کارشناسان: سرقت 6.3 میلیارد دلاری Binance ترکیبی از مهندسی اجتماعی و هوش مصنوعی در عملیات چند ماهه

این عملیات که به عنوان بزرگ‌ترین سرقت ارز دیجیتال ثبت شده توصیف می‌شود، نشان می‌دهد که چگونه مهاجمان می‌توانند دستکاری کارکنان را با نفوذهای فنی ترکیب کنند تا سیستم‌هایی را که اجازه انتقال دارایی‌های دیجیتال را مجاز می‌کنند، به خطر بیندازند.

آری ردبورد، رئیس جهانی سیاست و امور دولتی در شرکت تحلیلی بلاک چین TRM Labs، این حمله را به کره شمالی نسبت داد و گفت سرقت سایبری به تامین مالی دولت تحریم شده و برنامه های تسلیحاتی آن کمک می کند.

ارسین دینچلی، دانشیار سیستم های اطلاعاتی در دانشگاه کلرادو دنور، گفت که این پرونده شناسایی گسترده و برنامه ریزی دقیق در پشت حملات سایبری مدرن را نشان می دهد.

استخدام جعلی درها را به روی سیستم های شرکت باز کرد

بر اساس گزارش بایننس که در 3 نوامبر منتشر شد، مهاجمان برای اولین بار در ماه ژوئن زمانی که کارمند قصد داشت یک ابزار کدنویسی مبتنی بر هوش مصنوعی را نصب کند، یک مهندس را هدف قرار دادند.

تیم امنیتی این شرکت فعالیت مشکوکی را شناسایی کرده و دستگاه و مدارک مهندس را تعویض کردند. با این حال، مهاجمان قبلا اطلاعاتی در مورد مسئولیت های کارمند و همکاران جمع آوری کرده بودند.

در ماه سپتامبر، افرادی که خود را به عنوان استخدام کنندگان برای یک شرکت ناموجود معرفی می کردند، یک مهندس Binance دیگر را به یک مصاحبه شغلی جعلی دعوت کردند. یک تکلیف کدگذاری بعدی، کارمند را بر آن داشت تا فایل‌های حاوی کدهای مخرب را بر روی رایانه کاری بارگیری کند و به مهاجمان اجازه دسترسی به سیستم‌های شرکت را بدهد.

در 20 اکتبر، مهاجمان از یک ابزار هوش مصنوعی داخلی برای کمک به دسترسی به کامپیوترهای دو مهندس دیگر استفاده کردند.

آنها بدافزار را در 29 اکتبر با استفاده از اعتبارنامه های سرقت شده از یک مهندس دیگر مستقر کردند و به یک سرویس امضای کیف پول داخلی که برای تأیید تراکنش ها استفاده می شود، دسترسی غیرمجاز پیدا کردند.

در عرض چهار دقیقه، آنها 233.46 میلیون XRP را از پنج کیف پول Binance به آدرسی تحت کنترل خود منتقل کردند. نقل و انتقالات بعدی شامل حدود 970500 SOL، 44.2 میلیون OP و 18270 بیت کوین بود.

بایننس پس از شناسایی نقل و انتقالات غیرمعمول، برداشت ها را به حالت تعلیق درآورد، اما مجوزهای موجود مهاجم مانع از توقف فوری تمام تراکنش های غیرمجاز توسط شرکت شد.

ردبورد گفت که شناسایی مهندسان کیف پول با نام، تعیین اینکه چه کسی دارای اختیار امضاء است و درک نحوه کار تیم ها با هم نیازمند ماه ها تحقیق است.

او گفت که عناوین شغلی، پروفایل های حرفه ای و شرکت در کنفرانس همگی می توانند به مهاجمان در شناسایی اهداف و ترسیم مسئولیت های آنها کمک کنند.

او استخدام کنندگان جعلی، مصاحبه های تقلبی و کدگذاری مخرب را به عنوان روش های تکرار شونده مرتبط با عملیات کره شمالی توصیف کرد. مهندسان ممکن است چنین رویکردهایی را جدی بگیرند زیرا به نظر می‌رسد پیام‌های استخدام و آزمون‌های کدگذاری بخش‌های معمول استخدام هستند.

ردبورد گفت که پیشرفت عملیات از یک نفوذ اولیه در ژوئن تا سرقت نهایی منعکس کننده یک عملیات اطلاعاتی بیمار است که هر مرحله بر اساس دسترسی قبلی ساخته شده است.

او اجرای کدهای خارجی را در محیط های مجازی یکبار مصرف روی سخت افزار جداگانه توصیه کرد. او افزود که صرافی ها همچنین باید محدودیت های کیف پول داغ، سقف برداشت و تاخیر برای نقل و انتقالات بزرگ را اعمال کنند.

دینچلی گفت حتی زمانی که کارکنان از تاکتیک‌های مهندسی اجتماعی که از کنجکاوی، ترس، فوریت یا سایر انگیزه‌های انسانی سوء استفاده می‌کنند، بی‌اطلاع باشند، حتی حفاظت‌های فنی پیچیده نیز تضعیف می‌شوند.

او گفت که مهندسان باتجربه نیز می توانند قربانی چنین طرح هایی شوند و حمله Binance را به عنوان یک عملیات هماهنگ شده با دقت توصیف کرد که طی چندین ماه انجام شد.

او افزود که ابزارهای اطلاعاتی منبع باز و اتوماسیون مبتنی بر هوش مصنوعی جمع آوری اطلاعات و ایجاد پروفایل های دقیق از اهداف بالقوه را با هزینه کم یا بدون هزینه ممکن کرده است.

کره شمالی این اتهام را رد کرد. کیم یو جونگ، خواهر رهبر کیم جونگ اون، واشنگتن را به تلاش برای نشان دادن پیونگ یانگ به عنوان یک کشور مجرم سایبری متهم کرد و پیشنهاد کرد که ایالات متحده می تواند از بازیابی ارزهای دیجیتال سرقت شده برای ذخایر استراتژیک خود سود ببرد.

دینچلی گفت که تمایز بین عملیات سایبری تحت حمایت دولت و جرایم با انگیزه مالی به طور فزاینده ای مبهم می شود.

او گفت در حالی که حملات دولتی به طور سنتی بر جاسوسی و اهداف ژئوپلیتیکی متمرکز بوده است، کره شمالی نشان می‌دهد که چگونه می‌توان از چنین عملیات‌هایی برای سرقت ارزهای دیجیتال و ایجاد درآمد دولتی استفاده کرد.