بدأت أكبر سرقة رقمية في التاريخ بمقابلة عمل: بينانس تكشف كيف استُدرج مهندس عبر “مدير مشروع” وهمي و”واجب برمجي”، فكيف تحمي نفسك وأنت تبحث عن عمل؟

ماذا حدث؟

نشرت بينانس، أكبر منصة لتداول العملات المشفرة في العالم، يوم الثلاثاء 3 نوفمبر 2026 تقريراً عن الاختراق الذي سُرق فيه نحو 6.34 مليار دولار في 29 أكتوبر. وتحدث مسؤولوها إلى الصحفيين في اليوم نفسه. وكانت تغطيتنا السابقة (31 أكتوبر و1 نوفمبر) قد تناولت السرقة نفسها، وإعلان مكتب التحقيقات الفدرالي الأمريكي أن كوريا الشمالية تقف وراءها، وتعويض المنصة للمستخدمين. أما الجديد في تقرير 3 نوفمبر فهو كيف دخل المهاجمون، والجواب كان: عبر سوق التوظيف.

بحسب ما نقلته “بليبينغ كمبيوتر” و”ذا هاكر نيوز” و”فورتشن” عن التقرير، تلقى مهندس برمجيات في الشركة، يسميه التقرير “المهندس B”، في سبتمبر 2026 رسالة عبر منصة حقيقية للبحث عن عمل. وقالت “فورتشن” إن المنصة هي لينكدإن. المرسل قدم نفسه بصفته “مدير مشروع” في شركة تبيّن لاحقاً أنها غير موجودة. وكان ملف المهندس على المنصة يذكر خبرته في بينانس، وهذا ما جعله هدفاً ثميناً.

ثم جرت الخدعة على مرحلتين:

1. المقابلة الأولى كانت مكالمة فيديو مباشرة مع “ممثلة موارد بشرية”. وقد شاركت معه حساباً على وسائل التواصل فيه صور ومقاطع شخصية، لتكسب ثقته.
2. المقابلة الثانية جرت عبر تطبيق دردشة شائع مع شخص قدّم نفسه رئيساً تنفيذياً للشركة الوهمية. وفي نهايتها طُلب من المهندس تنزيل “واجب” من مستودع برمجي على حاسوب العمل.

وكان المستودع يحمل شيفرة خبيثة تعمل تلقائياً أثناء خطوات الإعداد، ولم تكتشفها أدوات الحماية في الجهاز. واستبدلت الشيفرة مكوّناً من أداة تطوير شرعية بنسخة مزيفة تتلقى الأوامر من خادم يتحكم فيه المهاجمون.

الأرقام والتسلسل

• يونيو 2026: مهندس آخر في فريق تشغيل المحافظ (“المهندس A”) نزّل نسخة معدّلة من أداة تطوير شائعة وصل إليها عبر محرك بحث أو إعلان. اكتشفت الشركة ذلك، لكن المهاجمين عرفوا دوره وزملاءه.
• سبتمبر 2026: مقابلتا العمل الوهميتان مع “المهندس B”.
• 20 أكتوبر: استخدم المهاجمون حاسوب “المهندس B” وأداة ذكاء اصطناعي داخلية للسيطرة على حسابي مهندسين آخرين، ووجدوا رمز صلاحية لنشر الحاويات على حاسوب أحدهما.
• 29 أكتوبر، من 17:15 إلى 19:56: نُفذت التحويلات غير المصرح بها عبر خدمة توقيع المحافظ.
• 6.34 مليار دولار: قيمة المسروقات، جُمّد أو اعتُرض منها نحو 2.85 مليار حتى 3 نوفمبر، بحسب “بليبينغ كمبيوتر”.
• 57: محاولة اختراق مرتبطة بكوريا الشمالية قالت بينانس إنها أحبطتها منذ بداية 2026.

شرح مبسط: لماذا “الواجب البرمجي” سلاح مثالي؟

في التوظيف التقني صار الواجب المنزلي جزءاً طبيعياً من المقابلة: “نزّل هذا المستودع، شغّله، وأصلح الخلل”. والمرشح المتحمس ينفذ ذلك دون تردد، لأن الرفض قد يعني خسارة الوظيفة. وهنا الثغرة. فتشغيل أي مشروع برمجي يعني غالباً تثبيت حزم وتشغيل نصوص إعداد تلقائية، وهذه النصوص تستطيع أن تفعل أي شيء بصلاحيات المستخدم.

وتذكّر “بليبينغ كمبيوتر” بأن هذا الأسلوب معروف في حملات تنسبها شركات الأمن إلى كوريا الشمالية، وتسميها “المقابلة المُعدية” (Contagious Interview) و”عملية الوظيفة الحلم” (Operation Dream Job). ففي يونيو 2025 مثلاً رصدت شركة “سوكيت” منتحلين لصفة مسؤولي توظيف على لينكدإن يرسلون لمطورين واجبات برمجية فيها حزم npm خبيثة. وقالت بينانس نفسها إن الأساليب التي رصدتها هذا العام تشمل مقابلات العمل المزيفة، وبرامج خبيثة متنكرة في صورة أدوات تطوير شائعة، وحزماً برمجية وإضافات متصفح مخترقة، وتطبيقات مؤتمرات فيديو مزيفة.

تحليل: المهندس الباحث عن عمل صار “سطح هجوم”

أرى أن أخطر ما في القصة ليس براعة البرنامج الخبيث، بل أن الطُعم كان طموحاً مهنياً مشروعاً. فالمهندس لم يضغط رابطاً مريباً في بريد مجهول، بل فعل ما يفعله كل مهندس يبحث عن فرصة أفضل: رد على رسالة توظيف، وحضر مقابلتين، ونفذ الاختبار المطلوب.

وهناك ثلاث ملاحظات:

الأولى أن ملفك المهني هو خريطة للمهاجم. ملف المهندس كان يذكر خبرته في بينانس، فاختاره المهاجمون بسببه. وقال متحدث باسم بينانس لـ”فورتشن” إن الموظفين في الأدوار غير الظاهرة للجمهور ممنوعون من الاحتفاظ بملفات على لينكدإن، ورفض أن يقول إن كان المهندس قد خالف السياسة. هذا الحظر غير عملي لمعظم المهندسين في رأيي، لكنه يطرح سؤالاً مشروعاً: كم من التفاصيل التقنية عن عملك الحالي تحتاج فعلاً أن تكتبها علناً؟

الثانية أن حاسوب العمل لا يصلح أبداً لمقابلة عمل خارجية. والخطأ هنا مهني قبل أن يكون أمنياً، لأن صاحب العمل لم يأذن بتشغيل شيفرة غريبة على جهاز متصل بأنظمته.

الثالثة أن الخطر لا يقتصر على العملات المشفرة. كل مهندس يعمل على أنظمة حساسة، في الطاقة أو المياه أو الاتصالات أو المصانع، يملك قيمة عند المهاجم. والمهندسون العرب الذين يبحثون عن عمل في الخليج أو خارجه عبر لينكدإن يتلقون رسائل توظيف كثيرة، ولا يجيد معظمنا التمييز بين المسؤول الحقيقي والمنتحل.

دروس عملية للمهندس الباحث عن عمل

1. لا تشغّل أي واجب مقابلة على حاسوب العمل. ولا على جهازك الشخصي الذي فيه كلمات مرورك وحساباتك. استخدم آلة افتراضية أو حاوية معزولة تحذفها بعد الاختبار.
2. اقرأ قبل أن تشغّل. افتح ملفات الإعداد ونصوص التثبيت التلقائية، مثل أقسام scripts في ملف package.json، قبل تنفيذ أي أمر. وإن لم تفهم ما يفعله سطر ما، فلا تشغّله.
3. تحقق من الشركة خارج المحادثة. ابحث عن سجلها التجاري وموقعها الرسمي وصفحة الوظائف فيه، وراسلها عبر عنوان من موقعها لا من الرسالة.
4. انتقال المقابلة إلى تطبيق دردشة علامة تحذير. الشركات الجادة تستخدم عادة قنواتها الرسمية. وطلب تنزيل ملف في نهاية مقابلة مستعجلة علامة أخرى.
5. راجع ما يكشفه ملفك المهني. اذكر مهاراتك وإنجازاتك، لكن لا تكتب تفاصيل الأنظمة الداخلية والأدوات والصلاحيات التي تعمل عليها.
6. إن شككت، أبلغ فريق الأمن في شركتك فوراً. الإبلاغ المبكر عن رسالة مريبة لا يضرك، أما الصمت بعد تشغيل ملف مريب فقد يكلف شركتك، كما رأينا، مليارات.

المصادر

• بليبينغ كمبيوتر، “Binance says fake job interview led to $6.3 billion crypto heist” (3 نوفمبر 2026)
• ذا هاكر نيوز، “Binance Reveals How Fake Job Interviews and AI Tool Abuse Led to $6.43 Billion Theft” (3 نوفمبر 2026)
• فورتشن، “North Korea used LinkedIn, fake job interviews to trick Binance engineer in $6.3 billion hack” (3 نوفمبر 2026)
• ياهو فاينانس، “Fake job interviews helped hackers pull off Binance’s record crypto heist” (3 نوفمبر 2026)