى وظيفة وإجراء مقابلة عن بعد، أن تتحول إلى مدخل لاستهداف البنية التحتية لمنصة مالية.
وبحسب التقرير الأولي الذي نشرته بينانس في الثالث من نوفمبر، تمكن المهاجمون من الوصول إلى البيئة المسؤولة عن توقيع المعاملات في المحافظ، وهي وظيفة حساسة تتيح اعتماد التحويلات وتنفيذها، وأوضحت المنصة أن الأصول التي جرى تجميدها أو اعتراضها بلغت قيمتها قرابة 2.85 مليار دولار، مع الإشارة إلى أن هذا الرقم يتأثر بالتسويات وتغيرات أسعار السوق، كما ذكرت أنها عوضت، بحلول 31 أكتوبر، نحو 98% من الأصول الرقمية المتضررة، بينما استمرت عمليات شراء بعض الأصول الأقل سيولة، وأكدت الشركة امتلاكها مخصصات مالية كافية لتغطية الخسائر بالكامل، في محاولة لطمأنة المستخدمين بشأن قدرتها على معالجة آثار الحادث.
اختراق بينانس بدأ من مقابلة توظيف وهمية
أشارت رواية بينانس إلى أن التحضير للهجوم بدأ خلال سبتمبر، عندما تواصل شخص مع أحد المهندسين مدعياً أنه مسؤول توظيف عبر منصة معروفة للبحث عن فرص العمل، وبعد مقابلة أولى أُجريت عبر الفيديو، انتقل التواصل إلى مرحلة أخرى، ظهر خلالها شخص انتحل صفة الرئيس التنفيذي للشركة وطلب من المهندس تنزيل مهمة برمجية على حاسوب العمل، وقدمت المهمة على أنها جزء طبيعي من إجراءات التقييم الفني، الأمر الذي جعل الطلب يبدو مرتبطاً بعملية التوظيف وليس محاولة للوصول إلى جهاز الموظف.
لكن عملية إعداد المهمة شغلت شيفرة خبيثة تسببت في استبدال مكوّن أصلي ضمن أدوات التطوير بمكوّن معدل، ثم أنشأت اتصالاً بخادم يتحكم به المهاجمون، وبهذه الطريقة، أصبح بإمكانهم التواصل مع الحاسوب المصاب ومتابعة ما يحدث عليه، بدلاً من الاكتفاء بإرسال ملف ضار ينتهي تأثيره بمجرد تشغيله، وتوضح هذه الخطوة أهمية التعامل بحذر مع الملفات والبرامج التي يطلبها أشخاص غير معروفين أثناء المقابلات، حتى عندما تبدو العملية منظمة وتحمل أسماء شركات أو مسؤولين.
وفي 20 أكتوبر، استغل المهاجمون الجهاز المصاب وأداة ذكاء اصطناعي داخلية للوصول إلى مهندسين اثنين يعملان على محافظ بينانس الرقمية، وذكر التقرير أنهم عثروا على حاسوب أحدهما على رمز وصول، أو ما يعرف باسم Token، يتيح صلاحية نشر حاويات برمجية، وتسمح هذه الحاويات بتشغيل تطبيقات وخدمات ضمن بيئات معزولة نسبياً، ولذلك فإن امتلاك صلاحية نشرها قد يمنح المهاجم مجالاً لتنفيذ تعليمات داخل أنظمة العمل، ولم تكشف بينانس اسم أداة الذكاء الاصطناعي التي استخدمت، كما لم تقدم تفاصيل دقيقة توضح الدور التقني الذي أدته في الوصول إلى المهندسين أو استغلال صلاحياتهم.
وفي 29 أكتوبر، انتقل المهاجمون إلى مرحلة تنفيذ الهجوم، مستخدمين حاسوب مهندس آخر وبيانات اعتماد مسروقة مرتبطة بنشر البرمجيات، ووفق التقرير، شغّلوا حاوية برمجية ونفذوا من خلالها نصاً خبيثاً، ما أتاح لهم الوصول غير المصرح به إلى خدمة توقيع المعاملات الخاصة بمحافظ المنصة، وتكمن خطورة هذه الخدمة في أنها تشارك في اعتماد العمليات المالية، وبالتالي فإن الوصول إليها يختلف عن مجرد اختراق حساب مستخدم أو الاطلاع على بيانات داخلية، فقد أتاح هذا النفاذ تنفيذ تحويلات لم تمر عبر المسار الاعتيادي لعمليات السحب، وهو ما جعل احتواء الحادث أكثر تعقيداً.
اختراق بينانس وصعوبة إيقاف التفويضات على سلسلة الكتل
أوضحت بينانس أن تعليق عمليات السحب لم يكن كافياً وحده لوقف حركة الأصول التي تحكمت بها الصلاحيات الخبيثة، وترتبط هذه المشكلة باستخدام المهاجمين آلية EIP-7702 في شبكة إيثيريوم، وهي آلية تسمح لمحفظة عادية بتفويض تنفيذ كود عقد ذكي نيابة عنها، وبحسب الشرح الذي قدمه الرئيس التنفيذي المشارك ريتشارد تينغ في 30 أكتوبر، تمكن المهاجمون من الحصول على صلاحية تنفيذ على محفظة ساخنة من دون المرور بإجراءات الموافقة المعتادة، وكانت المنصة قد أشارت إلى استغلال هذه الآلية قبل نشر التقرير التفصيلي، لكنها لم تكن قد شرحت حينها كيفية حصول المهاجمين على التوقيع اللازم لإتمام العملية.
وتكمن خصوصية التفويض في أنه يُسجل على سلسلة الكتل ويظل قائماً إلى أن يجري تغييره أو إلغاؤه بمعاملة أخرى، لذلك، فإن إيقاف واجهة السحب أو تعطيل بعض الخدمات الداخلية لا يؤدي تلقائياً إلى إلغاء صلاحية سبق تسجيلها على الشبكة، وقد أظهرت معاملة منشورة على منصة Etherscan أن محفظة Binance 14 فوّضت التنفيذ إلى عقد يتحكم به المهاجم، ما يوضح كيف أمكن استمرار أثر الاختراق حتى بعد اتخاذ إجراءات تشغيلية داخل المنصة، وبذلك لم تكن المشكلة محصورة في وقف طلبات السحب، بل تطلبت معالجة التفويض نفسه على مستوى سلسلة الكتل.
وأكدت بينانس أن إيقاف خدمات المحفظة الساخنة لم يُبطل التفويضات القائمة، لأن تلك الصلاحيات كانت مستقلة عن مسار السحب المعتاد، كما أوضحت أن اعتمادها على تقنية الحوسبة متعددة الأطراف يعني أن المفتاح الخاص لا يوجد في مكان واحد يمكن استخدامه فوراً لإلغاء جميع التفويضات، وتوزع هذه التقنية عمليات إنشاء التوقيع بين أطراف أو مكونات متعددة، بهدف تقليل مخاطر تركيز السيطرة على مفتاح واحد، غير أن هذا التصميم الأمني تطلب في هذه الحالة إعداد إجراء متخصص للإلغاء، وهو ما أضاف وقتاً إلى عملية الاحتواء، بينما كانت الشركة تعمل على الحد من أي تحركات للأصول.
وذكرت المنصة أنها أزالت التفويض المرتبط بمحفظة Binance 14 عند الساعة 8:10 مساءً بتوقيت شرق الولايات المتحدة في 29 أكتوبر، ويمثل إلغاء التفويض خطوة مختلفة عن تعليق السحب، لأنه يستهدف الإذن المسجل على الشبكة مباشرة، ويمنع استمرار استخدامه وفق الصلاحية السابقة، وتوضح الواقعة أن التعامل مع الهجمات التي تشمل العقود الذكية والتفويضات على سلسلة الكتل يتطلب تنسيقاً بين فرق الأمن والعمليات التقنية، إلى جانب فهم دقيق لطبيعة المعاملات التي لا يمكن إبطالها بمجرد إيقاف خدمة مركزية.
وبعد احتواء الخطر، قالت بينانس إنها أعادت بناء نظام المحفظة المتأثرة وأداة الذكاء الاصطناعي الداخلية، واستبدلت الأجهزة التي تعرضت للاختراق، كما أوقفت العمل ببيانات الاعتماد التي سرقها المهاجمون، وتعمل الشركة، وفق التقرير، مع خبراء مستقلين في الأمن السيبراني لمراجعة الحادث والتحقق من النتائج، فيما لا يزال التحقيق مستمراً، ومن المتوقع أن تساعد المراجعة في تحديد نقاط الضعف التي سمحت بالانتقال من جهاز موظف إلى أنظمة توقيع المعاملات، وتقييم مدى كفاية الضوابط الحالية لمنع تكرار سيناريو مشابه.
وتسلط الحادثة الضوء على أن أمن منصات العملات الرقمية لا يعتمد على حماية المحافظ والخوادم فقط، بل يشمل أيضاً حماية الموظفين وأجهزة العمل وآليات التوظيف وإدارة الصلاحيات، فالمهاجمون قد يبدأون من قناة بشرية بسيطة، ثم يستفيدون من بيانات اعتماد صحيحة للوصول إلى خدمات داخلية حساسة، كما أن استخدام أدوات الذكاء الاصطناعي في بيئة العمل لا يعني بالضرورة أنها سبب الاختراق، إذ لم توضح بينانس حتى الآن طبيعة الأداة أو كيفية توظيفها بالتفصيل، ولهذا ينبغي الفصل بين ما أكدته الشركة وما لا يزال قيد التحقيق، وتجنب افتراض أن الأداة نفسها كانت ثغرة أمنية.
أما بالنسبة إلى المستخدمين، فتبرز أهمية متابعة الإعلانات الرسمية المتعلقة بالأصول المتأثرة والتعويضات، وعدم الاستجابة لرسائل توظيف أو مقابلات تطلب تثبيت برامج غير موثوقة على أجهزة العمل، وعلى المؤسسات بدورها مراجعة صلاحيات نشر البرمجيات، وتقييد استخدام رموز الوصول، ومراقبة الاتصالات غير المعتادة، وفرض تحقق إضافي عند تنفيذ العمليات الحساسة، كما ينبغي أن تتضمن إجراءات الاستجابة خططاً للتعامل مع التفويضات المسجلة على الشبكات العامة، لا أن تقتصر على تعطيل الخدمات الداخلية.
وتؤكد تفاصيل اختراق بينانس أن الهجمات الحديثة قد تجمع بين الخداع البشري والاستغلال التقني في سلسلة واحدة، وأن الاستجابة الفعالة تتطلب الاستعداد لكليهما، ورغم إعلان المنصة تجميد أو اعتراض جزء كبير من الأصول وتعويض معظم المتضررين، فإن التحقيق المستمر سيحدد بصورة أوضح كيفية وقوع الاختراق وما إذا كانت هناك ثغرات إضافية تحتاج إلى معالجة، وتبقى الدروس الأهم مرتبطة بالتحقق من هويات مسؤولي التوظيف، وحماية أجهزة المهندسين، وتقليل الصلاحيات الدائمة، والاستعداد لإلغاء التفويضات على سلسلة الكتل عند الضرورة.
إقرأ أيضاً:
