اگر آپ کے ملازمین دفتری کمپیوٹر پر نوکری ڈھونڈتے ہیں یا نئے سافٹ ویئر آزماتے ہیں، تو کرپٹو کی تاریخ کی سب سے بڑی چوری ٹھیک اسی راستے سے ہوئی۔ 3 نومبر 2026 کو Binance نے اپنی ابتدائی تحقیقات کے نتائج جاری کیے: 29 اکتوبر کو تقریباً 6.34 ارب ڈالر کو متاثر کرنے والا حملہ ایک انجینئر کے ساتھ دو جعلی جاب انٹرویوز سے شروع ہوا اور ایک کوڈنگ ٹیسٹ پر ختم ہوا جو اس نے اپنے دفتری لیپ ٹاپ پر ڈاؤن لوڈ کیا۔ آپ کی کمپنی کے لیے عملی سبق: دفتری آلات پر بیرونی ریکروٹرز کی کوئی فائل نہیں، منظور شدہ فہرست سے باہر کوئی سافٹ ویئر نہیں، اور کام کی ضرورت سے زیادہ کوئی اختیار نہیں۔ 31 اکتوبر کو ہم نے لکھا تھا کہ آپ کے دستخط کے بغیر آپ کی کمپنی کا پیسہ کون منتقل کر سکتا ہے؛ یہ مضمون اس دروازے کے بارے میں ہے جس سے حملہ آور اندر آیا۔
قدم بہ قدم کیا ہوا؟
Binance کی ابتدائی تحقیقات کی تفصیل کے مطابق حملہ چار مراحل سے گزرا:
- جون 2026: والٹ ٹیم کا ایک انجینئر AI کوڈنگ ٹول تلاش کر رہا تھا اور اس نے میلویئر والا تبدیل شدہ Homebrew انسٹالر ڈاؤن لوڈ کر لیا۔ سیکیورٹی ٹیم نے اسے پکڑ لیا، آلہ تبدیل کیا اور اس کی لاگ ان معلومات بدل دیں، لیکن اس کے اور اس کے ساتھیوں کے بارے میں معلومات پہلے ہی لیک ہو چکی تھیں۔
- ستمبر 2026: خود کو پروجیکٹ ڈائریکٹر ظاہر کرنے والے ایک شخص نے ملازمت کے پلیٹ فارم کے ذریعے دوسرے انجینئر سے رابطہ کیا اور دو انٹرویو لیے: پہلا ایک مبینہ HR نمائندے کے ساتھ ویڈیو کال، پھر ایک فرضی کمپنی کا CEO ہونے کا دعویٰ کرنے والے شخص کے ساتھ۔ دوسرے انٹرویو میں اس سے دفتری کمپیوٹر پر ایک کوڈنگ اسائنمنٹ ڈاؤن لوڈ کرنے کو کہا گیا؛ سیٹ اپ کے دوران نقصان دہ کوڈ چل گیا اور حفاظتی ٹولز اسے پکڑ نہیں سکے۔
- 20 اکتوبر 2026: حملہ آور نے ہیک شدہ کمپیوٹر اور Binance کے ایک اندرونی AI ٹول کو استعمال کرتے ہوئے دو مزید انجینئرز کے کمپیوٹرز پر قبضہ کر لیا۔
- 29 اکتوبر 2026: UTC وقت 17:15 سے 19:56 کے درمیان حملہ آور نے پہلے انجینئر سے چرائی گئی لاگ ان معلومات کے ذریعے تیسرے انجینئر کے کمپیوٹر تک رسائی حاصل کی، ایک کنٹینر لگایا اور ایک نقصان دہ اسکرپٹ چلائی؛ اس کے بعد 20:05 سے 20:09 کے درمیان ہاٹ والٹس سے رقوم منتقل ہوئیں۔
Binance کا کہنا ہے کہ تقریباً 2.85 ارب ڈالر منجمد یا روک لیے گئے، 31 اکتوبر تک متاثرہ اثاثوں کا 98% حصہ پورا کر دیا گیا، اور 2026 کے دوران اس نے شمالی کوریا سے منسلک ہونے کے شبہ والے 57 خطرات کے کیسز پکڑ کر روکے۔ یعنی ایکسچینج نے درجنوں کوششیں ناکام بنائیں، پھر ایک میں پھنس گیا۔
جعلی انٹرویو کامیاب کیوں ہوا؟
کیونکہ یہ فشنگ ای میل جیسا بالکل نہیں لگتا۔ ملازم نے کسی نامعلوم بھیجنے والے کے مشکوک لنک پر کلک نہیں کیا؛ وہ ایک حقیقی نظر آنے والے بھرتی کے عمل میں شامل ہوا: ایک معروف پلیٹ فارم، ویڈیو انٹرویو، اعتماد حاصل کرنے کے لیے اپنے ذاتی اکاؤنٹ کا مواد شیئر کرنے والی HR نمائندہ، اور پھر ایک CEO۔ پروجیکٹ ڈاؤن لوڈ کر کے چلانا ڈویلپر ٹیسٹ کا معمول کا حصہ ہے، اس لیے یہ درخواست کھٹکی نہیں۔
یہ طریقہ نیا نہیں ہے۔ TechCrunch بتاتا ہے کہ CrowdStrike کی ایک رپورٹ نے پچھلے سال امریکی ٹیک کمپنیوں میں ہونے والی تقریباً آدھی دراندازیوں کو ریموٹ IT ملازم یا ریکروٹر بن کر آنے والے شمالی کوریائی افراد سے جوڑا۔ نشانہ صرف کرپٹو ایکسچینج نہیں، بلکہ ہر وہ شخص ہے جس کی سسٹمز یا پیسے تک رسائی ہو۔
دوسری کمزوری: سرچ نتائج سے ڈاؤن لوڈ کیا گیا سافٹ ویئر
کہانی انٹرویو سے شروع نہیں ہوئی۔ تین مہینے پہلے ایک اور انجینئر نے AI ٹول تلاش کرتے ہوئے تبدیل شدہ سافٹ ویئر انسٹال کر لیا تھا۔ یہ بہت سی کمپنیوں میں روز ہوتا ہے: ملازم کسی نئے ٹول کے بارے میں سنتا ہے، اسے تلاش کرتا ہے، پہلے نتیجے پر کلک کرتا ہے اور ایڈمن اختیارات کے ساتھ انسٹال کر دیتا ہے۔ بڑا سبق یہ ہے کہ Binance نے آلہ تبدیل کیا اور پاس ورڈ بدلے، لیکن ٹیم کے بارے میں جو معلومات پہلے ہی لیک ہو چکی تھیں وہ حملہ آور کے پاس رہیں اور اس نے مہینوں بعد انہیں استعمال کیا۔
اس ہفتے آپ کے ملازمین کے آلات کے لیے 6 اصول
- دفتری آلات پر بیرونی بھرتی فائلیں نہیں: کسی بیرونی فریق کا بھیجا ہوا ہر ٹیسٹ، پروجیکٹ یا فائل ایک الگ مشین پر کھولی جائے جس کی کمپنی کے سسٹمز تک رسائی نہ ہو۔ یہی مشورہ TechTarget میں نقل کیے گئے ماہرین کا ہے: انٹرویو کوڈ کو پروڈکشن کے قریب کسی بھی مشین سے دور رکھیں۔
- صرف منظور شدہ فہرست کے سافٹ ویئر: ملازمین سے لوکل ایڈمن اختیارات واپس لیں اور انسٹالیشن اپنے IT ذمہ دار کے ذریعے، کمپنی کی سرکاری ویب سائٹ سے کروائیں، سرچ نتائج کے کسی اشتہار سے نہیں۔
- کم سے کم اختیار: جو پیسہ منتقل کر سکتا ہے یا حساس سسٹمز بدل سکتا ہے، وہ یہ کام ایک مخصوص اکاؤنٹ اور مخصوص آلے سے کرے، اس مشین سے نہیں جس پر وہ براؤزنگ کرتا اور ٹولز آزماتا ہے۔
- اندرونی AI ٹولز کے اختیارات محدود رکھیں: Binance میں ایک اندرونی AI ٹول آلات کے درمیان پل بن گیا۔ جو بھی ٹول ملازمین کے آلات یا آپ کے سسٹمز تک پہنچتا ہے، اسے محدود اختیارات اور اپنے ہر عمل کا ریکارڈ درکار ہے۔
- پکڑ لینا واقعے کا اختتام نہیں: اگر کوئی آلہ ہیک ہو جائے تو صرف اسے بدلنا کافی نہیں۔ فرض کریں کہ اس پر موجود معلومات لیک ہو چکی ہیں، اس سے اور اس کی ٹیم سے منسلک تمام پاس ورڈ، کلیدیں اور ٹوکن بدلیں، اور ساتھیوں کے اکاؤنٹس پر نظر رکھیں۔
- ٹیم کو ملازمت کی پیشکش والی فشنگ کی تربیت دیں: فائل ڈاؤن لوڈ کرنے یا کوڈ چلانے کو کہنے والی پرکشش پیشکش خطرے کی علامت ہے، اور دفتری آلے سے نوکری ڈھونڈنا پوری کمپنی کو خطرے میں ڈالتا ہے۔ اگر آپ ریموٹ بھرتی کرتے ہیں تو کوئی بھی رسائی دینے سے پہلے امیدوار کی شناخت کی تصدیق کریں۔
بنیادی سائبر سیکیورٹی کنٹرولز کیا کہتے ہیں؟
سعودی قومی سائبر سیکیورٹی اتھارٹی (NCA) کے بنیادی سائبر سیکیورٹی کنٹرولز ECC-2:2024 سرکاری اداروں اور ان اداروں کے لیے لازمی ہیں جو اہم قومی بنیادی ڈھانچے کے مالک ہیں، اسے چلاتے ہیں یا اس کی میزبانی کرتے ہیں، اور NCA باقی تمام اداروں کو ان سے فائدہ اٹھانے کی پرزور ترغیب دیتی ہے۔ ان میں سے تین براہ راست اس واقعے پر لاگو ہوتے ہیں:
- کنٹرول 1-10-3: آگاہی پروگرام میں ای میل اور فشنگ سے محفوظ طریقے سے نمٹنا، محفوظ انٹرنیٹ براؤزنگ اور سوشل میڈیا کا محفوظ استعمال شامل ہے۔
- کنٹرول 2-2-3-3: جاننے اور استعمال کی ضرورت، کم سے کم اختیار اور فرائض کی علیحدگی کے اصولوں پر مبنی اجازت۔
- کنٹرول 2-3-3-1: جدید ٹیکنالوجی کے ذریعے ورک اسٹیشنز اور سرورز کا وائرس، مشکوک پروگراموں اور میلویئر سے تحفظ۔
Origami کی رائے
سعودی کمپنیوں میں ہم وہی طرز دیکھتے ہیں جس نے Binance کو گرایا: ایک ہی آلہ جسے ملازم کام، براؤزنگ، مواقع کی تلاش اور ہر نیا ٹول آزمانے کے لیے استعمال کرتا ہے، اور وہ بھی مکمل ایڈمن اختیارات کے ساتھ کیونکہ یہ آسان ہے۔ اگر ملازم خود فائل چلا دے گا تو حملہ آور کو کسی پیچیدہ کمزوری کی ضرورت نہیں۔
حل یہ نہیں کہ ملازمین کو سیکھنے یا AI ٹولز آزمانے سے روکا جائے، بلکہ یہ کہ انہیں ایسی جگہ آزمانے دیا جائے جہاں سے پیسے اور ڈیٹا تک نہ پہنچا جا سکے۔ جب ہم کلائنٹس کے لیے سسٹمز بناتے ہیں تو شروع سے ہی روزمرہ اکاؤنٹس کو خصوصی اختیارات والے اکاؤنٹس سے الگ رکھتے ہیں اور ان تک ہر رسائی کا ریکارڈ رکھتے ہیں۔
نتیجہ
6.34 ارب ڈالر کی نقب کسی سرور کی کمزوری سے نہیں بلکہ ایک جاب انٹرویو اور سرچ سے ڈاؤن لوڈ کی گئی ایپ سے شروع ہوئی۔ اس ہفتے اپنے IT ذمہ دار کے ساتھ ایک گھنٹہ نکالیں: ملازمین سے لوکل ایڈمن اختیارات واپس لیں، منظور شدہ سافٹ ویئر کی فہرست لکھیں، حساس رسائی والے آلات الگ کریں، اور ٹیم کو بتائیں کہ ریکروٹر کی کوئی فائل دفتری آلے پر نہیں کھلے گی۔ اگر آپ اپنے سسٹمز کے اختیارات کا جائزہ چاہتے ہیں تو ہم سے رابطہ کریں یا ہماری خدمات دیکھیں۔
ذرائع
- Binance — Security incident investigation update، 3 نومبر 2026: جون، ستمبر، 20 اکتوبر اور 29 اکتوبر کی ٹائم لائن، دونوں انٹرویوز، منجمد اور پوری کی گئی رقوم، اور 57 خطرات کے کیسز۔
- قومی سائبر سیکیورٹی اتھارٹی (NCA) — Essential Cybersecurity Controls ECC-2:2024: دائرہ کار اور کنٹرولز 1-10-3، 2-2-3-3 اور 2-3-3-1۔
- TechCrunch — Researchers warned of North Korean hacking tactics years before record $6.3B Binance heist، 3 نومبر 2026: CrowdStrike کا عدد اور سابقہ انتباہات۔
- TechTarget — Binance details recruiter impersonation behind $6.3B wallet breach، 3 نومبر 2026: ڈویلپر آلات کے بارے میں ماہرین کا مشورہ۔
- Nextgov/FCW — Binance says fake job interview helped North Korean hackers steal $6.3 billion، نومبر 2026: FBI کی جانب سے حملے کو شمالی کوریا سے منسوب کرنا۔
عام سوالات
ہماری کمپنی کرپٹو میں کام نہیں کرتی۔ کیا Binance ہیک ہم سے متعلق ہے؟
ہاں، کیونکہ حملے کا نشانہ کرپٹو سے متعلق کوئی خاص چیز نہیں بلکہ رسائی رکھنے والا ایک ملازم تھا۔ ایک جعلی جاب انٹرویو اور سرچ نتائج سے ملا ہوا تبدیل شدہ سافٹ ویئر کسی بھی ایسی کمپنی میں نقب لگا سکتا ہے جہاں کوئی ملازم بینک پورٹل، اکاؤنٹنگ سسٹم یا صارفین کے ڈیٹا تک رسائی رکھتا ہو۔
میرے ملازمین کیسے پہچانیں کہ ملازمت کی پیشکش جعلی ہے؟
سب سے واضح علامت یہ ہے کہ اپنے آلے پر کوئی فائل یا پروجیکٹ ڈاؤن لوڈ کر کے چلانے کو کہا جائے، خاص طور پر کسی ایسی کمپنی کے ساتھ جلد بازی کے انٹرویوز کے بعد جس کے بارے میں قابل اعتماد معلومات نہ ملیں۔ پیشکش اصلی لگے تب بھی اصول وہی ہے: ریکروٹر کی کوئی فائل دفتری آلے پر نہیں کھولی جاتی۔
کیا ایسے حملے کو روکنے کے لیے اینٹی وائرس کافی ہے؟
نہیں۔ Binance کے معاملے میں نقصان دہ کوڈ چل گیا اور حفاظتی ٹولز اسے پکڑ نہیں سکے۔ حفاظتی سافٹ ویئر صرف ایک تہہ ہے؛ اس کے ساتھ ملازمین سے لوکل ایڈمن اختیارات واپس لینا، منظور شدہ سافٹ ویئر کی فہرست رکھنا اور حساس رسائی والے آلات کو براؤزنگ والے آلات سے الگ رکھنا ضروری ہے۔
کیا NCA کے بنیادی سائبر سیکیورٹی کنٹرولز میری نجی کمپنی کے لیے لازمی ہیں؟
یہ سرکاری اداروں اور ان اداروں کے لیے لازمی ہیں جو اہم قومی بنیادی ڈھانچے کے مالک ہیں، اسے چلاتے ہیں یا اس کی میزبانی کرتے ہیں۔ باقی کمپنیوں کو قومی سائبر سیکیورٹی اتھارٹی ان کے استعمال کی پرزور ترغیب دیتی ہے، اور آگاہی، رسائی اور آلات کے تحفظ سے متعلق اس کے کنٹرولز ایک تیار جانچ فہرست ہیں۔
