سرقة 6.3 مليار دولار من Binance بدأت ببرنامج Homebrew مزيف على ماك

من Homebrew المزيف إلى مقابلة العمل الوهمية

تعود بداية الهجوم إلى يونيو 2026، حين كان مهندس DevOps في Binance يبحث عن أداة للبرمجة بالذكاء الاصطناعي، فحمّل عبر نتائج بحث جوجل نسخة خبيثة من Homebrew، وهو نظام لإدارة الحزم البرمجية على أجهزة ماك. ووفق ما نشرته Binance، اكتشفت الشركة الواقعة مبكرا ومنعت الضرر المباشر، لكنها لم تدرك أن ذلك سمح للمهاجمين بالتعرف على الموظفين العاملين على محافظها.

واستهدفت البرمجية الخبيثة المسار /opt/homebrew المستخدم على أجهزة ماك بمعالجات Apple Silicon، ما يرجح أن الجهاز كان MacBook بمعالج من سلسلة M.

وفي سبتمبر 2026، استهدف المخترقون مهندسا آخر يعمل على محافظ Binance، وأقنعوه بالمشاركة في مقابلة عمل وهمية. وطُلب منه تنفيذ مهمة برمجية ضمن اختبار التوظيف على جهاز العمل، وهي حيلة شائعة يستغل فيها المهاجمون رغبة الضحية في الحصول على وظيفة لدفعه إلى تشغيل ملفات أو أوامر ضارة. ولم ترصد أنظمة الأمن في Binance هذه المرحلة، وفي 29 أكتوبر ظهرت تفاصيل سرقة المليارات.

اشتباه بكوريا الشمالية

يُشتبه على نطاق واسع في ارتباط المخترقين بكوريا الشمالية، لكن المعلومات المتاحة لا تكشف كل تفاصيل التنفيذ.

والأساليب المستخدمة ليست جديدة، إذ رُصدت في أوائل 2025 إعلانات مزيفة لـ Homebrew في أعلى نتائج جوجل لتوزيع البرمجية الخبيثة Atomic Stealer ضد مستخدمي ماك. ولم تؤكد Binance ما إذا وصل الموظف إلى النسخة المزيفة عبر إعلان مدفوع أم بحث عادي.

وتثير الحادثة تساؤلات حول أمن أجهزة أبل لأن أكبر هجوم من نوعه بدأ من ماك، غير أن أنظمة الحماية لا تستطيع منع المطور من تنفيذ أوامر أو نصوص برمجية يختار تشغيلها بنفسه. وقد تساعد تحذيرات لصق الأوامر في Terminal، التي أضافتها أبل مع macOS 26.4، لكنها لا تضمن إيقاف الهجوم، فالمستخدم الذي يظن أنه يؤدي اختبارا لوظيفة يريدها قد يواصل رغم التحذير.