كيف سرق قراصنة ٦,٣ مليارات دولار من "بينانس"؟ وغوغل تفكك شبكة بوتات اخترقت أكثر من مليون جهاز أندرويد

اختراق منصة "بينانس" كيف نجح القراصنة في سرقة أكثر من  ٦مليارات دولار خلال أربع ساعات؟

بعد خمسة أيام من واحدة من أكبر عمليات السرقة في تاريخ العملات المشفرة، كشفت منصة "بينانس" عن نتائج تحقيقها الأولي في الهجوم الإلكتروني الذي استهدف محافظها الرقمية في التاسع والعشرين من أكتوبر٢٠٢٦، وأدى إلى سرقة أكثر من ٦ مليارات دولار من الأصول المشفرة.

عرضت منصة "بينانس" في تقرير تفصيلي، المراحل التي سبقت الاختراق، موضحة أن العملية لم تكن هجومًا مفاجئًا، بل مخططًا إلكترونيًا استمر لعدة أشهر، بدأ باستهداف مهندسين يعملون لديها، عبر برمجيات خبيثة وعمليات توظيف مزيفة، قبل أن ينتهي بالسيطرة على أنظمة توقيع المعاملات وسرقة الأصول الرقمية.

تأتي هذه التفاصيل بعد أيام من إرجاع مكتب التحقيقات الفيدرالي (FBI) مسؤولية الهجوم إلى كوريا الشمالية، دون الكشف عن نقطة الدخول التي استغلها القراصنة لتنفيذ العملية.

اختراق منصة "بينانس" بدأ ببرمجيات خبيثة واستهداف مهندسي المنصة

بحسب نتائج التحقيق، تعود أولى مراحل الهجوم إلى شهر يونيو٢٠٢٦، عندما كان أحد المهندسين العاملين في الفريق المسؤول عن المحافظ الرقمية يبحث عن أداة ترميز تعتمد على الذكاء الاصطناعي عبر محرك بحث. وخلال عملية البحث، حمّل دون علمه نسخة مزيفة ومخترقة من أداة Homebrew، المستخدمة على نطاق واسع بين المطورين. ورغم اكتشاف فريق الأمن في "بينانس" المشكلة واستبدال جهاز المهندس، فإن البرمجية الخبيثة المضمّنة في نسخة Homebrew المزيفة كانت قد تمكنت من الوصول إلى معلومات تتعلق بطبيعة عمله، ما أتاح للقراصنة التعرف على مهامه وتحديد طبيعة عمل عدد من زملائه.

في سبتمبر٢٠٢٦، انتقل القراصنة إلى استهداف مهندس ثانٍ، عبر حملة احتيال اعتمدت على انتحال صفة مسؤولي التوظيف عبر إحدى منصات البحث عن الوظائف.

بدأت العملية بتواصل شخص ادعى أنه مدير مشروع، ثم أجرى المهندس مقابلة عبر الفيديو مع شخص قدم نفسه باعتباره مسؤول توظيف. ولتعزيز مصداقية هويته المزيفة، عرض الأخير صورًا ومقاطع فيديو شخصية من حساباته على المنصات الاجتماعية. خلال مقابلة ثانية عبر الإنترنت، التقى المطور بشخص ادعى أنه الرئيس التنفيذي لشركة وهمية، قبل أن يُطلب منه تنزيل ملف يتضمن تمرينًا عمليًا على جهاز الكمبيوتر الخاص بالعمل.

لكن الملف كان يحتوي على برنامج خبيث مجهول، تمكن من تجاوز أدوات الحماية المثبتة على الجهاز. وبعد تثبيته، استبدل البرنامج سرًا أداة pyenv، الشائعة بين مطوري لغة Python، بنسخة خبيثة تتلقى أوامر آنية من خادم يتحكم فيه القراصنة.

الذكاء الاصطناعي مهّد للانتقال إلى أنظمة "بينانس"

في العشرين من أكتوبر٢٠٢٦، أي قبل تسعة أيام من تنفيذ السرقة، صعّد القراصنة هجومهم باستخدام أداة ذكاء اصطناعي داخلية خاصة بمنصة منصة "بينانس" ، اتخذوها نقطة انطلاق للانتقال من الكمبيوتر المخترق إلى أجهزة مهندسين آخرين.

ولم تكشف منصة "بينانس" جميع التفاصيل التقنية المتعلقة بهذه المرحلة، مشيرة إلى أن بعض المعلومات ستظل سرية، تفاديًا لتوفير تفاصيل قد تساعد مجموعات قرصنة أخرى على تنفيذ هجمات مماثلة.

تمكن القراصنة، خلال هذه العملية،من الحصول على رمز وصول من أحد أجهزة الكمبيوتر المخترقة، وهو ما منحهم القدرة على نشر برامج داخل البنية التحتية للمنصة، ومهّد لتنفيذ المرحلة الأخيرة من الهجوم.

أربع دقائق كانت كافية لبدء سرقة مليارات الدولارات

مساء الخميس، التاسع والعشرين من أكتوبر٢٠٢٦، استخدم القراصنة رمز الوصول الذي حصلوا عليه لتنفيذ خطتهم، وبدأوا بالسيطرة على الخدمة الداخلية المسؤولة عن توقيع معاملات محافظ "بينانس". وبعد ثلاث ساعات، انطلقت عملية سرقة الأصول الرقمية. وخلال أربع دقائق فقط، جرى تحويل مئتين وثلاثة وثلاثين مليون XRP من محافظ المنصة، قبل أن تتواصل عمليات سحب عملات رقمية أخرى، وصولًا إلى ثمانية عشر ألفًا ومئتين وسبعين بيتكوين. وعلى الرغم من أن "بينانس" سارعت إلى تعليق عمليات السحب، فإن القراصنة تمكنوا من مواصلة عملية النهب، مستغلين آلية EIP-7702 في بلوكشين إيثريوم. وتتيح هذه الآلية منح عقد ذكي (smart contract) صلاحية جزئية للتحكم في محفظة رقمية والتصرف نيابة عن مستخدمها. واستغل المهاجمون هذه الخاصية لتفريغ المحافظ، متجاوزين نظام السحب التقليدي الخاص بالمنصة.

تقسيم المفاتيح الخاصة أخّر إيقاف الهجوم

لوقف السرقة، اضطرت "بينانس" إلى تعطيل العقد الذكي وإلغاء التفويض الذي منحه القراصنة للمحفظة، وهو ما تطلب توقيع معاملة جديدة باستخدام مفتاح المحفظة. وكانت "بينانس" قد اعتمدت مسبقًا إجراءً أمنيًا يقوم على تقسيم المفتاح الخاص إلى أجزاء متعددة وتوزيعها على خوادم مختلفة، بهدف منع المهاجمين من الاستحواذ عليه بالكامل.

غير أن هذا الإجراء الوقائي أدى إلى إبطاء استجابة المنصة وفرقها الأمنية، نظرًا إلى ضرورة التعامل مع الأجزاء الموزعة من المفتاح لإتمام عملية التوقيع. ونتيجة لذلك، جرت المصادقة على آخر تحويل احتيالي قبل منتصف الليل بقليل، أي بعد نحو أربع ساعات من بدء عملية السرقة.

"بينانس" تعلن تجميد مليارات الدولارات وتعويض المتضررين

في أعقاب الهجوم، قدمت "بينانس" اعتذارًا لمستخدميها عن القلق والاضطرابات وحالة عدم اليقين التي تسببت فيها عملية السرقة. وأوضحت المنصة أن نحو مليارين وثمانمائة وخمسين مليون دولار من العملات المشفرة المسروقة جرى تجميدها أو اعتراضها، مؤكدة أنها ستتحمل جميع الخسائر الناجمة عن الحادث.

كما أعلنت أنها عوضت بالفعل ثمانية وتسعين في المئة من الأصول المتضررة حتى الحادي والثلاثين من أكتوبر.

هذا وأكدت "بينانس" أنها أغلقت جميع نقاط الدخول التي استغلها القراصنة، وأعادت بناء الأنظمة المتضررة، واستبدلت الأجهزة التي تعرضت للاختراق. كما تعهدت بإخضاع أنظمتها لتدقيق يجريه خبراء مستقلون، بهدف الكشف عن أي ثغرات أمنية محتملة.

هل كوريا الشمالية  خلف "سرقة القرن"  الرقمية؟

استنادًا إلى استنتاجات مكتب التحقيقات الفيدرالي (FBI)، نسبت "بينانس" الهجوم إلى مجموعة "TraderTraitor"، وهي مجموعة قرصنة كورية شمالية تنتمي إلى مجموعة القرصنة  "لازاروس" وتشتهر هذه المجموعة باستهداف المطورين عبر استدراجهم من خلال مسؤولين ومستقطبين مزيفين، وهي أساليب تكررت في حملات إلكترونية واسعة النطاق خلال السنوات الأخيرة.

أشارت "بينانس" إلى أنها أحبطت، قبل حادثة السرقة التي وقعت في التاسع والعشرين من أكتوبر٢٠٢٦، سبعًا وخمسين محاولة هجوم مرتبطة بقراصنة كوريين شماليين منذ بداية العام.

نفت كوريا الشمالية بشدة مسؤوليتها عن الهجوم الإلكتروني. ووصفت كيم يو-جونغ، شقيقة الزعيم الكوري كيم جونغ-أون، الاتهامات بأنها "استفزاز مبتذل" من جانب الولايات المتحدة.

غوغل تفكك شبكة بوتات خبيثة اخترقت أكثر من مليون جهاز أندرويد معظمها أجهزة تلفزيون

نجحت غوغل في تفكيك شبكة بوتات الخبيثة التي أطلقت عليها إسم "XCPEط، التي ضمت أكثر من مليون وثلاثمائة ألف جهاز يعمل بنظام أندرويد.استهدفت العملية البنية التحتية التي كانت تدير شبكة البوتات ، بعدما سيطرت غوغل على جميع خوادمها، بالتعاون مع الشرطة الوطنية اليابانية وعدد من شركات الأمن السيبراني.وكشفت التحقيقات التي أجرتها "مجموعة غوغل لاستخبارات التهديدات" Google Threat Intelligence Group (GTIG)، وهي الجهة المتخصصة في تحليل التهديدات داخل الشركة، عن تورط شركة "فيديوسترونغ" Videostrong الصينية، التي تتخذ من مدينة شينزين مقرًا لها، في زرع البرمجيات الخبيثة داخل أجهزتها، وتحويلها إلى أدوات تخدم أنشطة إجرامية متعددة.

باب خلفي مزروع داخل أجهزة أندرويد قبل وصولها إلى المشترين

وفقًا لتحقيقات غوغل، تعمدت شركة Videostrong دمج باب خلفي backdoor يحمل اسم x.cpe داخل نظام التشغيل الخاص بأجهزة الاستقبال التي تصنعها.  حيث، كانت الأجهزة تصل إلى المشترين وهي ملوثة بالبرمجية الخبيثة. وتعمل البرمجية الخبيثة المدمجة في كود الجهاز بأعلى امتيازات النظام، ما منحها صلاحيات واسعة للتحكم فيه. ولم يكن حذفها كافيًا للتخلص منها، إذ كانت تُثبّت نفسها تلقائيًا مجددًا عند إعادة تشغيل الجهاز.

عند التشغيل الأول، كانت البوابة الخلفية تبدأ بتعطيل "Play Protect"، نظام الحماية المدمج في أندرويد، لتتيح للقراصنة تثبيت تطبيقات دون علم المستخدمين، وتنفيذ الأوامر، وإنشاء لقطات الشاشة، ومحاكاة الضغط على لوحة المفاتيح. وأتاحت هذه الصلاحيات للقراصنة سرقة بيانات تسجيل الدخول والمعلومات المخزنة على الأجهزة، إلى جانب سجلات النظام، ما حوّل أجهزة المستخدمين إلى أهداف سهلة للاستغلال.

Videostrong باعت الوصول إلى الباب الخلفي للقراصنة 

لم يقتصر دور البوابة الخلفية على اختراق الأجهزة والتحكم فيها، بل امتد إلى إتاحة الوصول إليها أمام مجموعات القراصنة. إذ باعت Videostrong إمكانية استخدام هذا الباب الخلفي، الذي زرعته عمدًا، بما سمح للقراصنة بتثبيت برمجياتهم الخبيثة على أجهزة الاستقبال الملوثة. واستغل بعض القراصنة هذه الإمكانية لتنفيذ عمليات احتيال إعلاني، من خلال توظيف الأجهزة المخترقة في توليد مشاهدات وهمية للإعلانات عبر الإنترنت، وهو ما أتاح لهم تحقيق عائدات إعلانية غير مشروعة.

كما كشفت غوغل عن مكونات خبيثة أخرى حوّلت أجهزة الاستقبال إلى خوادم بروكسي منزلية ومن خلال هذه الآلية، كان القراصنة يؤجرون اتصالات الإنترنت الخاصة بالضحايا لمجرمي إنترنت آخرين، الذين يستخدمونها لتمرير حركة المرور الخبيثة وإخفاء أنشطتهم.

إصابة نحو مليون ونصف مليون جهاز في مئتين وستة طرازات

في سياق التحقيق، رصد خبراء شركة الأمن السيبراني TrendA نحو مليون ونصف مليون جهاز مصاب، موزعة على مئتين وستة طرازات، خلال الفترة الممتدة من يونيو إلى أكتوبر٢٠٢٦. وشملت قائمة الدول الأكثر تضررًا ماليزيا والبرازيل، والعراق والمكسيك وتايوان.

لجأت غوغل إلى القضاء، لإسقاط خوادم شبكة البوتات وحصلت على الموافقة اللازمة لتنفيذ العملية. ومن المتوقع أن يؤدي قطع البنية التحتية للشبكة إلى حرمان القراصنة من الوصول إلى ما لا يقل عن عشرة ملايين جهاز إضافي، مصابة بوسائل وبرمجيات خبيثة أخرى، تعتمد على البنية التحتية نفسها.

غوغل توقف اعتماد أجهزة Videostrong بعد كشف التحايل على اختبارات الأمان

أثارت القضية تساؤلات بشأن فعالية شهادات الأمان التي تمنحها غوغل للأجهزة العاملة بنظام أندرويد. فقد حصلت مجموعة من أجهزة التلفزيون التي تصنعها Videostrong على شهادة "Android TV" التي تشير إلى اجتياز الجهاز سلسلة من اختبارات الأمان، وتساعد المستهلكين على التمييز بين الأجهزة عند الشراء.

لكن التحقيقات كشفت أن الشركة الصينية تمكنت من تجاوز إجراءات الرقابة التي تفرضها غوغل، من خلال تحميل كود البرمجيات الخبيثة بعد التشغيل الأول للجهاز، الأمر الذي سمح بمروره عبر عمليات التحقق دون اكتشافه. وعقب الكشف عن هذه الممارسات، أجرت غوغل مراجعة شاملة لعملية التحقق من الأجهزة، وأوقفت تعاونها مع Videostrong، كما سحبت منها إمكانية إنتاج أجهزة حاصلة على اعتماد "Android TVط.

التخلص من الأجهزة الملوثة رغم تعطيل شبكة الروبوتات

أدى تفكيك البنية التحتية لشبكة XCPE إلى حرمان القراصنة من القدرة على إرسال الأوامر إلى الأجهزة المخترقة، بعدما فقدت الشبكة الخوادم التي كانت تعتمد عليها في إدارة عملياتها.ومع ذلك، فإن تعطيل شبكة الروبوتات لا يعني بالضرورة أن الأجهزة المصابة أصبحت آمنة. إذ توصي شركة Synthient للأمن السيبراني، التي حددت مئة واثنين وثمانين طرازًا من الأجهزة المخترقة، بالتخلص من الأجهزة المعنية باعتبار ذلك إجراءً أمنيًا.وتنتمي غالبية الطرازات المصابة إلى علامات تجارية صينية صغيرة، من بينها MECOOL وDreamstar وCruze TV وSwitron وShowbox. و أيضا بتجنب العلامات التجارية الرخيصة وغير المعروفة، والتوجه بدلًا منها إلى العلامات التجارية الرائدة التي تتمتع بسمعة طيبة اكتسبتها على مدار سنوات.

شبكة البوتات ليست الأولى 

شهدت السنوات الأخيرة ظهور شبكات البوتات botnet وفيروسات استهدفت أجهزة مختلفة، وكانت الإصابة تحدث أحيانًا قبل طرح المنتجات للبيع. ومن أبرز هذه الحالات شبكة "Badbox" الصينية، التي انتشرت عبر أجهزة التلفزيون الذكية وأجهزة الاستقبال التلفزيونية والأجهزة اللوحية وأجهزة العرض العاملة بنظام أندرويد، قبل طرحها في الأسواق.ووفقًا لمكتب التحقيقات الفيدرالي (FBI)، نجحت شبكة "Badbox" في اختراق ما يقرب من عشرة ملايين جهاز خلال صيف عام ٢٠٢٥. كما تشمل الحالات المكتشفة فيروس "تريادا"، الذي عُثر عليه داخل البرامج الثابتة لآلاف الهواتف الذكية المقلدة، وبرمجية "كينادو"، التي كانت مخبأة في البرامج الثابتة لأكثر من ثلاثة عشر ألف هاتف ذكي وجهاز لوحي تابع لعلامات تجارية صينية منخفضة التكلفة، ومتاحة للبيع عبر منصتي "أمازون" و"علي إكسبريس".

يمكن الاستماع لـ "بودكاست النشرة الرقمية" على مختلف منصات البودكاست. الرابط للبودكاست على منصة أبل

للتواصل مع نايلة الصليبي عبر صفحة برنامَج"النشرة الرقمية"من مونت كارلو الدولية على لينكد إن وعلى تويتر salibi@  وعلى ماستودون  وبلوسكاي عبر موقع مونت كارلو الدولية مع تحيات نايلة الصليبي