حریف نامرئی پشت میز پوکر؛ هکری که کارت‌های همه را می‌دید
یک مهاجم با نفوذ به فرایند به‌روزرسانی دو نرم‌افزار پرکاربرد، بدافزار جاسوسی را به رایانه صدها بازیکن رساندند و با دسترسی به کارت‌های مخفی آن‌ها بین ۱.۵ تا ۴ میلیون دلار به دست آوردند.
ماجرا از ۲۵ سپتامبر ۲۰۲۶ آغاز شد؛ زمانی که الکس، بازیکن حرفه‌ای پوکر آنلاین، برای بررسی آمار بازی‌های خود از دستیار هوش مصنوعی Claude کمک گرفت. پایگاه داده آماری او دچار اختلال شده بود و هنگام بررسی مشکل، دستیار هوش مصنوعی متوجه برنامه‌ای ناشناس به نام MeshAgent شد که در پس‌زمینه رایانه فعالیت می‌کرد.
بررسی‌های بیشتر نشان داد این برنامه از ۲۴ آوریل روی سیستم الکس نصب شده و می‌تواند تصویر صفحه‌نمایش را ثبت کند و حتی کنترل کامل رایانه را در اختیار بگیرد. الکس با بررسی سوابق فعالیت این ابزار متوجه شد در ۱۱ نوبت، هنگام بازی در پلتفرم ACR Poker، از صفحه‌نمایش او تصویربرداری شده است. نکته نگران‌کننده‌تر اینکه در ۱۰ مورد از این ۱۱ بازی، بازیکنی با نام کاربری OxOO در بازی حضور داشت.
الکس و دوستانش پیش‌تر نیز به عملکرد این بازیکن مشکوک شده بودند. آمار بردهای او به‌قدری غیرعادی بود که با سطح مهارت بهترین بازیکنان پوکر جهان هم تناسب نداشت. بررسی‌های بعدی نشان داد الکس تنها قربانی این ماجرا نبوده و صدها بازیکن حرفه‌ای طی چند سال هدف حمله‌ای مشابه قرار گرفته‌اند.
هکر چگونه کارت‌های مخفی بازیکنان را می‌دید؟
بررسی‌های کارشناسان امنیت سایبری نشان داد مهاجم برای اجرای این عملیات، سراغ دو نرم‌افزار IntuitiveTables و Jurojin رفته است. این ابزارها میان بازیکنان حرفه‌ای پوکر محبوبیت زیادی دارند و امکان مدیریت هم‌زمان چند میز بازی، ثبت شرط‌ها و اجرای دستورات با میان‌برهای صفحه‌کلید را فراهم می‌کنند.
مهاجم با نفوذ به سامانه به‌روزرسانی نرم‌افزار Jurojin، کد مخرب را در قالب به‌روزرسانی رسمی برای کاربران فرستاد. در مرحله بعد، رایانه توسعه‌دهنده IntuitiveTables نیز از طریق همین نسخه آلوده شد. مهاجم با استفاده از دسترسی به‌دست‌آمده، کد مخربی را به نسخه جدید IntuitiveTables اضافه کرد؛ نسخه‌ای که با گواهی امنیتی توسعه‌دهنده منتشر شد و کاربران آن را از وب‌سایت رسمی دریافت کردند.
به این ترتیب، بدافزار از مسیری وارد رایانه کاربران شد که به طور معمول قابل اعتماد تلقی می‌شود. نرم‌افزار آلوده در ظاهر مانند نسخه اصلی کار می‌کرد، اما در پس‌زمینه نام کاربری بازیکنان را با فهرستی که مهاجم در زیرساخت خود نگهداری می‌کرد، تطبیق می‌داد. اگر نام کاربری در فهرست اهداف قرار داشت، فایل‌های مخرب بیشتری دانلود و اجرا می‌شدند و ابزار MeshAgent امکان دسترسی از راه دور و مشاهده فعالیت‌های کاربر را فراهم می‌کرد.
بر اساس گزارش وایرد، مهاجم با این روش حدود هزار کاربر را در معرض آلودگی قرار داد و فهرست اهداف خود را عمدتاً از میان بازیکنان ثابت میزهای پرمبلغ انتخاب کرد.
میلیون‌ها دلار خسارت و واکنش دیرهنگام پلتفرم‌ها
ردپای این عملیات به سال ۲۰۲۵ بازمی‌گردد؛ زمانی که بازیکنی ناشناس با نام‌های کاربری متفاوت در چند پلتفرم ظاهر شد و با نرخ برد غیرعادی، توجه بازیکنان حرفه‌ای را جلب کرد. برخی قربانیان ابتدا تصور می‌کردند با بازیکنی بسیار ماهر روبه‌رو هستند، اما تداوم بردهای غیرمعمول و تصمیم‌های دقیق او در موقعیت‌های دشوار، تردیدها را افزایش داد.
در ژوئن ۲۰۲۶، یکی از بازیکنان حرفه‌ای پس از یک بازی دونفره دوساعته در پلتفرم ClubWPT Gold، به تقلب حریف مشکوک شد. بررسی‌های بعدی نشان داد این بازیکن همان فردی است که پیش‌تر با نام‌های کاربری دیگری در سایت‌های مختلف بازی می‌کرد.
CoinPoker پس از شناسایی رفتار مشکوک، حساب این بازیکن را مسدود و بیش از ۱۰۰ هزار دلار از مبالغ منتسب به تقلب را به بازیکنان بازگرداند. ClubWPT Gold نیز پس از بررسی گزارش‌ها، حساب او را مسدود و خسارت یکی از قربانیان را جبران کرد.
با این حال، فعالیت مهاجم در پلتفرم‌های دیگر ادامه یافت. برآورد منابع نشان می‌دهد این عملیات بین ۱.۵ تا ۴ میلیون دلار خسارت به بازیکنان وارد کرده است. GGPoker در واکنش به ماجرا، استفاده از ابزارهای جانبی را ممنوع و سامانه شناسایی نرخ برد غیرعادی را به قابلیت‌های امنیتی خود اضافه کرد. این پلتفرم همچنین اعلام کرد برای محدودسازی حساب رمزارزی مرتبط با مهاجم اقدام کرده است.
در مقابل، ACR اعلام کرد بررسی‌هایش شواهدی از دست‌کاری نتایج بازی پیدا نکرده و قصد بازپرداخت خسارت را ندارد؛ هرچند هم‌زمان قابلیتی برای جلوگیری از ثبت تصویر کارت‌های بازیکنان با ابزارهای کنترل از راه دور معرفی کرد.
این پرونده نشان می‌دهد امنیت پلتفرم‌های آنلاین فقط به زیرساخت اصلی آن‌ها وابسته نیست. گاهی یک نرم‌افزار جانبی مورد اعتماد یا یک به‌روزرسانی آلوده می‌تواند راه ورود مهاجمان به اطلاعات حساس کاربران را باز کند. در این ماجرا، بازیکنان تصور می‌کردند در یک رقابت برابر شرکت دارند، درحالی‌که حریف آن‌ها ممکن بود پیش از هر تصمیم، کارت‌هایشان را دیده باشد.
