Binance ने 2026 में उत्तर कोरिया से जुड़े 57 संदिग्ध साइबर हमलों की पहचान कर उन्हें रोकने की बात कही है। इसके बावजूद, नौकरी के फर्जी इंटरव्यू के जरिए एक इंजीनियर के कंप्यूटर पर मैलवेयर पहुंचा और हमलावर एक्सचेंज के वॉलेट-साइनिंग सिस्टम तक पहुंच गए। कंपनी ने 3 नवंबर को जारी सुरक्षा रिपोर्ट में घुसपैठ का विवरण दिया। 31 अक्टूबर को FBI ने 29 अक्टूबर को हुई करीब 6.34 अरब डॉलर की क्रिप्टो संपत्तियों की चोरी का संबंध उत्तर कोरिया के TraderTraitor अभियान से जोड़ा था। यह मामला दिखाता है कि अन्य हमलों को रोकने के बावजूद, भर्ती प्रक्रिया और डेवलपर के कामकाजी उपकरण क्रिप्टो प्लेटफॉर्म में सेंध का रास्ता बन सकते हैं।
छेड़े गए इंस्टॉलर से वॉलेट-साइनिंग सिस्टम तक पहुंच
Binance के अनुसार, इस घटना से जुड़ी शुरुआती गतिविधि जून में हुई। वॉलेट इंफ्रास्ट्रक्चर पर काम कर रहे एक इंजीनियर ने लोकप्रिय AI कोडिंग टूल स्थापित करते समय Homebrew का छेड़ा गया इंस्टॉलर डाउनलोड कर लिया। सुरक्षा टीम ने असामान्य गतिविधि पकड़ी तो कंपनी ने कर्मचारी का डिवाइस बदल दिया और संबंधित क्रेडेंशियल रीसेट किए। हालांकि, तब तक हमलावर इंजीनियर की भूमिका और उसके सहकर्मियों से जुड़ी जानकारी तक पहुंच चुके थे।
सितंबर में हमलावरों ने एक वैध भर्ती मंच के जरिए दूसरे सॉफ्टवेयर इंजीनियर से संपर्क किया। उन्होंने खुद को एक काल्पनिक कंपनी का प्रोजेक्ट लीड बताया। इसके बाद मानव संसाधन प्रतिनिधि होने का दावा करने वाले व्यक्ति ने लाइव वीडियो इंटरव्यू लिया और भरोसा जीतने के लिए व्यक्तिगत तस्वीरों और वीडियो वाले सोशल मीडिया अकाउंट साझा किए। दूसरे इंटरव्यू में एक अन्य व्यक्ति ने खुद को कंपनी का CEO बताया।
इंटरव्यू प्रक्रिया के अंतिम चरण में इंजीनियर से अपने काम के कंप्यूटर पर एक कोडिंग टेस्ट डाउनलोड करने को कहा गया। रिपॉजिटरी सामान्य डेवलपमेंट प्रोजेक्ट जैसी दिखती थी, लेकिन इंस्टॉलेशन के दौरान मैलवेयर चला। उसने वैध डेवलपमेंट टूल के कुछ हिस्सों को बदल दिया और हमलावरों के नियंत्रण वाले सर्वर से संपर्क स्थापित किया। Binance ने कहा कि पहले से अज्ञात यह मैलवेयर एंडपॉइंट सुरक्षा सॉफ्टवेयर से बच निकला और घुसपैठ के संकेत छिपाता रहा।
20 अक्टूबर तक हमलावरों ने संक्रमित कंप्यूटर और कंपनी के एक आंतरिक AI टूल का इस्तेमाल कर दो इंजीनियरों के डिवाइस पर अपनी पहुंच बढ़ा ली थी। इनमें जून में निशाना बनाया गया कर्मचारी भी शामिल था। इसके बाद उन्हें कंटेनर डिप्लॉयमेंट टोकन मिला। नौ दिन बाद, चुराए गए क्रेडेंशियल के जरिए उन्होंने एक दुर्भावनापूर्ण कंटेनर तैनात किया और Binance के वॉलेट-साइनिंग इंफ्रास्ट्रक्चर तक पहुंच बनाई।
कंपनी के मुताबिक, हमलावरों ने सामान्य निकासी प्रक्रियाओं को दरकिनार कर कई ब्लॉकचेन नेटवर्क पर संपत्तियों के अनधिकृत ट्रांसफर शुरू किए। Binance ने यह नहीं बताया कि रोके गए 57 खतरों में से कितने फर्जी इंटरव्यू से जुड़े थे या इनमें से कोई अन्य मामला अक्टूबर की घटना के हमलावरों से सीधे जुड़ा था या नहीं।
Binance ने बताया, घटना के बाद क्या कदम उठाए
Binance की सह-CEO He Yi ने कहा कि कंपनी की सुरक्षा टीमों ने 2026 में उत्तर कोरिया से जुड़े 57 संदिग्ध साइबर खतरों की पहचान कर उन्हें रोका। उनके बताए तरीकों में नौकरी के फर्जी इंटरव्यू, लोकप्रिय डेवलपर टूल के रूप में छिपाया गया मैलवेयर, छेड़े गए सॉफ्टवेयर पैकेज और ब्राउज़र एक्सटेंशन, नकली वीडियो-कॉन्फ्रेंसिंग ऐप तथा क्रेडेंशियल चुराने या रिमोट-एक्सेस मैलवेयर इंस्टॉल कराने वाले सोशल इंजीनियरिंग हमले शामिल थे। He Yi ने माना कि कई हमले रोक दिए गए, लेकिन एक को न रोक पाने के गंभीर परिणाम हुए और ऐसा नहीं होना चाहिए था।
घटना के बाद Binance ने प्रभावित कर्मचारियों के डिवाइस बदले, उजागर हुए क्रेडेंशियल रद्द किए और प्रभावित वॉलेट इंफ्रास्ट्रक्चर को नए सिरे से तैयार किया। कंपनी ने कहा कि वह डेवलपमेंट एनवायरनमेंट की सुरक्षा मजबूत करेगी और AI-आधारित व्यवहार निगरानी का विस्तार करेगी। रिपोर्ट में यह स्पष्ट नहीं किया गया कि ये उपाय इस हमले में इस्तेमाल किए गए भर्ती-इंटरव्यू के चरण को खास तौर पर कैसे रोकेंगे।
भर्ती के जरिए घुसपैठ के तरीके पहले भी सामने आए
यह तरीका उन अभियानों से मिलता-जुलता है जिन पर सुरक्षा शोधकर्ता और अमेरिकी कानून प्रवर्तन एजेंसियां वर्षों से नजर रख रही हैं। सितंबर 2024 में FBI ने चेतावनी दी थी कि उत्तर कोरियाई हैकर क्रिप्टो कंपनियों में घुसपैठ के लिए खास तौर पर तैयार किए गए नौकरी के प्रस्ताव, गढ़ी हुई पहचान और लगातार संपर्क का इस्तेमाल कर रहे थे। मजबूत तकनीकी कौशल वाले कर्मचारियों को भी उनके पेशेवर अनुभव के आधार पर तैयार किए गए घोटालों से निशाना बनाया जा सकता है।
जून 2026 में Kudelski Security के शोधकर्ताओं ने “Contagious Interview” नाम के अभियान का दस्तावेजीकरण किया। इसमें हमलावर LinkedIn, WhatsApp और Discord पर भर्तीकर्ता बनकर पेश आए और डेवलपरों को दुर्भावनापूर्ण कोड चलाने के लिए राजी किया। सितंबर में Atlassian के शोधकर्ताओं ने स्थापित डेवलपमेंट प्लेटफॉर्म पर मौजूद नकली तकनीकी आकलनों की पहचान की। इनमें देखने में वैध प्रोजेक्ट के भीतर दुर्भावनापूर्ण निर्देश छिपाए गए थे।
इन मामलों में हमलावर पहले भर्ती प्रक्रिया और डेवलपर टूल के जरिए भरोसा बनाते हैं, फिर कॉरपोरेट सिस्टम तक पहुंच बढ़ाते हैं। Binance के विवरण से यह भी संकेत मिलता है कि जून में डिवाइस संक्रमित होने के बाद भी हमलावर कर्मचारियों के संपर्कों और आंतरिक टूल का फायदा उठाकर अपनी पहुंच बढ़ा पाए। कंपनी ने 57 रोके गए खतरों का ब्योरा नहीं दिया है और न ही बताया है कि इस घटना में कौन-से सुरक्षा उपाय विफल हुए। उसने पुष्टि की है कि घुसपैठ वॉलेट-साइनिंग इंफ्रास्ट्रक्चर तक पहुंची और कई ब्लॉकचेन नेटवर्क पर अनधिकृत ट्रांसफर हुए।