Investing.com - كشفت منصة تبادل العملات الرقمية الشهيرة كوين بيز عن قيام جهة بسرقة عملات رقمية من 6000 عميل لديها بعد استخدام ثغرة أمنية لتجاوز ميزة أمان متعدد المراحل عن طريق الرسائل النصية القصيرة للشركة، حسبما ذكر موقع BleepingComputer.
وتعد كوين بيز هي ثاني أكبر بورصة للعملات الرقمية في العالم، مع ما يقرب من 68 مليون مستخدم من أكثر من 100 دولة.
أوضحت كوين بيز في إشعار تم إرساله إلى العملاء المتأثرين أنه في الفترة ما بين مارس و 20 مايو 2021، أجرى أحد القراصنة الإلكترونيين حملة اختراق لحسابات عملاء كوين بيز بسرقة العملات الرقمية الخاصة بهم.
لتنفيذ الهجوم، تقول كوين بيز إن المهاجمين احتاجو إلى معرفة عنوان البريد الإلكتروني للعميل وكلمة المرور ورقم الهاتف المرتبط بحساب كوين بيز الخاص بهم والوصول إلى حساب البريد الإلكتروني للضحية.
في حين أنه من غير المعروف كيف تمكن المهاجمون من الوصول إلى هذه المعلومات، إلا أن حملات التصيد الاحتيالي التي تستهدف عملاء كوين بيز لسرقة بيانات اعتماد الحساب أصبحت شائعة. ومن المعروف أيضًا أن أحصنة طروادة المصرفية المستخدمة تقليديًا لسرقة الحسابات المصرفية عبر الإنترنت تسرق حسابات كوين بيز
ثغرة MFA سمحت بالوصول إلى الحسابات
حتى إذا كان المتسلل لديه حق الوصول إلى بيانات اعتماد عميل كوين بيز وحساب البريد الإلكتروني، فإنه يتم منعه عادةً من تسجيل الدخول إلى حساب إذا كان العميل قد فعل نظام التمكين متعدد المراحل.
وفي دليل كوين بيز حول تأمين الحسابات، يوصون بتمكين نظام المصادقة ثنائي العوامل (MFA) باستخدام مفاتيح الأمان، أو كلمات المرور المستندة إلى الوقت (TOTP) مع تطبيق المصادقة، أو الرسائل النصية القصيرة كحل أخير.
ومع ذلك، تشير كوين بيز إلى وجود ثغرة أمنية في عملية استرداد حساب الرسائل القصيرة، مما يسمح للمتسللين بالحصول على رمز المصادقة ثنائي العامل للرسائل النصية القصيرة اللازمة للوصول إلى حساب آمن.
"حتى مع المعلومات الموضحة أعلاه، يلزم المصادقة الإضافية للوصول إلى حساب كوين بيز الخاص بك"، أوضح إشعار كوين بيز للعملاء الذي شاهده BleepingComputer.
"ومع ذلك، في هذه الحادثة، بالنسبة للعملاء الذين يستخدمون الرسائل النصية القصيرة للمصادقة ذات العاملين، استفاد الطرف الثالث من وجود خلل في عملية استرداد حساب الرسائل القصيرة في كوين بيز من أجل تلقي رمز مصادقة ثنائية الرسائل النصية القصيرة والوصول إلى حسابك . "
نظرًا لأن خطأ كوين بيز سمح للجهات الفاعلة بالتهديد بالوصول إلى ما يُعتقد أنه حسابات مؤمنة، تقوم البورصة بإيداع الأموال في الحسابات المتأثرة بما يعادل المبلغ المسروق.