כך נפרצה בייננס: ראיון עבודה מזויף פתח את הדרך לגניבת 6.3 מיליארד דולר
הפריצה לבייננס, שבה נגנבו נכסים דיגיטליים בשווי של כ-6.3 מיליארד דולר, לא התחילה בפרצה טכנולוגית מתוחכמת בשרתי הבורסה. לפי הפרטים שנחשפו בחקירה, נקודת הכניסה הייתה הצעת עבודה. בספטמבר פנה מגייס לאחד המהנדסים של החברה דרך פלטפורמת גיוס מוכרת ולגיטימית, ניהל איתו שיחות כמו בתהליך מיון רגיל, ובשלב מסוים ביקש ממנו לפתור מטלת תכנות. בקובץ המטלה הוסתרה נוזקה שניצלה חולשה שלא הייתה ידועה עד אז, כך שכלי האבטחה במחשב לא זיהו אותה. המגייס, כמובן, לא היה קיים, וכך קיבלו התוקפים דריסת רגל ראשונה ברשת הפנימית.
זו לא הייתה החדירה היחידה. עוד ביוני התקין מהנדס אחר חבילת תוכנה מזויפת שהתחזתה לכלי פופולרי למפתחים, בזמן שחיפש כלי בינה מלאכותית לעבודה. החבילה הופצה דרך Homebrew, מנהל חבילות נפוץ בקרב מפתחים שעובדים על מחשבי מק, ונראתה כמו גרסה רגילה של הכלי שחיפש.
חודשים של תנועה שקטה ברשת
לאחר שנכנסו, התוקפים לא מיהרו. הם נעו בתוך המערכות במשך שבועות, אספו הרשאות וחיפשו את האנשים שמחזיקים במפתחות לארנקים של הבורסה. בסוף אוקטובר הצליחו להגיע למהנדסים שאחראים על הארנקים באמצעות כלי בינה מלאכותית פנימי של החברה, וכעבור ימים ספורים ניצלו מנגנון שמאפשר להעניק לארנק רגיל יכולות של חוזה חכם, ודרכו רוקנו ארנק חם, כלומר ארנק שמחובר לרשת ומשמש לפעילות השוטפת של הלקוחות.
ה-FBI ייחס את המתקפה לקבוצת TraderTraitor, שפועלת מטעם צפון קוריאה ומתמחה בגניבות מחברות קריפטו. בבייננס מסרו שבמהלך השנה נחסמו 57 ניסיונות חדירה, אבל הפעם התוקפים עברו את כל שכבות ההגנה. השיא הקודם בגניבות קריפטו נקבע בפברואר 2025, כשמבורסת ביביט נגנבו כ-1.5 מיליארד דולר, וה-FBI ייחס גם אותו לאותה קבוצה. הסכום שנגנב מבייננס גדול פי ארבעה בערך. לפי החברה, כ-2.85 מיליארד דולר מהכספים הגנובים הוקפאו בעזרת מנפיקי מטבעות ובורסות אחרות, ו-98% מהנכסים של הלקוחות הושלמו מקופת החברה, כך שהיתרות בחשבונות לא נפגעו.
ראיון עבודה ככלי פריצה
השיטה עצמה מוכרת לגופי אבטחה כבר כמה שנים. האקרים שמזוהים עם צפון קוריאה מציגים את עצמם כמגייסים של חברות טכנולוגיה ופיננסים, יוצרים פרופילים אמינים ברשתות מקצועיות ומציעים משכורות גבוהות במיוחד. הקורבן מתבקש להוריד קובץ, להריץ קוד לבדיקת יכולות או להתקין תוכנה לשיחת וידאו, ובשלב הזה המחשב שלו כבר נמצא בשליטת התוקפים. כשמדובר בעובד של חברת קריפטו, הגישה למחשב הפרטי יכולה להוביל לרשת של המעסיק.
המשמעות חורגת מעולם הבורסות. מחפשי עבודה בתחומי התוכנה, הכספים והקריפטו הם יעד מועדף, משום שהם רגילים לקבל פניות ממגייסים זרים ולבצע מטלות בית כחלק מהתהליך. אנשי אבטחה ממליצים להריץ מטלות כאלה רק במחשב נפרד או בסביבה וירטואלית מבודדת, לא להתקין תוכנות שמגייס שולח, ולוודא את זהות המגייס מול החברה עצמה. סימן אזהרה נוסף הוא הצעה שמגיעה עם לחץ להתחיל במהירות, או עם שכר שנראה חריג ביחס לתפקיד. גם מי שמחזיק מטבעות דיגיטליים בארנק פרטי נמצא בסיכון, שכן נוזקות מסוג זה מחפשות על המחשב מפתחות, סיסמאות ותוספים של ארנקים.
לקוחות הבורסה עצמם יצאו בינתיים ללא פגיעה ישירה ביתרות, אבל החשש מהאירוע הוביל לגל משיכות כשהבורסה חידשה את המשיכות, ובשעות הראשונות יצאו ממנה נכסים בשווי של כ-3.64 מיליארד דולר. השאלה אם החברה תצליח לשקם את האמון של המשקיעים, ואם חלק מהכספים הגנובים יאותרו ויוחזרו, עדיין פתוחה. להרחבה: ה-FBI: צפון קוריאה עומדת מאחורי הגניבה מבייננס
