Binance ने 6.34 अरब डॉलर की चोरी का पता पाँच महीने तक चलाए गए फर्जी भर्ती अभियान तक लगाया

पाँच महीने तक चली घुसपैठ के बाद Binance के वॉलेट से संपत्ति निकाली गई

Binance का कहना है कि जिस चोरी का मूल्य उसने 6.34 अरब डॉलर आँका है, वह संपत्ति के स्थानांतरित होने से कई महीने पहले शुरू हुई थी। 29 अक्टूबर के हमले के बारे में अपनी पहली सार्वजनिक जानकारी में, एक्सचेंज ने एक ऐसे अभियान का वर्णन किया जिसमें हैक किए गए सॉफ़्टवेयर डाउनलोड को सुनियोजित भर्ती प्रक्रिया, मैलवेयर और एक आंतरिक AI टूल के दुरुपयोग के साथ जोड़ा गया था। इस विवरण में वॉलेट के एक ही बार में हैक होने के बजाय उन चरणों पर ध्यान जाता है जिनसे वॉलेट इंजीनियरिंग टीम के लोगों, डिवाइसों और क्रेडेंशियल्स तक पहुँच बनाई गई।

Binance के अनुसार, हमलावरों ने सबसे पहले जून में पैर जमाया, जब वॉलेट DevOps इंजीनियर ने एक लोकप्रिय AI कोडिंग टूल खोजा और उसमें छेड़छाड़ किए गए Homebrew इंस्टॉलर को डाउनलोड कर लिया। Binance ने एक असामान्य गतिविधि का पता लगाया, डिवाइस बदल दिया और क्रेडेंशियल्स रोटेट किए। लेकिन इस घटना से इंजीनियर की ज़िम्मेदारियों और वॉलेट इंफ्रास्ट्रक्चर पर काम करने वाले सहकर्मियों के नामों का भी खुलासा हुआ। कंपनी की प्रतिक्रिया में प्रभावित मशीन और पहुँच संबंधी जानकारी को सुरक्षित किया गया, जबकि बाद में दी गई जानकारी बताती है कि इस खुलासे से आगे के लक्षित हमलों में मदद मिली हो सकती है।

सितंबर में, एक दूसरे इंजीनियर से एक वैध जॉब प्लेटफ़ॉर्म के ज़रिए ऐसे व्यक्ति ने संपर्क किया, जिसने खुद को प्रोजेक्ट डायरेक्टर बताया। बाइनेंस के अनुसार, इसके बाद वीडियो इंटरव्यू हुए, जिनमें शामिल लोगों ने एचआर और कंपनी नेतृत्व का प्रतिनिधित्व करने का दावा किया; भरोसा कायम करने के लिए एक निजी सोशल मीडिया अकाउंट भी साझा किया गया। कथित सीईओ ने फिर इंजीनियर को उसके काम के कंप्यूटर पर इंस्टॉल करने के लिए एक कोड रिपॉज़िटरी सौंपी। इस सुनियोजित प्रक्रिया ने काम के डिवाइस तक पहुँचने के लिए दुर्भावनापूर्ण सॉफ़्टवेयर को विश्वसनीय बहाना दिया।

भर्ती प्रक्रिया बनी सिस्टम में सेंध लगाने का रास्ता

बाइनेंस के अनुसार, रिपॉज़िटरी ने pyenv के एक वैध घटक की जगह उसका दुर्भावनापूर्ण संस्करण रख दिया और हमलावरों के नियंत्रण वाले सर्वर से कनेक्शन खोल दिया। इस मैलवेयर को ज़ीरो-डे बताया गया और उस समय एंडपॉइंट टूल्स ने इसे चिह्नित नहीं किया था। यह विवरण केवल पारंपरिक डिवाइस अलर्ट पर निर्भर रहने की व्यावहारिक कमज़ोरी की ओर इशारा करता है: नौकरी से जुड़ा दिखने वाला कोडिंग कार्य ऐसा कोड पहुँचा सकता है जिसे मौजूदा सुरक्षा उपाय दुर्भावनापूर्ण न पहचानें। बाइनेंस ने घुसपैठ के सभी तकनीकी विवरण सार्वजनिक नहीं किए हैं।

20 अक्टूबर को, हमलावरों ने हैक की गई मशीन और एक आंतरिक एआई टूल का इस्तेमाल करके वॉलेट इंजीनियरों में से दो अन्य तक पहुँच बनाई; उनमें से एक के पास कंटेनर डिप्लॉयमेंट टोकन था। बाइनेंस के अनुसार, 29 अक्टूबर को घुसपैठियों ने तीसरे इंजीनियर के कंप्यूटर में लॉग इन किया, चुराए गए क्रेडेंशियल का इस्तेमाल करके एक कंटेनर डिप्लॉय किया और संपत्तियाँ निकालना शुरू कर दिया। यह घटनाक्रम दिखाता है कि एक कर्मचारी के ज़रिए मिली पहुँच को आंतरिक टूल्स और विशेषाधिकारों के माध्यम से कैसे बढ़ाया जा सकता है, हालाँकि कंपनी के विवरण में लक्षित सिस्टमों के बीच हुई हर बातचीत की जानकारी नहीं दी गई है।

Binance का कहना है कि इस साल उसने इसी तरह के प्रलोभनों का इस्तेमाल करने वाले उत्तर कोरिया से जुड़े होने के संदेह वाले 57 अन्य प्रयासों को भी रोक दिया, लेकिन एक्सचेंज ने इस चोरी के लिए खुद किसी को जिम्मेदार नहीं ठहराया। FBI ने हमले के लिए उत्तर कोरिया को जिम्मेदार बताया; प्योंगयांग ने इस आरोप को खारिज कर दिया और किम यो जोंग ने सरकारी मीडिया में इसे राजनीतिक उकसावा कहा। इन परस्पर विरोधी दावों के चलते सार्वजनिक रिकॉर्ड में जिम्मेदारी विवादित बनी हुई है। Binance की रिपोर्ट में तरीके और घटनाक्रम का वर्णन है, लेकिन उसमें खुद जिम्मेदारी तय करने का सवाल अनसुलझा रहता है।

प्रतिनिधिक हस्ताक्षर ने प्रतिक्रिया को लंबा खींचा

29 अक्टूबर को लेन-देन तेजी से शुरू हुए। 20:05 से 20:09 UTC के बीच, पाँच हॉट वॉलेट ने 233.46 मिलियन XRP एक हमलावर के पते पर भेजे। इसके बाद Solana और Optimism के वॉलेट से लगभग 970,500 SOL और 44.2 मिलियन OP भेजे गए। फिर Binance के एक हॉट वॉलेट ने 18,270 BTC भेजे। इन लेन-देन का पैमाना और गति दिखाते हैं कि प्रतिक्रिया के लिए केवल चोरी हुए क्रेडेंशियल की पहचान करना काफी नहीं था: एक्सचेंज को उन माध्यमों को भी रोकना पड़ा जो ऑन-चेन लेन-देन को अधिकृत कर सकते थे।

Binance के अनुसार, हमलावरों ने एक हैक की गई साइनिंग सेवा का इस्तेमाल करके Ethereum के EIP-7702 को सक्रिय किया। यह किसी खाते को अपनी कुंजी उजागर किए बिना स्मार्ट कॉन्ट्रैक्ट को निष्पादन के अधिकार सौंपने की अनुमति देता है। हमलावरों के नियंत्रण वाले एक कॉन्ट्रैक्ट को Binance के हॉट वॉलेट पर आंशिक नियंत्रण मिल गया। निकासी रोकने से यह रास्ता बंद नहीं हुआ, क्योंकि हमलावरों ने 50 साइनिंग ट्रांज़ैक्शन पहले ही सबमिट कर दिए थे, जिनसे ऑन-चेन अधिकार सौंपे गए थे और जो निकासी ढाँचे से बाहर काम करते थे। इस घटना ने सामान्य निकासी नियंत्रणों और सौंपे गए निष्पादन के बीच की खाई उजागर की।

वॉलेट में मल्टी-पार्टी कंप्यूटेशन का इस्तेमाल किया गया था, इसलिए Binance के अनुसार, ऐसी कोई एकल कुंजी नहीं थी जिसे अधिकार सौंपने की प्रक्रिया रद्द करने के लिए निष्क्रिय किया जा सकता। टीम को घटना के दौरान ही एक प्रक्रिया तैयार करनी पड़ी। अंतिम अनधिकृत ट्रांसफ़र—2,961.9 ETH—23:56 UTC पर पूरा हुआ; Binance ने 30 अक्टूबर को 00:10 UTC पर सौंपे गए अधिकार हटा दिए। कंपनी ने माना कि इस चुनौती के कारण नियंत्रण स्थापित करने में अधिक समय लगा और कहा कि वह साइनिंग-पॉलिसी के दायरे और हॉट-वॉलेट नियंत्रणों की समीक्षा कर रही है। रिपोर्ट में नई प्रक्रिया का विवरण नहीं दिया गया है।

वसूली, सुरक्षा में बदलाव और अनसुलझे सवाल

Binance ने बताया कि उसने चुराई गई संपत्तियों में से लगभग $2.85 बिलियन को फ़्रीज़ किया या उनके हस्तांतरण को रोका, और प्रभावित टोकनों में से 98% की भरपाई अपने फंड से की; बाकी राशि खुले बाज़ार से खरीदी जा रही है। ये आँकड़े एक्सचेंज की वसूली और ग्राहकों को हुए नुकसान की भरपाई के प्रयासों का वर्णन करते हैं, न कि हर संपत्ति की अंतिम स्थिति का पूरा सार्वजनिक लेखा-जोखा। कंपनी ने यह भी कहा कि निकासी चरणबद्ध तरीके से फिर शुरू हुई; पहले लगी पाबंदियों के बाद मंगलवार को नौ नेटवर्क पर दर्जनों और संपत्तियों के लिए निकासी फिर खोल दी गई।

ग्राहकों के लेन-देन के प्रवाह से तत्काल बाद की स्थिति का एक और संकेत मिला। Binance ने कहा कि रविवार को निकासी फिर से शुरू होने के बाद के 46 घंटों में उपयोगकर्ताओं ने 10.97 अरब डॉलर निकाले, जबकि शुद्ध निकासी 5.28 अरब डॉलर रही। UTC के अनुसार 03:00 बजे तक, प्रति घंटे जमा की राशि निकासी से अधिक हो गई थी, जिसे सह-CEO Richard Teng ने स्थिरता का संकेत बताया। आंकड़े बताते हैं कि प्रति घंटे का संतुलन सकारात्मक होने के बावजूद बड़ी मात्रा में निकासी जारी रही; इनसे यह तय नहीं होता कि उपयोगकर्ता लंबे समय में कैसा व्यवहार करेंगे या भरोसा पूरी तरह बहाल हुआ है या नहीं।

Binance का कहना है कि उसने अपने वॉलेट सिस्टम और आंतरिक AI टूल को नए परिवेशों में फिर से बनाया, प्रभावित उपकरणों को बदला, इंजीनियरों के क्रेडेंशियल रद्द किए और व्यवहारगत विसंगतियों का पता लगाने की क्षमता बढ़ाई। कंपनी एक स्वतंत्र समीक्षा करा रही है, एंडपॉइंट और डेवलपर परिवेश की सुरक्षा पर खर्च बढ़ा रही है और बाहरी फर्मों के साथ AI-सुरक्षा अनुसंधान कोष बनाने की योजना बना रही है। वॉशिंगटन में, CFTC के अध्यक्ष Michael Selig ने इस उल्लंघन का हवाला देते हुए ऑफशोर एक्सचेंजों के लिए संघीय पंजीकरण प्रक्रिया की वकालत की। समीक्षा के निष्कर्ष और Binance की अधिक विस्तृत तकनीकी जानकारी अभी सामने आनी बाकी है; कुछ विवरण निजी ही रहेंगे।

स्रोत: BitcoinMagazine