پنج روش نفوذ کره‌شمالی به شرکت‌های رمزارز و هک بایننس

هکران کره‌شمالی در سرقت ارزهای دیجیتال شهرت زیادی دارند و بر اساس یک تخمین، ۶۰ درصد از کل زیان‌های سال گذشته به گروه‌های مرتبط با پیونگ‌یانگ نسبت داده شده است. این هکران از روش‌های مختلفی برای حمله استفاده می‌کنند که شناسایی آن‌ها را دشوار می‌سازد.

هفته گذشته، تنها در ۲۰ دقیقه، هکران مظنون کره‌شمالی موفق شدند ۶.۳ میلیارد دلار از بایننس سرقت کنند که بزرگترین هک ارز دیجیتال در تاریخ محسوب می‌شود. طبق اعلام بایننس، مهاجمان با فریب دادن یک مهندس بایننس از طریق یک مصاحبه شغلی جعلی، کامپیوتر کاری او را به خطر انداختند. سپس با استفاده از یک ابزار داخلی هوش مصنوعی، کنترل کامپیوترهای سایر مهندسان را به دست آورده و در نهایت با استفاده از اطلاعات هویتی سرقت شده، سرویس امضای کیف پول داخلی را ربودند.

روش‌های حمله هکران کره‌شمالی

در گذشته، هکران کره‌شمالی با هویت‌های جعلی در شرکت‌های ارز دیجیتال استخدام می‌شدند، از طریق زیرساخت‌های شخص ثالث حمله می‌کردند و کتابخانه‌های کد پرکاربرد را آلوده می‌کردند. اخیراً نیز با استفاده از هوش مصنوعی، این حملات را متقاعدکننده‌تر کرده‌اند.

در اینجا به برخی از روش‌هایی که هکران کره‌شمالی در حملات ارز دیجیتال به کار می‌برند، اشاره می‌شود:

جیمی سو، مدیر ارشد امنیتی بایننس، در اوت ۲۰۲۵ به دکریپت گفت که این صرافی روزانه رزومه‌های مشکوک به وابستگی به کره‌شمالی را رد می‌کند و “تقریباً تمام هک‌های بزرگ مرتبط با پیونگ‌یانگ” در آن زمان شامل کمک یک کارمند جعلی برای تسهیل حمله بوده است.

سو اظهار داشت که نشانه‌هایی در رزومه‌ها وجود دارد که نشان‌دهنده مبدأ کره‌شمالی متقاضی است، اما جزئیات این نشانه‌ها فاش نشده است. گاهی اوقات، مهاجمان موفق می‌شوند به مرحله مصاحبه برسند، جایی که از دیپ‌فیک برای تغییر چهره و صدا استفاده می‌کنند.

او گفت: “تنها نشانه واقعی قابل اعتماد این است که آن‌ها تقریباً همیشه اتصال اینترنت کندی دارند. دلیلش این است که ترجمه و تغییر صدا در طول تماس فعال هستند… به همین دلیل همیشه تأخیر دارند.”

کسانی که موفق به استخدام می‌شوند، اغلب در کار خود به طرز مشکوکی خوب عمل می‌کنند. سو گفت که کارمندان کره‌شمالی اغلب در میان بهترین عملکردکنندگان شرکت هستند، احتمالاً به این دلیل که چندین نفر ممکن است یک نقش را در مناطق زمانی مختلف به اشتراک بگذارند.

این تهدید همچنان ادامه دارد. بایننس اعلام کرد که تیم امنیتی آن در سال ۲۰۲۶، ۵۷ مورد مشکوک به تهدید سایبری مرتبط با کره‌شمالی را با استفاده از تکنیک‌هایی از مصاحبه‌های شغلی جعلی گرفته تا اپلیکیشن‌های کنفرانس ویدیویی تقلبی، شناسایی و خنثی کرده است.

مهاجمان همچنین سناریو را برعکس کرده و خود را به جای استخدام‌کنندگان جا می‌زنند تا افرادی را که در شرکت‌های برجسته ارز دیجیتال کار می‌کنند، هدف قرار دهند. اغلب، مهاجم ادعا می‌کند که در طول مصاحبه مشکل صوتی یا تصویری وجود دارد و لینکی برای به‌روزرسانی زوم به قربانی ارسال می‌کند که دستگاه او را با بدافزار آلوده می‌کند.

سو به دکریپت گفت: “گروه پیونگ‌یانگ همچنین سعی می‌کند تماس‌هایی با کارمندان خارجی برقرار کند. یا به عنوان یک پروژه دیفای (DeFi) یا شرکت سرمایه‌گذاری. بدتر از همه، آن‌ها آن‌ها را برای یک شغل سطح بالا استخدام می‌کنند، دو یا سه برابر حقوق پیشنهاد می‌دهند، فقط برای اینکه آن‌ها را به مصاحبه بکشانند.”

طبق گفته بایننس، حمله به این صرافی نیز به همین ترتیب آغاز شد. در سپتامبر، یک مهندس نرم‌افزار بایننس از طریق یک پلتفرم کاریابی معتبر با فردی که خود را مدیر پروژه معرفی می‌کرد، مورد تماس قرار گرفت و دو مصاحبه ترتیب داده شد. در مصاحبه اول، یک نماینده منابع انسانی ادعایی با اشتراک‌گذاری حساب شبکه‌های اجتماعی پر از عکس‌ها و ویدئوهای شخصی، در یک تماس ویدیویی زنده اعتماد ایجاد کرد؛ رویکردی که بایننس آن را “پیشرفته‌تر و فریبنده‌تر از قبل” توصیف کرد.

در مصاحبه دوم که در یک اپلیکیشن چت برگزار شد، از مهندس خواسته شد تا یک “تکلیف” را روی کامپیوتر کاری خود دانلود کند. مخزن کد حاوی بدافزار ناشناخته‌ای بود که در حین راه‌اندازی اجرا شد، یک ابزار توسعه‌دهنده قانونی را با یک نسخه مخرب جایگزین کرد و به سرور تحت کنترل مهاجم متصل شد و ابزارهای امنیتی بایننس را دور زد.

یک گروه مرتبط با کره‌شمالی با استفاده از روش‌های مشابه، حداقل ۳۰,۰۰۰ دستگاه را در بیش از ۱۰۰ کشور بین دسامبر ۲۰۲۵ و ژوئیه ۲۰۲۶ آلوده کرد. این گروه از بیش از ۷,۰۰۰ کیف پول ارز دیجیتال، وجوه یا اطلاعات هویتی را برداشت و حدود ۱۰.۷۱ میلیون دلار به کره‌شمالی منتقل کرد.

این گروه که با نام‌های WaterPlum یا Contagious Interview شناخته می‌شود، خود را به عنوان شرکت‌های هوش مصنوعی، ارز دیجیتال یا NFT معرفی می‌کرد و از متقاضیان مصاحبه فنی یا وظیفه کدنویسی می‌خواست که فایل‌های حاوی بدافزار را دانلود کنند. برخی از آن‌ها قبل از قطع تصویر، از نرم‌افزار تغییر چهره با هوش مصنوعی در طول مصاحبه استفاده می‌کردند و سپس به دلیل مشکل اتصال، از متقاضی می‌خواستند که همین کار را انجام دهد.

سو همچنین به دکریپت گفت که هکران کره‌شمالی کتابخانه‌های کد عمومی را آلوده می‌کنند و این روش را دومین روش رایج حمله پس از کارمندان جعلی دانست.

بسته‌های Node Package Manager (NPM) مجموعه‌ای از کدهای قابل استفاده مجدد و متن‌باز هستند که توسعه‌دهندگان اغلب از آن‌ها استفاده می‌کنند. مهاجمان می‌توانند این بسته‌ها را شبیه‌سازی کرده و یک خط کد مخرب کوچک را در آن‌ها جای دهند و در عین حال عملکرد اصلی را حفظ کنند. این بدان معناست که قربانی می‌تواند از این کتابخانه کد آلوده استفاده کند و متوجه نشود، زیرا کد مخرب با گذشت زمان و با ساختن بیشتر بر روی آن، عمیق‌تر نفوذ می‌کند.

در سپتامبر ۲۰۲۵، شرکت امنیتی نرم‌افزار ReversingLabs دو بسته NPM را کشف کرد که از قراردادهای هوشمند اتریوم برای دانلود بدافزار استفاده می‌کردند؛ موردی که این شرکت قبلاً ندیده بود. این بسته‌ها به شبکه‌ای گسترده‌تر از مخازن GitHub مرتبط بودند که عمدتاً با نام ربات‌های معاملاتی ارز دیجیتال برند شده بودند و دارای هزاران کامیت و ستاره بودند که ReversingLabs معتقد است عمدتاً جعلی بوده‌اند.

این تاکتیک بخشی از یک “کمپین پیچیده” از سوی بازیگران مخرب بود که تلاش می‌کردند از طریق کتابخانه‌های کد عمومی مرتبط با بلاک‌چین آلوده، کاربران را هک کنند؛ روشی که بایننس قبلاً به هکران کره‌شمالی نسبت داده بود.

سو برای مقابله با این تهدید گفت که بایننس کارکنان را ملزم می‌کند تا بسته‌های NPM را با دقت فراوان بررسی کنند.

ابزارهای توسعه‌دهنده دستکاری شده نیز در هک بایننس نقش داشتند. در ژوئن، یکی از اعضای تیم DevOps کیف پول بایننس، هنگام تلاش برای نصب یک ابزار کدنویسی هوش مصنوعی که از طریق موتور جستجو پیدا کرده بود، نسخه دستکاری شده Homebrew، یک نصب‌کننده نرم‌افزار محبوب را دانلود کرد. تیم امنیتی بایننس مشکل را شناسایی کرد، دستگاه را جایگزین کرد و اطلاعات هویتی او را تغییر داد، اما این حادثه مهندس و همکارانش را در تیم زیرساخت کیف پول در معرض مهاجمان قرار داد.

قبل از بایننس، رکورد بزرگترین هک ارز دیجیتال متعلق به Bybit بود که در فوریه ۲۰۲۵ مبلغ ۱.۴ میلیارد دلار را از دست داد. شرکت‌های امنیت سایبری فاش کردند که هکران کره‌شمالی با تزریق کد مخرب به زیرساخت Safe، ارائه‌دهنده کیف پول ارز دیجیتال مورد استفاده این صرافی، این حمله را انجام دادند.

شرکت‌های امنیتی گفتند که کد مخرب جاوا اسکریپت مستقیماً به زیرساخت آنلاین Safe تزریق شده است، اما مشخص نیست مهاجمان چگونه این کار را انجام داده‌اند.

بایننس به دکریپت گفت که زیرساخت Bybit “به خطر نیفتاده بود” و هک صرفاً به دلیل سوءاستفاده از یک شخص ثالث رخ داده است.

حمله به بایننس سیستم‌های خود صرافی را هدف قرار داد. در ۲۹ اکتبر، مهاجم از اطلاعات هویتی سرقت شده برای استقرار یک کانتینر و دسترسی غیرمجاز به یک سرویس امضای کیف پول داخلی استفاده کرد که به آن اجازه داد تراکنش‌ها را خارج از فرآیند عادی برداشت بایننس آغاز کند. در اتریوم، این سرویس امضا برای بهره‌برداری از EIP-7702 استفاده شد؛ مکانیزمی که به یک حساب اجازه می‌دهد حقوق اجرایی را به یک قرارداد هوشمند واگذار کند و به یک قرارداد تحت کنترل مهاجم، کنترل جزئی بر یک کیف پول داغ بایننس بدهد.

این مجوزهای آن‌چین حتی پس از تعلیق برداشت‌ها توسط بایننس نیز کار می‌کردند. از آنجایی که کیف پول داغ از محاسبات چندجانبه (multi-party computation) استفاده می‌کرد، هیچ کلید خصوصی واحدی وجود نداشت که بایننس بتواند از آن برای لغو سریع آن‌ها استفاده کند.

هر یک از بردارهای حمله ذکر شده در بالا می‌تواند با ابزارهای هوش مصنوعی تقویت شود.

اوایل سال جاری، گوگل در مورد کمپین بدافزاری مبتنی بر هوش مصنوعی که شرکت‌های ارز دیجیتال را از سوی کره‌شمالی هدف قرار می‌دهد، هشدار داد. به طور مشابه، سو از بایننس نیز اشاره کرد که ابزارهای هوش مصنوعی می‌توانند برای افزایش اثربخشی حملات استفاده شوند.

نگرانی‌ها در مورد هک‌های مبتنی بر هوش مصنوعی در ماه‌های اخیر افزایش یافته است، به طوری که ویتالیک بوترین، هم‌بنیان‌گذار اتریوم، در اکتبر گفت که “محتمل” است هوش مصنوعی بتواند در دو سال آینده رمزنگاری را بشکند. این در بحبوحه انفجار در ریاضیات مبتنی بر هوش مصنوعی رخ داد، جایی که OpenAI ادعا کرد که یک مسئله ریاضی ۹۰ ساله را در عرض چند روز حل کرده است. کارشناسان از صنعت خواستند تا برای حملات مبتنی بر هوش مصنوعی به رمزنگاری آماده شوند.

هیچ گزارش تأیید شده‌ای از هکرهای کره‌شمالی که از هوش مصنوعی برای شکستن رمزنگاری استفاده می‌کنند، وجود ندارد. اما با توجه به سرعت پذیرش هوش مصنوعی در سایر زمینه‌ها، صنعت ممکن است مجبور باشد برای مرحله بعدی آماده شود.