«تشيناليسيس» تربط سرقات سابقة بقيمة 14.3 مليون دولار بالفخ الذي استهدف «بينانس»

نسبت شركة تشيناليسيس أكثر من 14.3 مليون دولار من خسائر العملات المشفرة على مدى الأشهر الـ 18 الماضية إلى منهجية المقابلات الوهمية التي تستخدمها كوريا الشمالية، والتي استهدفت لاحقاً منصة بينانس.

تعتبر شركة تحليل البلوكشين تلك السرقات الأصغر بمثابة تدريب على سرقة الـ 6.3 مليار دولار.

أدت عشرات المقابلات الوهمية إلى اختراق المحافظ الرقمية

كانت الخسائر ناتجة عن مقابلات وهمية وبرامج ضارة مرتبطة بكوريا الشمالية، حيث تراوحت الأهداف بين حاملي العملات المشفرة الأفراد والمحافظ الخاصة والبروتوكولات ومنظمات الحوكمة اللامركزية (DAOs).

«لقد حددنا عشرات الاختراقات الأخرى في مقابلات العمل التي أدت إلى اختراقات للمحافظ الرقمية» على المستوى الفردي، قال توم ماكلوث، المحلل الاستخباراتي الأول في تشيناليسس. تراوحت الخسائر الفردية بين عشرات الآلاف من الدولارات وملايينها.

قال ماكلوث: «كانت الفرق الكورية الشمالية «تحسن وتطور منهجيتها» في تلك الهجمات. «وهذا هو السبب وراء وقوع أكبر عملية سطو في التاريخ».

تشير تشيناليسس إلى أن هجوم بينانس قد يكون ذروة أشهر أو حتى سنوات من الممارسة. أفاد كريبتوبوليتان بأن بينانس تعقب خرقها الخاص إلى دعوة لمقابلة عمل أرسلت لمهندس في سبتمبر.

قام المهندس بتنزيل مهمة مقابلة وظيفية كانت قد زُرعت فيها كودات خبيثة بعد جولة مع شركة وهمية. ويصف أليك زيبريك، المدير الأول لخدمات العالم في شركة تشيناليسيس، هذا الأسلوب بـ «المقابلات المعدية»، وهو موجه نحو الموظفين الذين يتمتعون بصلاحيات وصول خاصة، بهدف استخدام بيانات اعتمادهم ضد صاحب العمل.

أبرزت تشايناليسيس أيضاً حالات سرقة المفاتيح الخاصة من التخزين السحابي بعد مقابلة خبيثة. وذكر بعض الضحايا أن عبارات البذور الخاصة بهم لم تكن موجودة على الجهاز المخترق، وهو ما قد يشير وفقاً لتشايناليسيس إلى تسجيل دخول سحابي أو جلسات متصفح مسروقة.

في مارس، وثقت مايكروسوفت أن فريق خبراء ديفندر التابع لها تتبع حملة «مقابلة معدية» كانت نشطة منذ ديسمبر 2022 على الأقل.

في هذه الحملة، يقوم محتالون يتنكرون كمسؤولي توظيف من شركات تداول العملات المشفرة أو شركات الذكاء الاصطناعي بدفع المتقدمين لتشغيل حزم برمجيات ضارة.

وذكرت مايكروسوفت أن البرمجيات الخبيثة تبحث داخلها عن عبارات الاسترداد الخاصة بالمحافظ الرقمية، ومستودعات KeePass و1Password، والمفاتيح التشفيرية.

ازدادت عمليات "الإيداع غير المباشر على البلوكشين" خمسة أضعاف خلال عام واحد

كما أفادت شركة Chainalysis بزيادة هجمات القرصنة المدعومة بتقنية البلوكشين بنسبة خمسة أضعاف خلال الأشهر الاثني عشر الماضية. وتُطلق على هذه الظاهرة اسم "Blockchain Dead Drops"، ويُعزى الارتفاع في استخدامها إلى جهات فاعلة تابعة لدول، وإمكانية استخدام نماذج الذكاء الاصطناعي ذات الأوزان المفتوحة.

بدأت الجهات الفاعلة من كوريا الشمالية في استخدام التقنية المسماة "Etherhiding" في أوائل عام 2025. تربط هذه التقنية الأجهزة المصابة عبر مقابلات عمل مزيفة بخوادم القيادة والتحكم التابعة للمهاجمين، حيث يصعب على الشرطة مصادرة سجلات البلوكشين مقارنة باستضافة البيانات بشكل مركزي.

قامت عملية DPRK بتقسيم التعليمات بين شبكتي TRON وAptos. تشير كلتا الشبكتين إلى الحمولة المستضافة على BSC، ويتم إعادة توجيه الأجهزة المصابة نحو هذه الحمولة.

تُعد Aptos خيارًا احتياطيًا في حال فشل TRON.

يعتمد الأسلوب الأحدث المسمى "المستقبل الفارغ" (null receiver) على زرع التعليمات داخل عنوان مُصاغ بعناية فائقة. هذا العنوان غير خاضع لسيطرة المهاجمين وليس مصممًا لتخزين العملات المشفرة.

تقوم الآلات المصابة بتفسير هذا العنوان على أنه أمر تنفيذي.

في سبتمبر، نسب مكتب التحقيقات الفيدرالي (FBI)، ووكالة الشرطة الوطنية اليابانية، وجهات استخباراتية في أستراليا وألمانيا، مسؤولية سرقة عملات مشفرة بقيمة حوالي 10.71 مليون دولار إلى مجموعة شمالية كورية تُدعى واتربلوم.

تُعرف WaterPlum أيضًا باسم "مقابلة العدوى". وقد أثرت العملية على بيانات حساسة في حوالي 7,000 حساب عملات مشفرة.

نسبت وكالة FBI سرقة Binance إلى المجموعة الكورية الشمالية المعروفة بـ TraderTraitor، لكن بيونغ يانغ نفت أي تورط. وتتوقع شركة Chainalysis أن تبقى الأموال المسروقة قيد الحركة خلال الأيام القادمة.