بائننس کا دعویٰ: 6.34 ارب ڈالر کی ہیکنگ کا آغاز جعلی نوکری کے انٹرویو سے ہوا
ایک جعلی نوکری کا انٹرویو، ایک چھیڑ چھاڑ شدہ سافٹ ویئر ڈاؤن لوڈ، اور ایک اندرونی AI ٹول جو اپنے ہی انجینئروں کے خلاف استعمال ہو گیا: یہ بائننس کا بیان ہے کہ کس طرح حملہ آوروں نے 29 اکتوبر کو اس کے والٹس سے 6.34 ارب ڈالر نکالے، ایک ایسی مہم جس کے بارے میں ایکسچینج کا کہنا ہے کہ یہ پانچ ماہ تک جاری رہی اس سے پہلے کہ ایک بھی سکہ باہر نکلا۔
اپنی پہلی عوامی واقعے کی رپورٹ میں، جو شریک سی ای او رچرڈ ٹینگ اور چیف سیکیورٹی آفیسر جمی سو کی بریفنگ کے ساتھ جاری کی گئی، بائننس نے کہا کہ پہلا قدم جون میں اٹھایا گیا، جب ایک والٹ ڈیو اوپس انجینئر نے ایک مقبول AI کوڈنگ ٹول کے لیے چھیڑ چھاڑ شدہ انسٹالر ڈاؤن لوڈ کیا۔ سیکیورٹی عملے نے بے ضابطگی پکڑ لی اور اسناد تبدیل کر دیں، لیکن اس واقعے نے انجینئر کے کردار اور والٹ انفراسٹرکچر ٹیم میں شامل ساتھیوں کے ناموں کو بے نقاب کر دیا۔ ستمبر میں ایک دوسرے انجینئر سے ایک جائز نوکری کے پلیٹ فارم پر کسی نے رابطہ کیا جو خود کو پروجیکٹ ڈائریکٹر ظاہر کر رہا تھا، اس نے مبینہ ایچ آر نمائندے کے ساتھ ویڈیو انٹرویو کیا اور پھر ایک مبینہ سی ای او کے ساتھ دوسرا، اور پھر اسے ایک "اسائنمنٹ" بھیجا گیا: اس کے ورک مشین پر انسٹال کرنے کے لیے ایک کوڈ ریپوزٹری جس نے ایک جائز کمپوننٹ کو نقصان دہ ورژن سے بدل دیا اور حملہ آور کے زیر کنٹرول سرور تک ایک چینل کھول دیا۔ بائننس نے کہا کہ اس کے اینڈ پوائنٹ ٹولز نے اس وقت میلویئر کو نہیں پکڑا۔
20 اکتوبر کو حملہ آوروں نے اس مشین اور ایک اندرونی AI ٹول کا استعمال کرتے ہوئے دو مزید والٹ انجینئروں تک رسائی حاصل کی، جن میں سے ایک کے پاس کنٹینر ڈیپلائمنٹ ٹوکن تھا۔ نو دن بعد انہوں نے تیسرے انجینئر کے کمپیوٹر میں لاگ ان کیا اور نکاسی شروع کی۔ 20:05 سے 20:09 UTC کے درمیان، پانچ ہاٹ والٹس نے 233.46 ملین XRP حملہ آور کے پتے پر بھیجے، اس کے بعد تقریباً 970,500 SOL اور 44.2 ملین OP، اور ایک ہاٹ والٹ نے 18,270 BTC بھیجے۔ اس کے بعد حملہ آور نے سمجھوتہ شدہ سائننگ سروس کا استعمال کرتے ہوئے ایتھیریم کے EIP-7702 کو نافذ کیا، اور 50 سائننگ ٹرانزیکشنز کے ذریعے ایک حملہ آور کے زیر کنٹرول کنٹریکٹ کو بائننس کے ہاٹ والٹ پر جزوی کنٹرول دے دیا جو ایکسچینج کے ودڈرا انفراسٹرکچر سے باہر تھے۔ چونکہ والٹ ملٹی پارٹی کمپیوٹیشن استعمال کرتا تھا، انہیں منسوخ کرنے کے لیے کوئی واحد کلید موجود نہیں تھی؛ آخری غیر مجاز منتقلی، 2,961.9 ETH، 23:56 UTC پر طے ہوئی اور 30 اکتوبر کو 00:10 UTC پر ڈیلیگیشن صاف کر دی گئی۔ ٹینگ نے X پر لکھا: "یہ ایک غلطی یا ایک خلاف ورزی نہیں تھی — یہ مہینوں کی مہم تھی۔ ہم پوری رپورٹ اس لیے شائع کر رہے ہیں کیونکہ سبق بائننس سے کہیں آگے جاتے ہیں۔"
بائننس نے کہا کہ اس نے چوری شدہ اثاثوں میں سے تقریباً 2.85 ارب ڈالر منجمد یا روک لیے ہیں اور متاثرہ ٹوکنز کا 98% اپنے فنڈز سے دوبارہ بھر دیا ہے، باقی رقم کھلی منڈی سے خرید لی ہے۔ اس نے کہا کہ اس نے اس سال اسی طرح کے لالچ کا استعمال کرتے ہوئے شمالی کوریا سے منسلک 57 دیگر مشتبہ کوششوں کو ناکام بنایا۔ ایف بی آئی نے اس حملے کی ذمہ داری شمالی کوریا پر ڈالی ہے؛ بائننس کی رپورٹ اس نتیجے کا حوالہ دیتی ہے لیکن خود کوئی ذمہ داری تفویض نہیں کرتی، اور پیانگ یانگ نے پیر کو اس دعوے کو مسترد کرتے ہوئے سرکاری میڈیا کے ذریعے رہنما کم جونگ اُن کی بہن کم یو جونگ نے اسے "سنگین سیاسی اشتعال" قرار دیا۔ ٹینگ کے شیئر کردہ اعداد و شمار کے مطابق، اتوار کو ودڈرا دوبارہ کھلنے کے بعد 46 گھنٹوں میں صارفین نے 10.97 ارب ڈالر نکالے، خالص اخراج 5.28 ارب ڈالر رہا؛ 03:00 UTC تک فی گھنٹہ جمع رقم نکاسی سے زیادہ ہو گئی، اور بائننس نے منگل کو نو نیٹ ورکس پر درجنوں مزید اثاثوں کے لیے ودڈرا دوبارہ کھول دیا۔
یہ خلاف ورزی واشنگٹن میں بحث کا موضوع بن گئی ہے۔ سی ایف ٹی سی کے چیئرمین مائیکل سیلیگ نے کہا کہ ہیک "ہمارے نقطہ نظر کو ثابت کرتا ہے" کہ آف شور ایکسچینجز کے لیے وفاقی رجسٹریشن کا راستہ ضروری ہے، اور منگل کو ایجنسی نے امریکی ریگولیٹڈ مقامات کے لیے ایکویٹی پرپیچوئل فیوچرز کی منظوری دی۔ بائننس نے کہا کہ اس نے والٹ سسٹم اور اندرونی AI ٹول کو نئے ماحول میں دوبارہ تعمیر کیا ہے، متاثرہ آلات تبدیل کیے ہیں، انجینئروں کی اسناد منسوخ کی ہیں، رویے کی بے ضابطگی کی نشاندہی کو بڑھایا ہے اور ایک آزاد جائزہ شروع کر رہا ہے، نیز بیرونی فرموں کے ساتھ AI سیکیورٹی پر ایک تحقیقی فنڈ کا منصوبہ بنا رہا ہے۔ رپورٹ کے مطابق، کچھ تکنیکی تفصیلات نجی رہیں گی۔
پاکستان کے لیے اس کا مطلب: آف شور ایکسچینجز کے پاکستانی صارفین کے لیے، بائننس کی رپورٹ ایک یاد دہانی ہے کہ ان کے فنڈز رکھنے والا پلیٹ فارم کسی مقامی لائسنسنگ نظام سے باہر ہے: PVARA کا ورچوئل اثاثہ سروس فراہم کنندگان کے لیے فریم ورک ابھی تیار کیا جا رہا ہے، اور اسٹیٹ بینک کی کرپٹو ٹریڈنگ پر پابندیاں برقرار ہیں، لہٰذا اس نوعیت کے واقعے کے بعد پاکستانی صارف کا سہارا گھریلو ریگولیٹر کے بجائے ایکسچینج کی اپنی معاوضہ پالیسی ہوگا۔ حملے کا نقطہ آغاز — ایک جائز نوکری کے پلیٹ فارم پر ایک جعلی بھرتی کرنے والا جو ڈویلپر کو نشانہ بنا رہا ہے — پاکستان کے بڑھتے ہوئے ریموٹ Web3 اور سافٹ ویئر کنٹریکٹرز کے لیے بھی براہ راست انتباہ ہے، جو اسی طرح کے لالچ کے لیے اولین ہدف ہیں۔
