شركة الذكاء الاصطناعي ORO: هاكر كوري شمالي يسرق 600 ألف دولار من العملات الرقمية

طورت شركة ORO، المطورة لوكيل التسوق بالذكاء الاصطناعي، أنها خسرت عملات رقمية بقيمة 630 ألف دولار، بعد أن تظاهر هاكر حكومي يُعتقد أنه من كوريا الشمالية بأنه جهة اتصال في مؤتمر، وخدع أحد الموظفين لتثبيت إضافة ضارة لبرنامج مايكروسوفت تيمز (Microsoft Teams).

كيف حدث الاختراق؟

وفقًا لتقرير تحليل نُشر بواسطة ORO، فقد التقى أحد أعضاء فريقها بشخص في مؤتمر صناعي في فبراير 2025، وأقام معه “علاقة مهنية شرعية” استمرت عبر التواصل على تطبيق تيليجرام (Telegram).

بعد حوالي عام، في مايو 2026، توصل حساب تيليجرام الخاص بهذا الشخص الشرعي بطلب إجراء مكالمة للاطمئنان. وعندما انضم موظف ORO إلى المكالمة عبر رابط يشبه رابط مايكروسوفت تيمز، لم يعمل الصوت، فتم تأجيل المكالمة ليوم آخر.

بعد المكالمة مباشرة، ظهرت رسالة على كمبيوتر الموظف تطلب تحديث برنامج مايكروسوفت تيمز، فوافق الموظف دون تفكير. لكن هذا التحديث البريء سمح بتثبيت إضافة ضارة على جهازه. هذه الإضافة تتبعت كل ما يكتبه على لوحة المفاتيح، وسجلت محفوظات الحافظة، والتقطت صورًا لشاشة الكمبيوتر وسجل التصفح، وكانت قادرة على تبديل عناوين المحافظ الرقمية.

قضى المخترق شهرًا تقريبًا في جمع البيانات بهدوء، قبل أن يسرق في 13 يوليو 147 ألف رمز من نوع Alpha من محافظ ORO الرقمية.

ORO تعتقد أن الهجوم من كوريا الشمالية

تؤكد ORO أن الشخص الذي التقت به في المؤتمر كان “شرعيًا”، وأن حساب تيليجرام الخاص به تم اختراقه. وتزعم الشركة بثقة عالية، بناءً على تحليل الاختراق لأنظمة ماك (macOS)، أن المخترق هو هاكر كوري شمالي من مجموعة سابفير سليت (Sapphire Sleet) المدعومة من الدولة.

وقالت الشركة: “عنوان IP الذي كان يتصل به جهازنا المخترق، والملف الضار المطابق، وبعض البنية التحتية المتداخلة الموضحة في منشور مايكروسوفت السابق، تجعلنا واثقين من أن الهجوم جاء من هذه المجموعة”.

في الواقع، يسلط قسم استخبارات التهديدات في مايكروسوفت الضوء على كيف تستخدم مجموعة سابفير سليت واجهة تيمز، والهندسة الاجتماعية، وتركز على نظام ماك. وقالت مايكروسوفت: “من خلال التظاهر بأنه تحديث برنامج شرعي، خدع المخترقون المستخدمين لتشغيل ملفات ضارة يدويًا، مما سمح لهم بسرقة كلمات المرور والأصول الرقمية والبيانات الشخصية، مع تجنب فحوصات الأمان المدمجة في نظام ماك”.

ORO تتحمل جزءًا من المسؤولية

بالرغم من فعل المخترق، اعترفت ORO بجزء من مسؤوليتها عن الاختراق. تقول الشركة إن نقص الدعم الواسع للمحافظ المادية في بروتوكول بيتنور (Bittensor) اللامركزي، دفعها لعمل “مفتاح المالك” كمحفظة برمجية بشكل مؤقت، رغم تفضيلها للمحافظ المادية. وأضافت: “هذا ما سمح بسرقة الأصول من جهاز مخترق. كان ذلك أمرًا لا يغتفر، وكان خطأنا. نحن آسفون لتأثير ذلك على مجتمعنا وداعمينا”.

تدعي ORO أنها تسعى بنشاط لاستعادة الأصول المسروقة بمساعدة بورصات العملات الرقمية وإنفاذ القانون، بالإضافة إلى شركات مثل أوبن تينسور (Opentensor)، وكروسيبل لابس (Curciible Labs)، وكونيتو إي آي (Connito AI). كما شددت الشركة على أن شبكتها الفرعية “تعمل بكامل طاقتها”، وأنه لم يتم اختراق أي محافظ أو بيانات مستخدمين أو بيانات شبكة فرعية أخرى، وأن مفاتيح التوقيع على المحافظ المادية “لم تتعرض للخطر أبدًا”.

في الأشهر الأخيرة، تم اكتشاف عدد من هجمات العملات الرقمية المتعلقة بكوريا الشمالية. في أبريل، تم كشف عميل كوري شمالي يُعرف باسم “موو” من قبل المحقق ZachXBT، وتم طرده من بورصة Stabble القائمة على سولانا. وفي هذا الشهر، تم الكشف عن أن شركة محافظ MetaMask وظفت عميلاً كورياً شمالياً كمطور لمدة شهر على الأقل.

أسئلة وأجوبة شائعة

• س: كيف تمكن المخترقون من سرقة 630 ألف دولار من ORO؟
  ج: تظاهر هاكر بأنه شخص شرعي من مؤتمر صناعي، وخدع موظفًا لتثبيت إضافة ضارة لبرنامج مايكروسوفت تيمز. هذه الإضافة سمحت للمخترق بمراقبة جهاز الموظف وسرقة مفاتيح المحفظة الرقمية.
• س: من يقف وراء هذا الهجوم بحسب ORO؟
  ج: تعتقد ORO بثقة عالية أن الهجوم من مجموعة سابفير سليت، وهي مجموعة قرصنة مدعومة من دولة كوريا الشمالية، بناءً على تحليل عنوان IP والملفات الضارة المستخدمة.
• س: هل تتحمل ORO أي مسؤولية عن الاختراق؟
  ج: نعم، اعترفت ORO بأن استخدامها لمحفظة برمجية مؤقتة بدلاً من محفظة مادية (هاردوير واليت) في بروتوكول بيتنور هو ما سمح بسرقة الأصول من الجهاز المخترق، واعتبرت ذلك خطأها.