بایننس می‌گوید مصاحبه شغلی جعلی منجر به سرقت ۶.۳ میلیارد دلار ارز دیجیتال شد

این اطلاعات جدید در یک گزارش حادثه منتشر شده امروز به اشتراک گذاشته شده است، که جزئیات نحوه استفاده مهاجمان از مهندسی اجتماعی، نرم افزارهای مخرب و سیستم های داخلی را برای انجام سرقت رمزنگاری 29 اکتبر به خطر انداخته است.

همانطور که قبلا توسط BleepingComputer گزارش شده بود، FBI این حمله را به هکرهای تحت حمایت دولت کره شمالی موسوم به TraderTraitor نسبت داد که با نام های Lazarus Group، Jade Sleet و APT38 نیز دنبال می شوند.

بایننس می‌گوید این حمله در سپتامبر آغاز شد، زمانی که فردی با جعل هویت مدیر پروژه در یک شرکت ساختگی، با یک مهندس نرم‌افزار از طریق یک پلتفرم قانونی کاریابی تماس گرفت.

نمایه کارمند به تجربه او در بایننس اشاره می کند و او را به یک هدف ارزشمند برای مهاجمانی تبدیل می کند که به دنبال نقض صرافی ارزهای دیجیتال هستند.

استخدام کننده جعلی دو مصاحبه برای کارمند برنامه ریزی کرد، ابتدا با فردی که خود را به عنوان نماینده منابع انسانی معرفی می کرد، سپس با فرد دیگری که ادعا می کرد مدیر عامل شرکت است.

در اولین مصاحبه، نماینده جعلی منابع انسانی یک تماس ویدیویی زنده برقرار کرد و یک حساب کاربری در شبکه اجتماعی با عکس‌ها و ویدیوهای شخصی به اشتراک گذاشت تا اعتماد ایجاد کند.

مصاحبه دوم از طریق یک برنامه چت اجتماعی محبوب انجام شد که در آن به کارمند دستور داده شد یک تکلیف کدگذاری را از یک مخزن کد آنلاین دانلود کند.

به گفته بایننس، این مخزن حاوی کدهای مخربی بود که هنگام اجرا، دستگاه کارمند را با بدافزار سفارشی که قبلا دیده نشده بود، در معرض خطر قرار می داد که نرم افزار آنتی ویروس آن را شناسایی نمی کرد.

بایننس توضیح داد: "این بدافزار از تکنیک های پیچیده مبهم سازی و فرار استفاده می کرد، از جمله جایگزینی یک جزء ابزار توسعه قانونی با یک نسخه مخرب برای اجرای دستورات و برقراری ارتباط با یک سرور خارجی تحت کنترل مهاجم."

"این بدافزار 0 روزه توسط ابزارهای حفاظت امنیتی نقطه پایانی در آن زمان شناسایی نشد. مهاجم همچنین اقداماتی را برای پنهان کردن فعالیت های مخرب و حذف ردپایی از مصالحه انجام داد، که تشخیص و تحقیقات بعدی را چالش برانگیزتر کرد."

بایننس توضیح داد که این اسکریپت مخرب یک فایل اجرایی جایگزین به نام pyenv_ را در دایرکتوری نصب macOS Homebrew ایجاد کرده است.

سپس اسکریپت فایل اجرایی قانونی pyenv را حذف کرد، نام فایل مخرب را به pyenv تغییر داد، پیوند نمادین آن را اصلاح کرد و از آن برای ایجاد فرآیند Z shell (zsh) استفاده کرد.

جایگزینی مخرب به مهاجمان این امکان را می داد که دستورات دریافتی از یک سرور تحت کنترل مهاجم را اجرا کنند.

تا 20 اکتبر، مهاجمان از رایانه مهندس در معرض خطر و یک ابزار هوش مصنوعی داخلی برای به خطر انداختن دو کارمند اضافی که بر روی زیرساخت کیف پول Binance کار می‌کردند، استفاده کرده بودند، اعتبار و یک توکن استقرار کانتینر را دریافت کردند.

در 29 اکتبر، هکرها از اعتبار سرقت شده برای استقرار یک اسکریپت مخرب و دسترسی غیرمجاز به سرویس امضای کیف پول بایننس استفاده کردند و به آنها اجازه داد میلیاردها دلار ارز دیجیتال را در چندین بلاک چین انتقال دهند.

مهاجمان همچنین از مکانیزم مجوز EIP-7702 اتریوم سوء استفاده کردند و به آنها اجازه داد حتی پس از تعلیق برداشت‌های صرافی به سرقت ارزهای دیجیتال ادامه دهند.

بایننس می‌گوید از آن زمان سیستم‌های آسیب‌دیده را بازسازی کرده، دستگاه‌های در معرض خطر را جایگزین کرده و اعتبارنامه‌های سرقت شده را باطل کرده است.

بایننس می‌گوید که به بررسی این نقض ادامه می‌دهد و شرکت‌های امنیتی مستقل را برای بررسی یافته‌های خود آورده است.

مصاحبه های شغلی جعلی که منجر به نصب بدافزار می شود، یک تاکتیک رایج در کمپین های هک کره شمالی است که به عنوان مصاحبه مسری و عملیات رویای کار شناخته می شود. این کمپین ها از پیشنهادات شغلی و مصاحبه های جعلی برای فریب توسعه دهندگان و کارمندان ارزهای دیجیتال برای نصب بدافزار استفاده می کنند.

در ژوئن 2025، شرکت امنیت سایبری Socket گزارش داد که یک کمپین Contagious Interview جعل هویت استخدام‌کنندگان در لینکدین بوده و برای توسعه‌دهندگان تکالیف کدنویسی حاوی بسته‌های مخرب npm ارسال کرده است.

به عنوان بخشی از این حملات، هکرها 35 بسته npm مخرب را توزیع کردند که بدافزار را نصب می کرد و به آنها اجازه می داد اعتبار مرورگر، داده های کیف پول ارزهای دیجیتال و سایر اطلاعات را از رایانه های آلوده سرقت کنند.

هکرهای لازاروس کره شمالی نیز از تاکتیک‌های مشابهی در Operation Dream Job استفاده کرده‌اند و بدافزارهایی را که به‌عنوان اسناد استخدامی پنهان شده‌اند، بین افرادی که در شرکت‌های توسعه نرم‌افزار و DeFi کار می‌کنند، توزیع کرده‌اند.

در حالی که بایننس سازش کارمندان را به هیچکدام از کمپین‌های خاص مرتبط نکرده است، استفاده از استخدام‌کننده جعلی، مصاحبه‌های متعدد و کدگذاری مخرب، دقیقا منعکس‌کننده این تاکتیک‌های مستند قبلی کره شمالی است.

عوامل هوش مصنوعی Adaptive Security هدف، زمینه و رفتار ایمیل را برای کشف فیشینگ، در معرض خطر قرار دادن ایمیل تجاری و تقلب در صورت‌حساب تجزیه و تحلیل می‌کنند.

ببینید با اسکن 14 روزه فقط خواندنی Microsoft 365 یا Google Workspace، بدون هیچ تغییری در MX، چه اتفاقی می افتد.

Trezor نسبت به ایمپلنت مشکوک به سرقت رمزنگاری در کیف پول سخت افزاری هشدار می دهد