هجمات قراصنة كوريا الشمالية تخترق 1640 شركة في 57 دولة.. وسرقة العملات المشفرة الهدف الرئيسي
لمدة عامين تقريبًا، تمكن باحث في الأمن السيبراني من الاحتفاظ بموقع مراقبة خفي داخل البنية التحتية للتحكم والسيطرة الخاصة بقراصنة تدعمهم الدولة الكورية الشمالية. العملية، التي نفذها فانجيليس ستيكاس، المدير التقني لشركة كوميو، كشفت عن نطاق اختراق يفوق بكثير التقديرات السابقة: 1640 شركة في 57 دولة تعرضت للاختراق، وكانت سرقة العملات المشفرة في قلب الحملة. الحجم والتركيز التكتيكي الظاهر في التقرير الأصلي يفرضان إعادة تقييم جذرية للثغرات الهيكلية التي تسمح بانتشار مثل هذه الاختراقات.
كيف يضاعف وصول المقاولين من المخاطر؟
اعتمد المهاجمون على حيل مقابلات العمل الوهمية، وهي أسلوب هندسة اجتماعية أصبح بصمة مميزة للعمليات السيبرانية الكورية الشمالية. لكن الضرر تجاوز التصيد الاحتيالي بكثير. فبين 700 و800 منظمة تعرضت لاختراقات بالغة الخطورة شملت الوصول الجذري للخوادم، والسيطرة الكاملة على بيئات أمازون السحابية، وكشف مفاتيح محافظ العملات المشفرة. وأشار ستيكاس إلى أن نطاق الضرر تضخم بشكل كبير بسبب ضعف ضوابط الوصول لدى المقاولين الخارجيين، مما حوّل العلاقات الروتينية مع الأطراف الثالثة إلى نقاط دخول لدول معادية.
تعمل العديد من شركات العملات المشفرة ومنصات التداول ومنصات التمويل اللامركزي مع شبكة واسعة من المطورين الخارجيين ووكالات التسويق ومزودي البنية التحتية. عندما يتم اختراق مقاول واحد، غالبًا ما يرث المهاجم صلاحيات واسعة تعبر الحدود الداخلية للشبكة. في هذه الحملة، لاحظت كوميو قراصنة ينتقلون من مقاول مخترق واحد إلى منظمات متعددة في الأسفل. الوصول الجذري الذي تم الحصول عليه على عقدة واحدة أصبح نقطة انطلاق نحو لوحات التحكم السحابية وفي النهاية إلى البنية التحتية للمحافظ.
الآثار المترتبة على نماذج الحفظ والإعدادات متعددة التوقيع مباشرة. فحتى الإدارة الجيدة للمفاتيح على السلسلة يمكن إبطالها إذا تمكن المهاجم من الجلوس على الخادم الذي يولد المعاملات. لطالما حذرت فرق الأمن من أن النظافة التشغيلية حول المقاولين هي الحلقة الأضعف، لكن بيانات كوميو تحدد بدقة مدى اتساع الفجوة. مع تأثر 57 دولة، لا توجد ولاية قضائية تبدو محصنة.
الدافع المرتبط بالعملات المشفرة وتحدي غسيل الأموال
على عكس جهود التجسس الواسعة، حافظت هذه المجموعة من الاختراقات على ما وصفه ستيكاس بـ”تركيز ليزري” على سرقة العملات المشفرة. هذا الهدف الضيق يتماشى مع الضغوط الاقتصادية التي تواجهها كوريا الشمالية، حيث حوّل النظام السرقات الرقمية إلى مصدر دخل للدولة. تتبعت شركات تحليل البلوكتشين مليارات الدولارات من العملات المشفرة المسروقة إلى عناوين مرتبطة ببيونغ يانغ، غالبًا عبر خلاطات العملات وجسور السلاسل المتقاطعة وحسابات البورصات المتداخلة. تشير نتائج كوميو إلى أن خط الأنابيب الذي يغذي عمليات غسيل الأموال هذه أوسع مما افترضته العديد من فرق الامتثال.
أرقام الخسائر الدقيقة غير معلنة بعد، ولم يكشف الباحث عن أسماء المنظمات المتضررة. هذا الغموض يترك الصناعة في مأزق مألوف: سطح الهجوم ضخم بشكل واضح، لكن دراسات الحالة المحددة التي تدفع انتباه المديرين التنفيذيين غالبًا ما تكون محجوبة خلف اتفاقيات عدم الإفصاح. حتى يتحدث المزيد من الضحايا بصراحة، ستبقى معايير الأمن متفاوتة.
الضوء التنظيمي واستجابة الصناعة
تصل بيانات الاختراق بينما يناقش المشرعون إشرافًا شاملاً على العملات المشفرة. في الولايات المتحدة، تشق التشريعات التي يمكن أن تعيد تشكيل كيفية إدارة شركات الأصول الرقمية للمخاطر التشغيلية طريقها عبر مجلس الشيوخ، والدفعة الأخيرة من الضغط المصرفي لتعديل مشروع القانون تؤكد حجم المخاطر. إذا كان بإمكان مقاول واحد مخترق أن يعرض عشرات الشركات للاستيلاء الجذري، فسيواجه المنظمون ضغوطًا لفرض الحد الأدنى من ضوابط الوصول، والتحقق الحقيقي متعدد العوامل، والتدقيق الروتيني لعمليات تكامل الأطراف الثالثة.
في الوقت نفسه، تواصل الصناعة توسيع القيمة الموجودة على السلسلة. تجاوزت الأصول الحقيقية المرمزة مؤخرًا حاجز 20 مليار دولار، والترميز المؤسسي يتسارع. كل ترتيب حفظ جديد ونشر عقد ذكي جديد يخلق بيئة هدفًا أغنى للعمليات التي رصدتها كوميو. الدافع لبيونغ يانغ سيشتد فقط مع نمو حجم الأصول المشفرة المتاحة.
الدفاعات التقنية للمجتمع تتطور أيضًا. السلاسل التي لديها مجتمعات المطورين الأكثر نشاطًا تميل إلى دفع تصحيحات وترقيات أمنية سريعة، لكن الدرس هنا هو أن المتجهات البشرية لا تزال تتفوق على مرونة البروتوكول. لا يمكن لأي قدر من تدقيق العقود الذكية أن يوقف اختراقًا جذريًا للخادم يعترض عملية التوقيع قبل وصولها إلى السلسلة. بحث كوميو يوضح أن الحلقة الأضعف تقع بين الكرسي ولوحة المفاتيح، وغالبًا ما تحمل شارة مقاول.
بالنسبة لبورصات العملات المشفرة ومزودي المحافظ والمنصات المؤسسية، الخلاصة الفورية هي أن فحص وصول الأطراف الثالثة يجب أن ينتقل من مجرد خانة امتثال إلى نظام أمني معاش. الفترة التي استمرت 22 شهرًا والتي لاحظ خلالها ستيكاس المخترقين بصمت تثير أيضًا أسئلة مزعجة حول الرؤية: إذا كان بإمكان باحث واحد مراقبة خادم التحكم والسيطرة، فلماذا كانت الضحايا عمياء؟ بناء مشاركة أفضل لمعلومات التهديدات عبر الصناعة ومع الوكالات الحكومية سيكون ضروريًا بينما تصقل نفس المجموعات تقنياتها. أرقام كوميو تذكير بأن الاختراق القادم ليس مسألة “إذا”، بل “من خلال أي مقاول سيصل”.
الأسئلة الشائعة
ما هو حجم الاختراقات التي كشفت عنها شركة كوميو؟
كشفت كوميو أن 1640 شركة في 57 دولة تعرضت للاختراق على يد قراصنة كوريين شماليين، مع تركيز خاص على سرقة العملات المشفرة، حيث تعرضت 700 إلى 800 منظمة لاختراقات شديدة الخطورة شملت السيطرة الكاملة على الخوادم والبيئات السحابية ومفاتيح المحافظ.
كيف تمكن القراصنة من اختراق هذه الشركات؟
استخدم القراصنة حيل مقابلات العمل الوهمية كأسلوب رئيسي، ثم استغلوا ضعف ضوابط الوصول لدى المقاولين الخارجيين للانتقال من شركة إلى أخرى. بمجرد اختراق مقاول واحد، تمكنوا من الوصول إلى صلاحيات واسعة عبر شبكات متعددة والوصول إلى البنية التحتية للمحافظ.
ما هي الدروس الرئيسية لشركات العملات المشفرة من هذا التقرير؟
الدرس الأهم هو أن فحص وصول الأطراف الثالثة والمقاولين يجب أن يكون نظامًا أمنيًا مستمرًا وليس مجرد إجراء شكلي. كما يؤكد التقرير على ضرورة مشاركة معلومات التهديدات بين الشركات ومع الوكالات الحكومية، لأن الفجوة الأمنية الأكبر تكمن في العنصر البشري والمقاولين وليس في البروتوكولات التقنية فقط.
