هک بایننس: ۶.۳۴ میلیارد دلار در ۲۰ دقیقه با مصاحبه جعلی

گروه هکر تریدترایتر وابسته به کره شمالی در اکتبر ۲۰۲۶ با یک مصاحبه کارآموزی جعلی، لپ‌تاپ یک مهندس بایننس را هک کرد و در سرقت بایننس تاریخی، ۶.۳۴ میلیارد دلار را در کمتر از ۲۰ دقیقه از کیف پول‌های صرافی خارج نمود. بایننس مسئولیت را پذیرفت و ۹۸ درصد دارایی‌های متضرر را جبران کرده است. این سرقت تاریخی، جزئیات بیشتری در روایت هک ۲۰ دقیقه‌ای بایننس ارائه می‌دهد.

پیش‌زمینه و مقیاس حمله

بایننس بزرگترین صرافی ارز دیجیتال جهان از نظر حجم معاملات است. این مقیاس آن را هدف دائمی بازیگران پشتیبانی‌شده توسط دولت‌ها می‌سازد. اف بی‌آی این سرقت را به گروه تریدترایتر نسبت داد، همان گروهی که در فوریه ۲۰۲۵ یک و نیم میلیارد دلار از بایبیت دزدیده بود. صرافی‌های ارز دیجیتال تحت فشار منحصر به فردی قرار دارند: وجوه دزدی با سرعت بالا جابجا می‌شود و بازیابی آن نادری است.

تا سوم نوامبر، بایننس گزارش داد که ۹۸ درصد دارایی‌های توکنی متضرران تامین شده‌اند. حدود ۲.۸۵ میلیارد دلار با کمک شریک‌ها و نهادهای قانون‌گذار مسدود یا متوقف شده است. واکنش سریع بود، اما نقض امنیت ضعف‌های معماری عمیق را آشکار ساخت.

این کمپین حداقل پنج ماه پیش از سرقت آغاز شده بود. در ژوئن، یک مهندس دیف‌اپس کیف پول که به دنبال ابزاری برای کدنویسی با کمک هوش مصنوعی بود، یک نصب‌کننده هوم‌برو (Homebrew) آلوده دانلود کرد. تیم امنیتی بایننس ناهنجاری را شناسایی کرد، دستگاه را جایگزین نمود و اعتبارها را چرخاند. اما تا آن لحظه، هکرها هویت اعضای تیم زیرساخت کیف پول را یاد گرفته بودند.

مصاحبه سپتامبر: راه نفوذ اولیه

سه ماه بعد، هکرها از دری دیگر بازگشتند. یک مهندس با پروفایل عمومی که تجربه کار در بایننس را ذکر کرده بود، پیامی از یک استخدام‌کننده در یک پلتفرم کاری معتبر دریافت کرد. اولین مصاحبه یک تماس ویدیویی زنده با نماینده منابع انسانی بود که برای اثبات اصالت، حساب شبکه اجتماعی شخصی خود را به اشتراک گذاشت. دومین مصاحبه در یک برنامه چت با کسی برگزار شد که خود را مدیرعامل معرفی می‌کرد.

نزدیک پایان، از مهندس خواسته شد یک تمرین کدنویسی را روی کامپیوتر کاری خود دانلود کند. مخزن (Repository) بدافزار (Malware) حاوی بود که در حین راه‌اندازی اجرا شد. بدافزار یک جزء مشروع پای‌انوی (pyenv) را با یک نسخه مخرب جایگزین کرد، به سرور مهاجم متصل شد و رد پای خود را پاک کرد. بایننس اعلام کرد حفاظت نقطه پایانی (Endpoint Protection) آن را شناسایی نکرده است. استفاده از ابزار هوش مصنوعی داخلی برای حرکت جانبی، همان مکانیزمی است که در سرقت ۶.۳۴ میلیارد دلاری بایننس به کار رفت.

حرکت جانبی از طریق هوش مصنوعی داخلی

در ۲۰ اکتبر، هکرها از آن لپ‌تاپ و یک ابزار هوش مصنوعی داخلی — مثل یک دستیار هوشمند که به تمام مخازن و سرورها دسترسی دارد — کنترل دو دستگاه مهندس دیگر را گرفتند. یکی از این دستگاه‌ها متعلق به همان مهندس دیف‌اپس بود که در ژوئن هک شده بود. روی آن ماشین، توکنی (Token) — مثل یک کارت کلید دیجیتال که اجازه استقرار کانتینر (Container Deployment) را می‌دهد — یافتند. ابزار هوش مصنوعی داخلی، دستوراتی را از دستگاه هک‌شده می‌پذیرفت و آن‌ها را به عملیات روی دستگاه‌های همکاران تبدیل می‌کرد.

برداشت نهایی: ۲۰ دقیقه و ۶.۳۴ میلیارد دلار

در ۲۹ اکتبر، هکرها به کامپیوتر مهندس دیگر وارد شدند. از اعتبارهای دزدی برای استقرار یک کانتینر و اجرای اسکریپت دزدی استفاده کردند. به طور تقریبی ۶.۳۴ میلیارد دلار از کیف پول‌های بایننس خارج شد، اکثر آن در حدود ۲۰ دقیقه. هیچ فریب اضافی لازم نبود. هر گام بر اعتمادِ از پیش وجودی در شبکه استوار بود.

چرا فریب استخدام‌کننده همچنان موثر است

استخدام‌کنندگان جعلی و تست‌های کدنویسی مسموم، یک کتابچه بازی قدیمی هستند. عاملان کره شمالی سال‌هاست با کمپین معروف به Contagious Interview در برابر توسعه‌دهندگان از آن استفاده می‌کنند. بایننس گفت تنها در ۲۰۲۶، ۵۷ تلاش مشکوک مرتبط با کره شمالی را متوقف کرده است. این فریب کار می‌کند چون از مهندس می‌خواهد کاری انجام دهد که هر روز می‌کند: اجرای یک مخزن ناشناس. هیچ آدرس فرستنده مشکوکی وجود ندارد و هیچ لینکی برای هاور کردن با موس وجود ندارد.

یک پیام استخدام‌کننده همچنین یکی از معدود رویکردهای غیرمنتظره است که افراد به خوشی می‌پذیرند. هیچ برنامه آگاهی نمی‌تواند تضمین کند که هر مهندس هر فریب قانع‌کننده‌ای را شناسایی کند، بنابراین کنترل‌ها باید فرض کنند یکی از آن‌ها عبور خواهد کرد.

کنترل‌های محدودکننده شعاع انفجار

توسعه‌دهندگان نیاز دارند بسته‌ها را دانلود و نرم‌افزار را تست کنند. قفل کردن لپ‌تاپ‌ها مثل ایستگاه‌های کار مالی، مهندسی را فلج می‌کند. هدف عملی، محدود کردنِ آن است که یک ماشین هک‌شده در مرحله بعد می‌تواند انجام دهد.

چندین کنترل تأثیرگذار:

• کدهای غیرمعتبر باید در ماشین‌های مجازی یک‌بار مصرف اجرا شوند که به اعتبارهای شرکتی دسترسی ندارند.
• اعتبارهای استقرار باید کوتاه‌مدت، با دامنه محدود و فقط به گردش‌های کار کنترل‌شده صادر گردند.
• کلیدهای امضای کیف پول باید جدا از ایستگاه‌های کار توسعه‌دهنده بمانند با سیاست‌هایی که تراکنش‌های قابل تایید را محدود می‌کنند.
• عملیاتی که به کیف پول، پرداخت یا سیستم‌های تولیدی متصل هستند، باید تایید شخص ثانویه روی یک دستگاه جداگانه را لازم داشته باشند.
• ابزارهای هوش مصنوعی داخلی باید با حداقل مجوز اجرا شوند و هر عملیات را ثبت کنند.
• نظارت رفتاری که استقرار از ماشینی غیرمنتظره یا در ساعتی غیرمنتظره را پرچم می‌دهد، به تیم‌ها فرصت می‌دهد تا وقتی همه اعتبارها معتبر به نظر می‌رسند، مداخله کنند. بایننس گفت از این نوع شناسایی پس از حادثه گسترش داده است. استفاده از ابزارهای هوش مصنوعی در نفوذ به بانک‌ها، موضوع گزارش Crowdstrike است.

اطلاعات تهدید پیش از حمله هشدار داده بود

یک مشورت مشترک درباره Contagious Interview شش هفته قبل از سرقت، عاملانی را توصیف کرد که خود را استخدام‌کننده شرکت‌های هوش مصنوعی، ارز دیجیتال و NFT معرفی می‌کردند. پرونده بایننس همان کتابچه بازی را دنبال کرد. اطلاعات تهدید کار مشخصی دارد: مسدود کردن زیرساخت‌های شناخته شده و هشدار دادن به مهندسان درباره پیش‌فرض‌های فعال.

اطلاعات تهدید همچنین به تیم می‌گوید چه کسی نیاز به حفاظت اضافی دارد. پس از اینکه هک ژوئن نشان داد چه کسانی دسترسی حساس دارند، آن افراد باید ماه‌ها به عنوان اهداف محتمل تحت نظارت نزدیک‌تر قرار می‌گرفتند.

ابزارهای هوش مصنوعی داخلی بررسی دقیق خاصی را می‌طلبد. آن‌ها اغلب با مجوزهای گسترده در سراسر مخازن، نقاط پایانی و خدمات اجرا می‌شوند. هر کسی که ماشینی را کنترل کند که می‌تواند یکی از این ابزارها را هدایت کند، به دستاورد آن ابزار می‌رسد. حمله بایننس نشان داد چگونه یک دستیار هوش مصنوعی به مضرب نیروی حرکت جانبی تبدیل شد.

درس‌ها برای فراتر از ارز دیجیتال

این الگو در هر جایی صادق است که یک ایستگاه کار توسعه‌دهنده تنها چند پرش از سیستم‌های حیاتی دور باشد — خط لوله پرداخت یک بانک یا فرآیند ساخت یک فروشنده نرم‌افزار. پیش‌فرض‌های استخدام به مهندسان در همه این جاها می‌رسد.

برای رهبران امنیتی که این هفته محیط خود را مرور می‌کنند، دو بررسی مهم‌ترین هستند. اول، نقشه بکشید که یک لپ‌تاپ توسعه‌دهنده هک‌شده امروز به چه می‌تواند برسد — شامل توکن‌های ذخیره شده، کلیدهای SSH، اعتبارهای ابری و ابزارهای هوش مصنوعی داخلی. دوم، تایید کنید که استقرارهای تولیدی و تراکنش‌های باارزش تایید مستقل می‌طلبد که یک هویت هک‌شده واحد نمی‌تواند تأمین کند.

بایننس سیستم‌های متضرر را بازسازی کرده و بازبینان مستقل را جذب نموده است. سازمان‌هایی که همین تمرین را اکنون انجام دهند، می‌توانند این تصمیمات را در برنامه زمانی خود بگیرند.

گام بعدی شما

• یک لیست از تمام اعتبارهای استقرار، کلیدهای SSH و توکن‌های API روی لپ‌تاپ‌های توسعه‌دهندگان تهیه کنید و دامنه هر یک را به حداقل برسانید.
• استقرار تولیدی و تراکنش‌های کیف پول را به تایید دو نفره روی دستگاه جداگانه مشروط سازید — حتی برای مهندس ارشد.
• ابزارهای هوش مصنوعی داخلی را در حالت «فقط خواندن» برای مخازن حساس قرار دهید و هر دستور را در لاک غیرقابل تغییر ثبت کنید.