Binance: finto colloquio e AI compromessi dietro hack da 6,3 miliardi

Software compromesso e ingegneria sociale

In un rapporto pubblicato martedì, Binance ha descritto una campagna durata mesi, iniziata già a giugno e culminata nel furto del 29 ottobre. L’exchange ha affermato che gli autori dell’attacco hanno sfruttato l’accesso a un servizio interno di firma dei portafogli, aggirando le normali procedure di prelievo per trasferire miliardi di dollari su più blockchain.

L’indagine ha individuato diverse fasi dell’attacco, tra cui un precedente tentativo a giugno, quando un ingegnere addetto ai portafogli ha scaricato una versione compromessa del programma di installazione del software Homebrew mentre cercava di installare uno strumento di programmazione basato sull’intelligenza artificiale. Binance ha dichiarato che il proprio team di sicurezza ha rilevato la minaccia, sostituito il dispositivo del dipendente e modificato le credenziali associate, ma l’incidente ha reso pubbliche informazioni relative al personale addetto all’infrastruttura dei portafogli.

A settembre si è verificata una violazione più grave, quando un altro ingegnere di Binance è stato contattato tramite una piattaforma di reclutamento legittima da qualcuno che si spacciava per un reclutatore. Il dipendente ha partecipato a due colloqui, tra cui una videochiamata con un presunto rappresentante delle risorse umane e un’altra con qualcuno che sosteneva di dirigere un’azienda fittizia.

Durante il secondo colloquio, al dipendente è stato chiesto di scaricare su un computer di lavoro un compito di programmazione contenente software dannoso. Il malware ha sostituito un componente legittimo dello strumento di sviluppo, consentendo agli aggressori di eseguire comandi e comunicare con un server esterno. Binance ha dichiarato che il malware, fino ad allora sconosciuto, è riuscito a eludere il proprio software di sicurezza mentre tentava di nascondere le prove della compromissione.

Il 20 ottobre, gli aggressori hanno utilizzato il dispositivo compromesso e uno strumento interno di intelligenza artificiale per ottenere l’accesso a due ulteriori ingegneri. Successivamente hanno ottenuto le credenziali che hanno permesso loro di distribuire software all’interno dell’infrastruttura dei portafogli di Binance.

Il 29 ottobre, gli aggressori hanno utilizzato tali credenziali per accedere alle operazioni di firma del portafoglio e avviare trasferimenti non autorizzati che hanno coinvolto 18.270 BTC, 233,46 milioni di XRP, circa 970.500 SOL e 44,2 milioni di OP, oltre ad altre risorse.

Gli hacker hanno inoltre sfruttato il meccanismo di autorizzazione EIP-7702 di Ethereum, che consente agli smart contract di eseguire transazioni per conto di un account. Stabilendo autorizzazioni dannose, hanno acquisito la capacità di trasferire asset da un hot wallet di Binance anche dopo che l’exchange aveva sospeso i normali prelievi.

Binance ha dichiarato che gli aggressori hanno inviato 50 transazioni di firma per manipolare la sequenza delle transazioni dell’account e stabilire tali autorizzazioni. L’uso da parte dell’exchange della tecnologia di calcolo multipartitico ha complicato gli sforzi per revocare le autorizzazioni, richiedendo una procedura specializzata per riprendere il controllo.

L’ultimo trasferimento non autorizzato, riguardante circa 2.962 ETH, è stato finalizzato poco prima della mezzanotte UTC del 29 ottobre. Binance ha revocato la delega dannosa poco dopo.

Binance si riprende dall’attacco hacker da record

Questi risultati approfondiscono la precedente copertura di Bitcoin.com News sui commenti del co-CEO di Binance Richard Teng, il quale ha affermato che l’operazione ha coinvolto molteplici punti di violazione e tecniche di distruzione delle prove, piuttosto che un singolo dipendente compromesso.

L’exchange ha inoltre citato l’attribuzione dell’attacco alla Corea del Nord da parte dell’FBI. Come riportato in precedenza da Bitcoin.com News, le società di analisi blockchain TRM Labs e Chainalysis hanno collegato separatamente il furto alle operazioni di hacking nordcoreane. Da allora, la leadership nordcoreana ha negato tali accuse, definendo la dichiarazione dell’FBI una «provocazione politica».

Binance ha dichiarato che, secondo il suo ultimo aggiornamento, circa 2,85 miliardi di dollari in asset rubati sono stati congelati o intercettati. L’azienda si è impegnata a coprire autonomamente l’impatto finanziario e ha riferito che, al 31 ottobre, il 98% degli asset in token interessati era stato reintegrato, mentre proseguono gli acquisti per le criptovalute meno liquide.

L’exchange ha dichiarato di aver nel frattempo ricostruito i sistemi di wallet interessati, sostituito i dispositivi dei dipendenti compromessi, revocato le credenziali esposte e ampliato il proprio monitoraggio di sicurezza basato sull’intelligenza artificiale. Sta inoltre commissionando una revisione indipendente sulla sicurezza informatica e valutando la creazione di un fondo di ricerca sulla sicurezza incentrato sulle minacce legate all’intelligenza artificiale. Il recupero avviene mentre gli investigatori continuano a rintracciare i fondi rubati. Bitcoin.com News ha riportato lunedì che la società di analisi blockchain Elliptic ha rintracciato gli asset rubati attraverso circa 12.000 portafogli distribuiti su 11 blockchain in meno di quattro giorni. Binance ha sottolineato che le indagini sono ancora in corso e che alcuni risultati tecnici saranno sottoposti a verifica indipendente prima che la società rilasci ulteriori informazioni.