عزت Chainalysis خسائر في العملات المشفرة تجاوزت 14.3 مليون دولار خلال الأشهر الثمانية عشر الماضية إلى أسلوب المقابلات الوهمية الكوري الشمالي، الذي استهدف لاحقًا Binance.

وتعتبر شركة تحليلات البلوك تشين أن عمليات السطو الأصغر هذه كانت تدريبًا على سرقة 6.3 مليارات دولار.

عشرات مقابلات العمل الوهمية أدت إلى اختراق المحافظ

كانت الخسائر ناجمة عن مقابلات وهمية ومخططات برمجيات خبيثة مرتبطة بكوريا الشمالية، واستهدفت جهات تراوحت بين حاملي العملات المشفرة الأفراد والمحافظ الخاصة، وصولًا إلى البروتوكولات والمنظمات المستقلة اللامركزية (DAOs).

قال توم ماكلوث، كبير محللي الاستخبارات في Chainalysis: «رصدنا عشرات الحالات الأخرى لاختراقات بدأت بمقابلات عمل، وأدت إلى اختراق المحافظ» على مستوى الأفراد. وتراوحت خسائر الأفراد بين عشرات الآلاف من الدولارات وملايينها.

قال إن الفرق الكورية الشمالية كانت «تتقن منهجيتها وتطورها» في تلك الهجمات. وقال ماكلوث: «هكذا تنتهي الأمور بأكبر عملية سرقة في التاريخ».

تقول Chainalysis إن الهجوم على Binance قد يكون ذروة أشهر أو حتى سنوات من التدريب. وأفادت Cryptopolitan بأن Binance تتبعت الاختراق الذي تعرضت له إلى دعوة لمقابلة عمل أُرسلت إلى أحد المهندسين في سبتمبر.

نزّل المهندس مهمة مقابلة عمل زُرعت فيها شيفرة خبيثة، بعد جولتين مع شركة وهمية. ويسمي أليك زيبريك، كبير مديري الخدمات العالمية في Chainalysis، هذا الأسلوب «مقابلات معدية». وتستهدف هذه المقابلات الموظفين الذين لديهم صلاحيات وصول مميزة، لكي تُستخدم بيانات اعتمادهم ضد جهة عملهم.

سلطت Chainalysis الضوء أيضًا على حالات سُرقت فيها مفاتيح خاصة من التخزين السحابي بعد مقابلة عمل خبيثة. وقال بعض الضحايا إن عبارات الاسترداد الخاصة بهم لم تكن موجودة قط على الجهاز المصاب، وهو ما تقول Chainalysis إنه قد يشير إلى سرقة بيانات تسجيل الدخول السحابية أو جلسات المتصفح.

في مارس، وثّقت Microsoft أن فريق Defender Experts التابع لها يتعقب حملة «المقابلات المعدية»، الناشطة منذ ديسمبر 2022 على الأقل.

في هذه الحملة، يستدرج مسؤولون وهميون عن التوظيف من شركات تداول العملات المشفرة أو شركات الذكاء الاصطناعي المتقدمين لتشغيل حزم شيفرات خبيثة.

وقالت Microsoft إن البرمجية الخبيثة تبحث داخل الأجهزة عن عبارات الاسترداد التذكيرية للمحافظ، ومخازن KeePass و1Password، ومفاتيح التشفير.

تضاعفت عمليات الإسقاط الخفي عبر البلوك تشين خمسة أضعاف خلال عام

تفيد Chainalysis أيضًا بأن الهجمات السيبرانية المدعومة بالبلوك تشين زادت خمسة أضعاف خلال الأشهر الاثني عشر الماضية. وتطلق Chainalysis عليها اسم «عمليات الإسقاط الخفي عبر البلوك تشين»، وتُعزى هذه الزيادة إلى جهات فاعلة تابعة لدول، وإلى احتمال استخدام نماذج ذكاء اصطناعي ذات أوزان مفتوحة.

بدأت جهات كورية شمالية استخدام هذه التقنية، المعروفة باسم «إيثرهايدينغ»، في أوائل عام 2025. وهي تربط الأجهزة المصابة عبر مقابلات عمل وهمية بخوادم القيادة والتحكم التابعة للمهاجمين، إذ يصعب على الشرطة مصادرة سجل في البلوك تشين مقارنةً بخوادم الاستضافة المركزية.

قسّم أحد إعدادات كوريا الشمالية التعليمات بين TRON وAptos. وتحتوي كلتا الشبكتين على مؤشرات إلى الحمولة المستضافة على BSC، وتُعاد توجيه الأجهزة المصابة إليها.

تُستخدم Aptos كخيار احتياطي إذا تعطلت TRON.

تُضمّن طريقة «المستقبِل الفارغ» الأحدث التعليمات داخل عنوان مُعدّ خصيصًا. وهذا العنوان غير خاضع لسيطرة أحد، ولم يُصمّم لحفظ العملات المشفرة.

تفسّر الأجهزة المصابة العنوان على أنه أمر.

في سبتمبر، حمّل مكتب التحقيقات الفيدرالي ووكالة الشرطة الوطنية اليابانية ووكالات في أستراليا وألمانيا علنًا فريقًا كوريًا شماليًا يُعرف باسم WaterPlum مسؤولية سرقة عملات مشفرة بقيمة نحو 10.71 مليون دولار.

يُعرف WaterPlum أيضًا باسم «المقابلة المعدية». وقد أثرت عمليته في بيانات حساسة لنحو 7,000 حساب للعملات المشفرة.

نسب مكتب التحقيقات الفيدرالي سرقة Binance إلى المجموعة الكورية الشمالية TraderTraitor، لكن بيونغ يانغ نفت أي تورط لها. وتتوقع Chainalysis أن تظل الأموال المسروقة في حالة تنقّل خلال الأيام المقبلة.

إذا كنت تقرأ هذا، فأنت متقدم بالفعل. حافظ على تقدمك من خلال نشرتنا الإخبارية.