Binance: Wawancara Kerja Palsu dan AI Diretas Picu Peretasan $6,3 Miliar

Perangkat Lunak yang Diretas dan Rekayasa Sosial

Dalam laporan yang diterbitkan pada Selasa, Binance menguraikan kampanye yang berlangsung selama berbulan-bulan, yang dimulai sejak Juni dan mencapai puncaknya pada pencurian 29 Oktober. Bursa tersebut menyatakan bahwa para penyerang memanfaatkan akses ke layanan penandatanganan dompet internal, melewati prosedur penarikan normal untuk memindahkan miliaran dolar melintasi berbagai blockchain.

Penyelidikan mengidentifikasi beberapa tahap serangan, termasuk upaya sebelumnya pada Juni ketika seorang insinyur dompet mengunduh versi yang disusupi dari penginstal perangkat lunak Homebrew saat mencoba menginstal alat pemrograman AI. Binance menyatakan bahwa tim keamanannya mendeteksi ancaman tersebut, mengganti perangkat karyawan tersebut, dan mengubah kredensial yang terkait, namun insiden tersebut mengungkap informasi mengenai personel infrastruktur dompetnya.

Sebuah pelanggaran yang lebih serius terjadi pada bulan September, ketika seorang insinyur Binance lainnya dihubungi melalui platform perekrutan yang sah oleh seseorang yang menyamar sebagai perekrut. Karyawan tersebut mengikuti dua wawancara, termasuk panggilan video dengan seseorang yang mengaku sebagai perwakilan sumber daya manusia dan panggilan lain dengan seseorang yang mengaku memimpin perusahaan fiktif.

Selama wawancara kedua, karyawan tersebut diperintahkan untuk mengunduh tugas pemrograman yang berisi perangkat lunak berbahaya ke komputer kerjanya.

Malware tersebut menggantikan komponen alat pengembang yang sah, sehingga memungkinkan penyerang untuk menjalankan perintah dan berkomunikasi dengan server eksternal. Binance menyatakan bahwa malware yang sebelumnya tidak diketahui tersebut berhasil mengelabui perangkat lunak keamanannya saat berusaha menyembunyikan bukti adanya pelanggaran.

Pada 20 Oktober, para penyerang menggunakan perangkat yang telah disusupi dan alat AI internal untuk mendapatkan akses ke dua insinyur lainnya. Mereka kemudian memperoleh kredensial yang memungkinkan mereka untuk menginstal perangkat lunak di dalam infrastruktur dompet Binance.

Pada 29 Oktober, para penyerang menggunakan kredensial tersebut untuk mengakses operasi penandatanganan dompet dan memulai transfer tidak sah yang melibatkan 18.270 BTC, 233,46 juta XRP, sekitar 970.500 SOL, dan 44,2 juta OP, di antara aset-aset lainnya.

Para peretas juga memanfaatkan mekanisme otorisasi EIP-7702 Ethereum, yang memungkinkan kontrak pintar untuk mengeksekusi transaksi atas nama suatu akun. Dengan membuat otorisasi berbahaya, mereka memperoleh kemampuan untuk memindahkan aset dari dompet panas Binance bahkan setelah bursa tersebut menangguhkan penarikan normal.

Binance menyatakan bahwa para penyerang mengirimkan 50 transaksi penandatanganan untuk memanipulasi urutan transaksi akun dan menetapkan izin-izin tersebut. Penggunaan teknologi komputasi multipihak oleh bursa tersebut mempersulit upaya untuk mencabut otorisasi tersebut, sehingga memerlukan prosedur khusus untuk mendapatkan kembali kendali.

Transfer tidak sah terakhir, yang melibatkan sekitar 2.962 ETH, diselesaikan sesaat sebelum tengah malam UTC pada 29 Oktober. Binance mencabut delegasi jahat tersebut tak lama setelahnya.

Binance Bangkit Kembali dari Peretasan Terbesar dalam Sejarah

Temuan ini melengkapi liputan sebelumnya dari Bitcoin.com News mengenai komentar dari co-CEO Binance, Richard Teng, yang menyatakan bahwa operasi tersebut melibatkan beberapa titik pelanggaran dan teknik penghancuran bukti, bukan hanya satu karyawan yang disusupi.

Bursa tersebut juga mengutip atribusi FBI yang menuding Korea Utara sebagai pelaku serangan. Sebagaimana dilaporkan sebelumnya oleh Bitcoin.com News, perusahaan intelijen blockchain TRM Labs dan Chainalysis secara terpisah mengaitkan pencurian tersebut dengan operasi peretasan Korea Utara. Pimpinan Korea Utara sejak itu membantah tuduhan tersebut, menyebut pernyataan FBI sebagai “provokasi politik.”

Binance menyatakan bahwa aset yang dicuri senilai sekitar $2,85 miliar telah dibekukan atau disita berdasarkan pembaruan terbarunya. Perusahaan tersebut telah berkomitmen untuk menanggung dampak finansialnya sendiri dan melaporkan bahwa 98% aset token yang terdampak telah diganti per 31 Oktober, dengan pembelian masih berlanjut untuk mata uang kripto yang kurang likuid.

Bursa tersebut menyatakan telah membangun kembali sistem dompet yang terdampak, mengganti perangkat karyawan yang diretas, mencabut kredensial yang terekspos, dan memperluas pemantauan keamanan berbasis kecerdasan buatan (AI). Mereka juga sedang menginisiasi tinjauan keamanan siber independen serta menjajaki pendirian dana penelitian keamanan yang berfokus pada ancaman yang melibatkan kecerdasan buatan.

Pemulihan ini terjadi saat para penyelidik terus melacak dana yang dicuri. Bitcoin.com News melaporkan pada Senin bahwa perusahaan analisis blockchain Elliptic berhasil melacak aset yang dicuri melalui sekitar 12.000 dompet di 11 blockchain dalam waktu kurang dari empat hari.

Binance menekankan bahwa penyelidikannya masih berlangsung dan bahwa beberapa temuan teknis akan menjalani verifikasi independen sebelum perusahaan merilis informasi tambahan.