كشفت شركة Radiant Capital عن عملية اختراق في أكتوبر قام بها قراصنة من كوريا الشمالية

كشفت شركة Radiant Capital عن عملية اختراق بقيمة 50 مليون دولار في أكتوبر تم تدبير الهجوم من قبل جهة تهديد مرتبطة بكوريا الشمالية والتي استخدمت برامج ضارة تم إرسالها عبر Telegram، منتحلة شخصية متعاقد سابق.

فيتحديث 6 ديسمبر، شاركت المنصة نتائج من شركة الأمن السيبراني Mandiant، والتي نسبت الهجوم "بدرجة عالية من الثقة" إلى مجموعة مرتبطة بجمهورية كوريا الديمقراطية الشعبية.

بدأت الحادثة في 11 سبتمبر، عندما تلقى أحد مطوري Radiant رسالة عبر Telegram من "مقاول سابق موثوق به" يطلب فيها ردود الفعل على أحد المشاريع.

تضمنت الرسالة ملفًا مضغوطًا يبدو عاديًا ولكنه يحتوي على برامج ضارة.

وجاء فيه:

"بعد المراجعة، يُشتبه في أن هذه الرسالة صادرة عن جهة تهديد تابعة لجمهورية كوريا الديمقراطية الشعبية انتحلت شخصية المتعاقد السابق. هذا الملف المضغوط، عندما تمت مشاركته للحصول على تعليقات بين مطورين آخرين، أدى في النهاية إلى تسليم برامج ضارة سهّلت الاختراق اللاحق."

بحلول 16 أكتوبر، تمكن المهاجم من السيطرة على العديد من المفاتيح الخاصة والعقود الذكية، مما أجبرمشع لإيقاف أسواق الإقراض.

قام المتسللون بإخفاء المعاملات الخبيثة من خلال التلاعب بواجهات الواجهة الأمامية لإظهار بيانات شرعية، أثناء تنفيذ عمليات نقل غير مصرح بها في الخلفية.

وأضافت:

"ولم تظهر عمليات الفحص والمحاكاة التقليدية أي تناقضات واضحة، مما يجعل التهديد غير مرئي تقريبًا أثناء مراحل المراجعة العادية."

مشع وأشار إلى:

"تم تنفيذ هذا الخداع بسلاسة شديدة لدرجة أنه حتى مع أفضل ممارسات Radiant القياسية، مثل محاكاة المعاملات في Tenderly، والتحقق من بيانات الحمولة، واتباع إجراءات التشغيل القياسية في الصناعة في كل خطوة، كان المهاجمون قادرين على اختراق أجهزة مطورين متعددة."

الكيان المسؤول، المعروف باسم "UNC4736" أو "Citrine Sleet"، مرتبط بمكتب الاستطلاع العام في كوريا الشمالية وقد يعمل كمجموعة فرعية لمجموعة لازاروس سيئة السمعة.

وتمكن المهاجمون من نقل ما يقرب من 52 مليون دولار من الأموال المسروقة بحلول 24 أكتوبر/تشرين الأول.

كوريا الشمالية استهدفت مجموعات القرصنة منصات التشفير منذ فترة طويلة، وسرقت ما يقدر بنحو 3 مليارات دولار بين عامي 2017 و2023.

وأكدت راديانت أن ملف zip يبدو موثوقًا به نظرًا لسياقها المهني، كما أن النطاق المزيف يحاكي عن كثب الموقع الإلكتروني الشرعي للمقاول، مما مكّن الهجوم من تجاوز الشكوك الأولية.

تم التحديث:

"يُظهر هذا الحادث أنه حتى الإجراءات التشغيلية القياسية الصارمة، والمحافظ المادية، وأدوات المحاكاة مثل Tenderly، والمراجعة البشرية الدقيقة يمكن التحايل عليها من قبل الجهات الفاعلة ذات التهديدات المتقدمة للغاية."