Binance atribuye hack de 6.3 mil millones a entrevista falsa y IA comprometida

Software comprometido e ingeniería social

En un informe publicado el martes, Binance describió una campaña de varios meses de duración que comenzó ya en junio y culminó con el robo del 29 de octubre. La plataforma de intercambio señaló que los atacantes se aprovecharon del acceso a un servicio interno de firma de carteras, eludiendo los procedimientos normales de retirada para transferir miles de millones de dólares a través de múltiples blockchains.

La investigación identificó varias fases del ataque, incluido un intento anterior en junio, cuando un ingeniero de carteras descargó una versión comprometida del instalador del software Homebrew al intentar instalar una herramienta de programación de IA. Binance afirmó que su equipo de seguridad detectó la amenaza, sustituyó el dispositivo del empleado y cambió las credenciales asociadas, pero el incidente dejó al descubierto información sobre el personal encargado de la infraestructura de carteras.

En septiembre se produjo una filtración de mayores consecuencias, cuando alguien que se hacía pasar por un reclutador se puso en contacto con otro ingeniero de Binance a través de una plataforma de empleo legítima. El empleado participó en dos entrevistas, incluida una videollamada con un supuesto representante de recursos humanos y otra con alguien que afirmaba dirigir una empresa ficticia.

Durante la segunda entrevista, se le indicó al empleado que descargara en un ordenador de trabajo una tarea de programación que contenía software malicioso. El malware sustituyó un componente legítimo de una herramienta de desarrollo, lo que permitió a los atacantes ejecutar comandos y comunicarse con un servidor externo. Binance afirmó que el malware, hasta entonces desconocido, eludió su software de seguridad mientras intentaba ocultar las pruebas de la intrusión.

El 20 de octubre, los atacantes utilizaron el dispositivo comprometido y una herramienta interna de inteligencia artificial para acceder a otros dos ingenieros. Posteriormente, obtuvieron credenciales que les permitieron implementar software dentro de la infraestructura de carteras de Binance.

El 29 de octubre, los atacantes utilizaron esas credenciales para acceder a las operaciones de firma de carteras e iniciar transferencias no autorizadas que afectaron a 18 270 BTC, 233,46 millones de XRP, aproximadamente 970 500 SOL y 44,2 millones de OP, entre otros activos.

Los hackers también aprovecharon el mecanismo de autorización EIP-7702 de Ethereum, que permite a los contratos inteligentes ejecutar transacciones en nombre de una cuenta. Al establecer autorizaciones maliciosas, consiguieron la capacidad de mover activos desde una cartera «en caliente» de Binance incluso después de que la plataforma suspendiera las retiradas habituales.

Binance afirmó que los atacantes enviaron 50 transacciones de firma para manipular la secuencia de transacciones de la cuenta y establecer dichos permisos. El uso por parte de la plataforma de la tecnología de computación multipartita complicó los esfuerzos para revocar las autorizaciones, lo que requirió un procedimiento especializado para recuperar el control.

La última transferencia no autorizada, que ascendió a aproximadamente 2.962 ETH, se completó poco antes de la medianoche (UTC) del 29 de octubre. Binance revocó la delegación maliciosa poco después.

Binance se recupera de un ataque informático sin precedentes

Estas conclusiones amplían la cobertura anterior de Bitcoin.com News sobre los comentarios del codirector ejecutivo de Binance, Richard Teng, quien afirmó que la operación implicó múltiples puntos de vulnerabilidad y técnicas de destrucción de pruebas, en lugar de un único empleado comprometido.

La plataforma también citó la atribución del ataque a Corea del Norte por parte del FBI. Tal y como informó anteriormente Bitcoin.com News, las empresas de inteligencia de blockchain TRM Labs y Chainalysis vincularon por separado el robo a operaciones de piratería informática norcoreanas. Desde entonces, los dirigentes norcoreanos han negado esas acusaciones, calificando la declaración del FBI de «provocación política».

Binance afirmó que, según su última actualización, se habían congelado o interceptado aproximadamente 2.85 mil millones de dólares en activos robados. La empresa se ha comprometido a cubrir por sí misma el impacto financiero e informó de que, a 31 de octubre, se había repuesto el 98 % de los activos en tokens afectados, y que continuaban las compras de las criptomonedas menos líquidas.

La plataforma de intercambio afirmó que, desde entonces, ha reconstruido los sistemas de monederos afectados, ha sustituido los dispositivos de los empleados comprometidos, ha revocado las credenciales expuestas y ha ampliado su supervisión de seguridad basada en inteligencia artificial. Asimismo, está encargando una revisión independiente de ciberseguridad y estudiando la creación de un fondo de investigación en seguridad centrado en las amenazas relacionadas con la inteligencia artificial. La recuperación se produce mientras los investigadores continúan rastreando los fondos robados. Bitcoin.com News informó el lunes de que la empresa de análisis de cadenas de bloques Elliptic rastreó los activos robados a través de aproximadamente 12 000 carteras repartidas en 11 cadenas de bloques en menos de cuatro días. Binance hizo hincapié en que su investigación sigue en curso y que algunos hallazgos técnicos se someterán a una verificación independiente antes de que la empresa publique información adicional.