بائننس ہیک نے ہیکرز کے خلاف کرپٹو کی مشکل جنگ کو ظاہر کیا۔

ایک اشرافیہ شمالی کوریائی Binance سے ہیکنگ گروپ کی 6.3 بلین ڈالر کی چوری کرپٹو کرنسی کی صنعت میں ایک دیرینہ کمزوری کی جانچ کی تجدید کر رہی ہے: ہیکرز کو اندر جانے کے لیے صرف ایک ملازم سے سمجھوتہ کرنے کی ضرورت پڑ سکتی ہے، جبکہ سیکیورٹی کے متضاد طریقے انہیں اس قدم کو بڑے پیمانے پر چوری میں تبدیل کرنے کی اجازت دے سکتے ہیں۔

29 اکتوبر ڈکیتیبائننس کی تحقیقات کے مطابق، جسے ماہرین نے اب تک کی سب سے بڑی کرپٹو کرنسی چوری قرار دیا ہے، جو مہینوں کی منصوبہ بندی اور تیاری کے چند منٹوں میں سامنے آیا۔

سائبرسیکیوریٹی ماہرین نے کہا کہ یہ حملہ نہ صرف اس بارے میں سوالات اٹھاتا ہے کہ کس طرح ایکسچینجز ملازمین کو جدید ترین سوشل انجینئرنگ کے خلاف دفاع کرتے ہیں، بلکہ اس بارے میں بھی کہ آیا ان کے پاس یہ محدود کرنے کے لیے مناسب داخلی کنٹرول موجود ہیں کہ جب کسی ملازم کے کمپیوٹر یا اسناد سے سمجھوتہ کیا جائے تو حملہ آور کیا کرسکتا ہے۔

پڑھیں: بائنانس ہیکرز نے 6.3 بلین ڈالر کے حملے میں نوکری کے جعلی انٹرویو کا استعمال کیا۔

بلاک چین سیکیورٹی فراہم کرنے والے ایس اینڈ پی گلوبل کے اوپن زیپلین کے چیف ٹیکنالوجی آفیسر جوناتھن الیگزینڈر نے کہا کہ سوشل انجینئرنگ انڈسٹری میں ایک اچھی طرح سے سمجھا جانے والا خطرہ ہے۔ اس نے کہا، بڑا سوال یہ ہے کہ ایکسچینجز کے پاس مضبوط داخلی حفاظتی اقدامات اور سرکٹ بریکرز کیوں نہیں ہوتے ہیں تاکہ ایک حملہ آور کو روکنے کے لیے جو ایک انجینئر کے کمپیوٹر کی خلاف ورزی کرتا ہے — جیسا کہ Binance میں ہوا — بڑھتے ہوئے رسائی اور اثاثوں کو منتقل کرنے سے۔

الیگزینڈر نے کہا کہ پوری صنعت میں سائبرسیکیوریٹی کے مختلف طریقوں نے مسئلہ کو مزید پیچیدہ بنا دیا، کچھ کرپٹو کرنسی کے حامیوں کے درمیان ایک دیرینہ نفرت کے ساتھ ان کو کنٹرول کرنے کے لیے وہ بلاکچین کے وکندریقرت اخلاق سے متصادم سمجھتے ہیں جو کبھی کبھی لین دین کی رقم کی حد اور اس کے حقوق کے خودکار جائزوں کے طور پر لین دین کی رقم کی حدوں کو دیکھتا ہے۔

الیگزینڈر نے کہا، “میرے خیال میں یہ غلط ہے، جس نے کچھ لوگوں کو یہ سوچنے پر مجبور کیا ہے کہ سرکٹ بریکر جیسی چیزیں، اکاؤنٹس پر زیادہ کنٹرول جیسی چیزیں، ناقابل قبول ہوں گی یا سنسر شپ سے بچنے کی ضرورت سے بالکل متصادم ہوں گی۔” “میرے خیال میں، آپ کے پاس حفاظتی کنٹرول ہو سکتے ہیں اور اس کے خلاف تحفظات حاصل کر سکتے ہیں۔”

Binance حملہ بڑی cryptocurrency hacks کے سلسلے میں تازہ ترین ہے جس کے نتیجے میں 2021 سے لے کر اب تک $22.3 بلین سے زیادہ کی چوری کی گئی فنڈز بلاکچین انٹیلی جنس فرم Chainalysis کے مطابق ہیں۔ نقصانات کے پیمانے نے اس بات پر بحث تیز کر دی ہے کہ آیا ایکسچینجز کو رسائی، لین دین کے کنٹرول اور دیگر دفاع کے لیے مزید مستقل معیارات کی ضرورت ہے۔

“میں امید کرتا ہوں کہ ہم سائبر سیکیورٹی کی توقعات اور امید ہے کہ سرمایہ کاروں کے تحفظ اور اعتماد کے تقاضوں میں مزید وضاحت اور معیاری کاری دیکھیں گے۔” “یہ چیزیں ظاہر کرتی ہیں کہ اسے کیوں بدلنا ہے۔”

انتہائی نظر آنے والے، پرکشش اہداف

کریپٹو کرنسی ایکسچینجز غیر معمولی طور پر پرکشش اہداف پیش کرتے ہیں کیونکہ ہیکرز آسانی سے قابل منتقلی ڈیجیٹل اثاثوں کی بہت زیادہ رقم رکھنے والے بٹوے کی شناخت کر سکتے ہیں اور بعض صورتوں میں، ان کو کنٹرول کرنے والے سسٹم تک رسائی والے ملازمین۔

اس نے انجینئرز اور IT کارکنوں کو وسیع سماجی انجینئرنگ آپریشنز کے لیے اہم ہدف بنا دیا ہے۔

بلاک چین اور ڈیجیٹل اثاثہ سیکیورٹی فرم پروجیکٹ الیون کے سی ای او ایلکس پروڈن نے کہا کہ محافظوں کو حملہ آوروں کے خلاف ایک بنیادی نقصان کا سامنا کرنا پڑتا ہے جنہیں صرف ایک بار کامیاب ہونے کی ضرورت ہوتی ہے۔

“یہ ایک انتہائی مشکل مسئلہ ہے،” پروڈن نے کہا۔ “سائبرسیکیوریٹی کے بہترین طریقے جو ہمارے پاس اس وقت تک ہیں وہ صرف اس دنیا کے کام پر منحصر نہیں ہیں جس میں ہم اس لحاظ سے رہتے ہیں کہ خطرہ کیا ہے۔”

صنعت میں سائبر سیکیورٹی کے کارکنان، انہوں نے مزید کہا، “مسلسل جنگ کی دنیا میں رہتے ہیں۔ ہم مسلسل حملوں کی زد میں ہیں”۔

مزید پڑھیں: عالمی معیار کے ہیکرز کی شمالی کوریا کی فوج ایک خفیہ ہتھیار ہے جس نے Binance کو نیچے لے لیا۔

پروڈن کو توقع ہے کہ بائنانس چوری سائبرسیکیوریٹی میں زیادہ سرمایہ کاری کی حوصلہ افزائی کرے گی، بشمول اندرونی AI ٹولز اور ایجنٹوں کے ارد گرد حفاظتی اقدامات جو سمجھوتہ کرنے کی صورت میں خود حملہ آور کی صلاحیتوں کو بڑھا سکتے ہیں۔

“ہم اس کہانی کے آغاز کے آغاز میں ہیں، لیکن میں صرف سوچتا ہوں کہ جیسا کہ بائنانس ہیک نے دکھایا، وہ ٹولز بہت، بہت جلد آپ کے خلاف ہو سکتے ہیں اور ایک بار جب یہ ہو جائے تو نقصان کو ختم کرنا بہت مشکل ہو سکتا ہے۔”

کرپٹو کرنسی ایکسچینجز نے پہلے ہی دفاع کو مضبوط بنانے اور بائننس ہیک کے بعد معلومات کے تبادلے میں اضافہ کرنا شروع کر دیا ہے، رائٹرز اطلاع دی 30 اکتوبر۔

پیچ ورک کی نگرانی، ناہموار دفاع

ماہرین کی طرف سے شناخت کردہ غیر مساوی حفاظتی طریقوں کو ایک بکھرے ہوئے امریکی ریگولیٹری نظام کے ذریعے عکس بند کیا گیا ہے۔

بینکوں کے برعکس، یو ایس کریپٹو کرنسی ایکسچینج کسی ایک وفاقی سائبر سیکیورٹی نظام کے تحت کام نہیں کرتے ہیں۔ اس کے بجائے، تقاضے اس بات پر منحصر ہوتے ہیں کہ کمپنیاں کہاں کام کرتی ہیں اور ان کے پاس کون سے ریاستی لائسنس ہیں۔

نیویارک صنعت کی کچھ سخت ترین ضروریات کو نافذ کرتا ہے۔ ریاست کا محکمہ مالیاتی خدمات لائسنس یافتہ کمپنیوں سے سائبرسیکیوریٹی پروگراموں کو برقرار رکھنے، ملٹی فیکٹر توثیق کا استعمال کرنے اور ایک چیف انفارمیشن سیکیورٹی آفیسر کو نامزد کرنے کا مطالبہ کرتا ہے۔

دوسری جگہوں پر، کرپٹو کمپنیاں بنیادی طور پر ریاستی منی ٹرانسمیٹر کے قوانین کے تابع ہو سکتی ہیں۔ ان حکومتوں میں عام طور پر کمپنیوں سے ریگولیٹرز کو ان کے سائبر سیکیورٹی پروگراموں کے بارے میں معلومات فراہم کرنے اور امتحانات سے گزرنے کی ضرورت ہوتی ہے، لیکن اکثر مخصوص تکنیکی کنٹرول، جیسے کہ خفیہ کاری کے معیارات تجویز نہیں کرتے ہیں۔

بہت سے تبادلے امریکہ میں کام نہیں کرتے ہیں اور ان ریاستی نگرانی کے نظام کے تابع نہیں ہیں، حالانکہ وہ جہاں بھی کاروبار کرتے ہیں الگ الگ ضروریات کے تحت کام کر سکتے ہیں۔

اس کے برعکس، بینک وفاقی تقاضوں سے مشروط ہوتے ہیں جن میں خطرے کی تشخیص، نگرانی اور واقعے کے ردعمل کے شعبوں کا احاطہ کیا جاتا ہے، جب کہ سب سے بڑے ادارے وقف نگرانوں کے ذریعے مسلسل امتحانات سے گزرتے ہیں۔