Binance: fałszywa rozmowa i przejęte AI doprowadziły do włamania 6,3 mld $

Zainfekowane oprogramowanie i inżynieria społeczna

W opublikowanym we wtorek raporcie Binance opisało trwającą kilka miesięcy kampanię, która rozpoczęła się już w czerwcu, a jej kulminacją była kradzież z 29 października. Giełda poinformowała, że atakujący wykorzystali dostęp do wewnętrznej usługi podpisywania portfeli, omijając standardowe procedury wypłat, aby przetransferować miliardy dolarów między wieloma łańcuchami bloków.

W trakcie śledztwa zidentyfikowano kilka etapów ataku, w tym wcześniejszą próbę z czerwca, kiedy to inżynier ds. portfeli pobrał zainfekowaną wersję instalatora oprogramowania Homebrew, próbując zainstalować narzędzie do kodowania oparte na sztucznej inteligencji. Binance poinformowało, że zespół ds. bezpieczeństwa wykrył zagrożenie, wymienił urządzenie pracownika i zmienił powiązane dane uwierzytelniające, jednak incydent ten ujawnił informacje dotyczące personelu odpowiedzialnego za infrastrukturę portfeli.

We wrześniu doszło do poważniejszego naruszenia bezpieczeństwa, kiedy to do innego inżyniera Binance skontaktowała się osoba podająca się za rekrutera za pośrednictwem legalnej platformy rekrutacyjnej. Pracownik wziął udział w dwóch rozmowach kwalifikacyjnych, w tym w rozmowie wideo z rzekomym przedstawicielem działu kadr oraz w kolejnej z osobą twierdzącą, że kieruje fikcyjną firmą.

Podczas drugiej rozmowy kwalifikacyjnej pracownik otrzymał polecenie pobrania na komputer służbowy zadania programistycznego zawierającego złośliwe oprogramowanie.

Złośliwe oprogramowanie zastąpiło legalny komponent narzędzia programistycznego, umożliwiając atakującym wykonywanie poleceń i komunikację z zewnętrznym serwerem. Binance poinformowało, że to nieznane wcześniej złośliwe oprogramowanie ominęło oprogramowanie zabezpieczające firmy, próbując jednocześnie ukryć ślady włamania.

20 października atakujący wykorzystali zainfekowane urządzenie oraz wewnętrzne narzędzie oparte na sztucznej inteligencji, aby uzyskać dostęp do kont dwóch kolejnych inżynierów. Następnie zdobyli dane uwierzytelniające, które pozwoliły im wdrożyć oprogramowanie w infrastrukturze portfeli Binance.

29 października atakujący wykorzystali te dane uwierzytelniające, aby uzyskać dostęp do operacji podpisywania transakcji w portfelu i zainicjować nieautoryzowane transfery obejmujące między innymi 18 270 BTC, 233,46 mln XRP, około 970 500 SOL oraz 44,2 mln OP.

Hakerzy wykorzystali również mechanizm autoryzacji EIP-7702 sieci Ethereum, który pozwala kontraktom inteligentnym na wykonywanie transakcji w imieniu konta. Poprzez ustanowienie złośliwych uprawnień uzyskali możliwość przenoszenia aktywów z portfela typu hot Binance nawet po tym, jak giełda zawiesiła normalne wypłaty.

Binance poinformowało, że atakujący złożyli 50 transakcji podpisujących w celu manipulacji sekwencją transakcji konta i ustanowienia tych uprawnień. Wykorzystanie przez giełdę technologii obliczeń wielostronnych skomplikowało działania mające na celu cofnięcie autoryzacji, wymagając specjalistycznej procedury w celu odzyskania kontroli.

Ostatni nieautoryzowany transfer, obejmujący około 2 962 ETH, został sfinalizowany tuż przed północą czasu UTC 29 października. Binance cofnęło złośliwe upoważnienie wkrótce potem.

Binance podnosi się po rekordowym ataku hakerskim

Wyniki te uzupełniają wcześniejsze doniesienia serwisu Bitcoin.com News dotyczące wypowiedzi współprezesa Binance, Richarda Tenga, który stwierdził, że operacja obejmowała wiele punktów naruszenia i techniki niszczenia dowodów, a nie tylko jednego pracownika, którego konto zostało przejęte.

Giełda powołała się również na ustalenia FBI, które przypisały atak Korei Północnej. Jak wcześniej informował serwis Bitcoin.com News, firmy zajmujące się analizą danych z łańcucha bloków – TRM Labs i Chainalysis – niezależnie od siebie powiązały kradzież z północnokoreańskimi operacjami hakerskimi. Północnokoreańskie władze zaprzeczyły od tego czasu tym oskarżeniom, nazywając oświadczenie FBI „polityczną prowokacją”.

Binance poinformowało, że według najnowszych danych około 2,85 mld dolarów skradzionych aktywów zostało zamrożonych lub przechwyconych. Firma zobowiązała się do samodzielnego pokrycia strat finansowych i poinformowała, że na dzień 31 października 98% dotkniętych kradzieżą aktywów tokenowych zostało uzupełnionych, a zakupy mniej płynnych kryptowalut są nadal kontynuowane.

Giełda poinformowała, że od tego czasu odbudowała dotknięte incydentem systemy portfeli, wymieniła zainfekowane urządzenia pracowników, unieważniła narażone dane uwierzytelniające oraz rozszerzyła monitorowanie bezpieczeństwa oparte na sztucznej inteligencji. Zleca również niezależny przegląd cyberbezpieczeństwa i rozważa utworzenie funduszu badań nad bezpieczeństwem skupionego na zagrożeniach związanych ze sztuczną inteligencją.

Odzyskiwanie środków następuje w czasie, gdy śledczy nadal tropią skradzione fundusze. Serwis Bitcoin.com News poinformował w poniedziałek, że firma Elliptic, zajmująca się analizą łańcuchów bloków, w ciągu niecałych czterech dni prześledziła drogę skradzionych aktywów przez około 12 000 portfeli w 11 łańcuchach bloków.

Binance podkreśliło, że dochodzenie nadal trwa, a niektóre ustalenia techniczne zostaną poddane niezależnej weryfikacji, zanim firma opublikuje dodatkowe informacje.