Crypto.com، أحد أكبر بورصات العملات المشفرة في العالم، فشلت في الكشف علنًا عن خرق أمني نُفذ من قبل مجموعة القراصنة Scattered Spider، وفقًا لتحقيق أجرته Bloomberg investigation. شمل الهجوم أساليب الهندسة الاجتماعية التي قامت باختراق بيانات اعتماد الموظفين، مما أثار مخاوف جديدة بشأن ممارسات الشفافية للبورصة والرقابة التنظيمية في صناعة العملات المشفرة.
ما يجب معرفته:
- تمكنت Scattered Spider، وهي مجموعة تتكون أساسًا من المراهقين، من اختراق Crypto.com من خلال هجمات الهندسة الاجتماعية التي استهدفت بيانات اعتماد الموظفين
- لم تكشف البورصة عن الحادثة علنًا رغم أن خبراء الأمن يجادلون بأن هذه الشفافية ضرورية لحماية المستخدمين
- يسلط الخرق الضوء على الجدل المستمر في الصناعة حول متطلبات جمع بيانات معرفة العميل وتداعياتها الأمنية
هجوم الهندسة الاجتماعية يستهدف بيانات اعتماد الموظفين
تنكر المهاجمون في صورة أفراد من قسم تكنولوجيا المعلومات لخداع موظفي Crypto.com لكي يتنازلوا عن بيانات تسجيل الدخول الخاصة بهم. وصف مصادر مطلعة على التحقيق العملية بأنها نموذجية لمنهج Scattered Spider. تتخصص المجموعة في التلاعب بالموظفين باستخدام أساليب نفسية بدلاً من استغلال التقنيات المعقدة.
بمجرد دخولهم إلى أنظمة الشركة، حاول القراصنة تصعيد امتيازاتهم. واستهدفوا بشكل خاص حسابات الموظفين الكبار لتوسيع نطاق وصولهم داخل بنية المنصة.
تأثر بالخرق ما وصفته Crypto.com بأنه "عدد قليل جدًا من الأفراد."
أخبر ممثلو Crypto.com بلومبرغ أن أموال العملاء ظلت آمنة طوال الحادثة. ورفضت الشركة تقديم تفاصيل إضافية عن نطاق الهجوم أو جدوله الزمني. لم ترد مسؤولو البورصة على طلبات لمزيد من التعليق بشأن الخلل الأمني.
ينتقد خبراء الصناعة قرار عدم الإفصاح
يجادل خبراء الأمن بأن قرار Crypto.com بعدم الكشف عن معلومات الخرق يقوض ثقة المستخدمين. يؤدي ترددهم في مشاركة تفاصيل الحادثة إلى ترك العملاء غير متأكدين من مخاطر التعرض للبيانات المحتملة. تمنع هذه الشفافية المفقودة أيضًا المستخدمين من اتخاذ تدابير دفاعية مناسبة ضد الهجمات اللاحقة المحتملة.
تحمل الانتقادات وزنًا خاصًا نظرًا للفشل الأمني السابق للبورصات. تعرضت Coinbase لخرق مشابه أدى إلى خسائر للعملاء تجاوزت 300 مليون دولار سنويًا. يشير المراقبون في الصناعة إلى أن الحوادث غير المعلنة تخلق مخاطر منهجية عبر النظام البيئي للعملات المشفرة.
اتهم الباحث عبر السلسلة ZachXBT علنًا Crypto.com بإخفاء الخرق عمدًا.
وأكد أن هذا الحادث يمثل نموذجًا لثغرات أمنية غير معلنة في المنصة. تعكس ادعاءاته إحباطًا عامًا في القطاع تجاه البورصات التي تقلل من كشف الاختراقات لحماية سمعة الشركات.
الإطار التنظيمي يخضع لمراجعة متجددة
زاد الحادث من الانتقادات لمتطلبات معرفة العميل التي تفرض جمع بيانات مكثف. جادل الباحث الأمني المستعار Pcaversaccio بأن أنظمة KYC تخلق أهدافًا جاذبة للمجرمين السيبرانيين. أشار الباحث إلى أنه بينما يمكن تغيير كلمات المرور بسهولة، إلا أن وثائق الهوية الشخصية لا يمكن استبدالها بشكل سهل.
"يمكنك تغيير كلمة المرور بسهولة، لكن ليس جواز السفر وهم يعرفون ذلك جيدًا"، صرح Pcaversaccio. "نحن في الأساس الضمان في لعبة المراقبة الخاصة بهم."
يتماشى هذا الرؤية مع التشكيك المتزايد في النهج التنظيمية الحالية للإشراف على العملات المشفرة. في وقت سابق من هذا العام، انتقد الرئيس التنفيذي لشركة Coinbase، براين آرمسترونغ، قانون السرية المصرفية وأنظمة مكافحة غسل الأموال الحالية بوصفها قديمة وغير فعالة. وأشار إلى أن الشركات تواجه تفويضات لجمع بيانات حساسة للعملاء تتعارض مع مصالح أعمالها.
"لا نريد جمعها، ويكره كبار العملاء ذلك"، أوضح آرمسترونغ. "نحن مجبرون على جمعها ضد إرادتنا. ولا حتى فعالة في وقف الجريمة، إذا نظرت إلى البيانات خلفها."
فهم المصطلحات الرئيسية
تعتمد هجمات الهندسة الاجتماعية على التلاعب النفسي بدلاً من نقاط الضعف التقنية لاختراق الأنظمة الأمنية. عادةً ما يتنكر المهاجمون في صورة شخصيات موثوقة مثل موظفي الدعم الفني لإقناع الأهداف بالكشف عن معلومات حساسة. تثبت هذه الأساليب فعاليتها بشكل خاص لأنها تستغل علم النفس البشري بدلاً من ضعف البرامج.
تتطلب تنظيمات معرفة العميل من المؤسسات المالية التحقق من هويات العملاء من خلال وثائق مكثفة. تستهدف هذه القواعد منع غسل الأموال وتمويل الإرهاب بإنشاء سجلات مفصلة لحاملي الحسابات. ومع ذلك، يجادل النقاد بأن مستودعات البيانات المركزية تخلق مخاطر أمنية تتجاوز فوائدها في منع الجريمة.
تمثل Scattered Spider جيلًا جديدًا من منظمات الجريمة السيبرانية التي تفضل التلاعب الاجتماعي على التعقيد التقني. يعرض نجاح الجماعة كيف أن العوامل البشرية تمثل غالبًا الحلقة الأضعف في سلاسل الأمن المؤسسي.
أفكار ختامية
يؤكد حادث Crypto.com على التحديات المستمرة التي تواجه أمان بورصات العملات المشفرة والامتثال التنظيمي. لا يزال التوتر بين متطلبات الشفافية وإدارة سمعة الشركات يشكل ممارسات الصناعة فيما يتعلق بالكشف عن الاختراقات.