أعلنت وزارة العدل الأمريكية، يوم الخميس، عن إجراءات منسقة لتعطيل سرقة كوريا الشمالية للعملات الافتراضية، التي حطمت الأرقام القياسية، بما في ذلك الحصول على إذن قضائي لمصادرة أكثر من 1.2 مليار دولار سُرقت من منصة تداول العملات المشفرة بينانس.
وقالت وزارة العدل في بيان صحفي يوم الخميس إن الإجراءات تستهدف عمليتين منفصلتين تُنسبان إلى مجرمين إلكترونيين ترعاهم الدولة في كوريا الشمالية: حملة هندسة اجتماعية أُطلق عليها اسم «FaceStealer»، وسرقة أصول افتراضية بقيمة 6.3 مليارات دولار من بينانس أواخر أكتوبر.
في إطار عملية FaceStealer، أعلن مكتب المدعي العام الأمريكي للمنطقة الوسطى من كاليفورنيا تعطيل بنية تحتية سحابية استخدمها مجرمو الإنترنت الكوريون الشماليون.
عزت السلطات هذا النشاط علنًا إلى مجموعات كورية شمالية تُتابَع تحت أسماء عدة، منها Sapphire Sleet وUNC1069 وDangerous Password وCryptoCore وAPT38 وBlueNoroff وStardust Chollima.
أسفرت حملة الهندسة الاجتماعية عن سرقة عملات مشفرة تزيد قيمتها على 400 مليون دولار خلال الأشهر الثمانية عشر الماضية، وذلك أساسًا باستهداف أفراد في قطاعَي العملات المشفرة وWeb3 ممن يطوّرون البرمجيات مفتوحة المصدر ويصونونها.
قال مدير العمليات في فرع الأمن السيبراني بمكتب التحقيقات الفيدرالي، بريت ليثيرمان، وفقًا للبيان الصحفي: «يعتمد النظام الكوري الشمالي على عائدات سرقة العملات المشفرة على نطاق واسع لتمويل برنامجه غير المشروع للأسلحة، وقد سرق مليارات الدولارات في السنوات الأخيرة».
وأضاف: «لا يزال مكتب التحقيقات الفيدرالي ملتزمًا بتحديد الجهات الكورية الشمالية التي تستهدف مجتمع الأصول الافتراضية، وتعطيل أنشطتها، ورفع كلفتها».
صادر مكتب التحقيقات الفيدرالي أكثر من 900 مقطع فيديو من كاميرات الويب سُجّلت سرًا للضحايا بموجب مذكرة اتحادية، كما نشر يوم الخميس تحذيرًا عامًا يوضح كيفية عمل المخطط.
يبدأ الفاعلون الكوريون الشماليون الهجمات عادةً بدعوة المستهدفين إلى اجتماعات فيديو تبدو مشروعة عبر منصات مثل Zoom وMicrosoft Teams، وهو أسلوب كثيرًا ما يستخدمه مجرمو الإنترنت الكوريون الشماليون... لنشر البرمجيات الخبيثة.
ووفقًا للتحذير، يعرض المهاجمون تسجيلات مسبقة من كاميرات الويب لأشخاص قد يتعرف عليهم الضحايا، بهدف بناء الثقة.
تستخدم مجموعة الجرائم الإلكترونية أيضًا الذكاء الاصطناعي لإنشاء مقاطع فيديو مزيفة بتقنية التزييف العميق لشخصيات بارزة في قطاع العملات المشفرة، بغرض خداع المستهدفين.
بمجرد انضمام أحد المستهدفين إلى الاجتماع، يختلق المهاجمون مشكلة تقنية ويوجهون الضحايا إلى تثبيت تحديث أو تشغيل شيفرة، فيصيبون أجهزتهم سرًا ببرمجيات خبيثة ويحصلون على إمكانية الوصول إلى محافظ العملات المشفرة وحسابات الاتصالات والشبكات الخارجية.
على مدى العامين الماضيين، أخذ مجرمو الإنترنت الكوريون الشماليون يستخدمون هذا الأسلوب، المعروف باسم «ClickFix»، على نحو متزايد لخداع الضحايا غير المتوجسين عبر مطالبات زائفة تطلب تثبيت تصحيحات أو تحديثات للبرامج.
قال مكتب التحقيقات الفيدرالي إن الجناة كانوا أحيانًا ينتظرون أشهرًا أو أكثر من عام قبل سرقة العملات المشفرة، ويراقبون أرصدة المحافظ حتى ترتفع. وبعد اختراق حسابات الاتصالات الخاصة بضحايا سابقين، استخدم المهاجمون أيضًا قوائم جهات الاتصال وسجلّات المحادثات لتحديد مستهدفين إضافيين والتواصل معهم.
إلى جانب سرقة العملات المشفرة مباشرةً، حذّر المكتب من تزايد استخدام برمجية FaceStealer الخبيثة لاستهداف مطوري البرمجيات مفتوحة المصدر والقائمين على صيانتها، ما قد يتيح شن هجمات على سلاسل توريد البرمجيات.
وقال مكتب التحقيقات الفيدرالي إن المجموعة اخترقت، على سبيل المثال، في وقت سابق من هذا العام حساب القائم على صيانة مكتبة JavaScript تُنزّل عشرات الملايين من المرات أسبوعيًا، لكن الهجوم اكتُشف قبل أن يتسبب في أضرار واسعة النطاق.
