Binance: nep-sollicitatiegesprek en gehackte AI-tools leidden tot $6,3 mrd hack

Gecompromitteerde software en social engineering

In een rapport dat dinsdag werd gepubliceerd, schetste Binance een maandenlange campagne die al in juni begon en culmineerde in de diefstal van 29 oktober. De beurs zei dat de aanvallers misbruik maakten van toegang tot een interne dienst voor het ondertekenen van wallets, waarbij ze de normale opnameprocedures omzeilden om miljarden dollars over meerdere blockchains te verplaatsen.

Uit het onderzoek kwamen verschillende fasen van de aanval naar voren, waaronder een eerdere poging in juni toen een wallet-engineer een gecompromitteerde versie van het Homebrew-installatieprogramma downloadde tijdens een poging om een AI-codeertool te installeren. Binance verklaarde dat het beveiligingsteam de dreiging had gedetecteerd, het apparaat van de medewerker had vervangen en de bijbehorende inloggegevens had gewijzigd, maar dat het incident informatie over het personeel van de wallet-infrastructuur had blootgelegd.

In september volgde een inbreuk met grotere gevolgen, toen een andere Binance-ingenieur via een legitiem vacatureplatform werd benaderd door iemand die zich voordeed als recruiter. De medewerker nam deel aan twee sollicitatiegesprekken, waaronder een videogesprek met een vermeende HR-vertegenwoordiger en een ander met iemand die beweerde leiding te geven aan een fictief bedrijf.

Tijdens het tweede sollicitatiegesprek kreeg de medewerker de opdracht om een programmeeropdracht met daarin kwaadaardige software op een werkcomputer te downloaden.

De malware verving een legitiem onderdeel van een ontwikkelaarstool, waardoor aanvallers commando’s konden uitvoeren en konden communiceren met een externe server. Binance verklaarde dat de tot dan toe onbekende malware de beveiligingssoftware wist te omzeilen terwijl deze probeerde bewijsmateriaal van de inbreuk te verbergen.

Op 20 oktober gebruikten de aanvallers het gecompromitteerde apparaat en een interne AI-tool om toegang te krijgen tot nog twee ingenieurs. Vervolgens verkregen ze inloggegevens waarmee ze software konden implementeren binnen de wallet-infrastructuur van Binance.

Op 29 oktober gebruikten de aanvallers die inloggegevens om toegang te krijgen tot ondertekeningsprocessen van wallets en om ongeautoriseerde overboekingen te initiëren, waarbij onder andere 18.270 BTC, 233,46 miljoen XRP, ongeveer 970.500 SOL en 44,2 miljoen OP betrokken waren.

De hackers maakten ook misbruik van het EIP-7702-autorisatiemechanisme van Ethereum, waarmee slimme contracten transacties namens een account kunnen uitvoeren. Door kwaadaardige autorisaties in te stellen, kregen ze de mogelijkheid om activa uit een Binance-hotwallet over te hevelen, zelfs nadat de beurs de normale opnames had opgeschort.

Binance verklaarde dat de aanvallers 50 ondertekeningstransacties hadden ingediend om de transactievolgorde van de account te manipuleren en die machtigingen vast te leggen. Het gebruik van multiparty computation-technologie door de beurs bemoeilijkte de pogingen om de autorisaties in te trekken, waardoor een gespecialiseerde procedure nodig was om de controle terug te krijgen.

De laatste ongeautoriseerde overboeking, waarbij ongeveer 2.962 ETH betrokken was, werd kort voor middernacht UTC op 29 oktober voltooid. Binance heeft de kwaadwillige delegatie kort daarna ingetrokken.

Binance herstelt zich van recordhack

De bevindingen vormen een aanvulling op eerdere berichtgeving van Bitcoin.com News over opmerkingen van Richard Teng, mede-CEO van Binance, die zei dat de operatie meerdere inbraakpunten en technieken voor het vernietigen van bewijsmateriaal omvatte, in plaats van dat er sprake was van één enkele gecompromitteerde medewerker.

De beurs verwees ook naar de toeschrijving van de aanval aan Noord-Korea door de FBI. Zoals eerder gemeld door Bitcoin.com News, brachten blockchain-inlichtingenbedrijven TRM Labs en Chainalysis de diefstal afzonderlijk in verband met Noord-Koreaanse hackoperaties. De Noord-Koreaanse leiders hebben die beschuldigingen sindsdien ontkend en noemden de verklaring van de FBI een „politieke provocatie”.

Binance meldde dat op het moment van de laatste update ongeveer 2,85 miljard dollar aan gestolen activa was bevroren of onderschept. Het bedrijf heeft toegezegd de financiële gevolgen zelf te dekken en meldde dat 98% van de getroffen token-activa op 31 oktober was aangevuld, waarbij de aankopen voor minder liquide cryptovaluta’s worden voortgezet.

De beurs zei dat het sindsdien de getroffen walletsystemen heeft hersteld, gecompromitteerde apparaten van medewerkers heeft vervangen, blootgestelde inloggegevens heeft ingetrokken en zijn door AI aangestuurde beveiligingsmonitoring heeft uitgebreid. Het laat ook een onafhankelijk cyberbeveiligingsonderzoek uitvoeren en onderzoekt de mogelijkheid van een fonds voor beveiligingsonderzoek dat zich richt op bedreigingen waarbij kunstmatige intelligentie een rol speelt.

Het herstel vindt plaats terwijl onderzoekers doorgaan met het opsporen van de gestolen middelen. Bitcoin.com News meldde maandag dat blockchain-analysebedrijf Elliptic de gestolen activa in minder dan vier dagen heeft getraceerd via ongeveer 12.000 wallets verspreid over 11 blockchains.

Binance benadrukte dat het onderzoek nog steeds loopt en dat sommige technische bevindingen aan een onafhankelijke verificatie zullen worden onderworpen voordat het bedrijf aanvullende informatie vrijgeeft.