Binance: interviu fals și IA compromisă au dus la atac de 6,3 mld. $

Software compromis și inginerie socială

Într-un raport publicat marți, Binance a descris o campanie care a durat câteva luni, începând încă din iunie și culminând cu furtul din 29 octombrie. Bursa a declarat că atacatorii au exploatat accesul la un serviciu intern de semnare a portofelelor, ocolind procedurile normale de retragere pentru a transfera miliarde de dolari pe mai multe blockchain-uri.

Ancheta a identificat mai multe etape ale atacului, inclusiv o încercare anterioară din iunie, când un inginer specializat în portofele a descărcat o versiune compromisă a programului de instalare Homebrew în timp ce încerca să instaleze un instrument de programare bazat pe inteligență artificială. Binance a declarat că echipa sa de securitate a detectat amenințarea, a înlocuit dispozitivul angajatului și a schimbat datele de autentificare asociate, dar incidentul a expus informații despre personalul responsabil de infrastructura portofelelor.

O breșă de securitate cu consecințe mai grave a urmat în septembrie, când un alt inginer de la Binance a fost contactat prin intermediul unei platforme legitime de recrutare de către o persoană care se dădea drept recrutor. Angajatul a participat la două interviuri, inclusiv la un apel video cu un presupus reprezentant al departamentului de resurse umane și la altul cu o persoană care pretindea că conduce o companie fictivă.

În timpul celui de-al doilea interviu, angajatul a primit instrucțiuni să descarce pe un computer de serviciu o sarcină de programare care conținea software rău intenționat.

Malware-ul a înlocuit o componentă legitimă a unui instrument de dezvoltare, permițând atacatorilor să execute comenzi și să comunice cu un server extern. Binance a declarat că malware-ul, necunoscut până atunci, a reușit să ocolească software-ul său de securitate în timp ce încerca să ascundă dovezile compromiterii.

Pe 20 octombrie, atacatorii au folosit dispozitivul compromis și un instrument intern de inteligență artificială pentru a obține acces la alți doi ingineri. Ulterior, aceștia au obținut datele de autentificare care le-au permis să implementeze software în cadrul infrastructurii de portofele a Binance.

Pe 29 octombrie, atacatorii au folosit aceste date de autentificare pentru a accesa operațiunile de semnare a portofelelor și pentru a iniția transferuri neautorizate care au implicat 18.270 BTC, 233,46 milioane XRP, aproximativ 970.500 SOL și 44,2 milioane OP, printre alte active.

Hackerii au exploatat, de asemenea, mecanismul de autorizare EIP-7702 al Ethereum, care permite contractelor inteligente să execute tranzacții în numele unui cont. Prin stabilirea unor autorizații rău intenționate, aceștia au dobândit capacitatea de a transfera active dintr-un portofel activ Binance chiar și după ce platforma de tranzacționare a suspendat retragerile normale.

Binance a declarat că atacatorii au trimis 50 de tranzacții de semnare pentru a manipula secvența tranzacțiilor contului și a stabili acele permisiuni. Utilizarea de către platformă a tehnologiei de calcul multipartit a complicat eforturile de revocare a autorizațiilor, fiind necesară o procedură specializată pentru a redobândi controlul.

Ultimul transfer neautorizat, care a implicat aproximativ 2.962 ETH, a fost finalizat cu puțin înainte de miezul nopții (UTC) pe 29 octombrie. Binance a revocat delegarea rău intenționată la scurt timp după aceea.

Binance își revine după un atac cibernetic fără precedent

Aceste concluzii completează relatarea anterioară a Bitcoin.com News privind comentariile co-CEO-ului Binance, Richard Teng, care a afirmat că operațiunea a implicat mai multe puncte de breșă și tehnici de distrugere a probelor, mai degrabă decât un singur angajat compromis.

Bursa a menționat, de asemenea, atribuirea atacului de către FBI către Coreea de Nord. Așa cum a raportat anterior Bitcoin.com News, firmele de analiză blockchain TRM Labs și Chainalysis au legat separat furtul de operațiunile de hacking nord-coreene. Conducerea nord-coreeană a negat de atunci aceste acuzații, calificând declarația FBI drept o „provocare politică”.

Binance a declarat că, conform ultimei sale actualizări, active furate în valoare de aproximativ 2,85 miliarde de dolari au fost înghețate sau interceptate. Compania s-a angajat să acopere singură impactul financiar și a raportat că, la data de 31 octombrie, 98% din activele sub formă de token-uri afectate fuseseră refăcute, achizițiile continuând pentru criptomonedele mai puțin lichide.

Bursa a declarat că, între timp, a reconstruit sistemele de portofele afectate, a înlocuit dispozitivele angajaților compromise, a revocat datele de autentificare expuse și și-a extins monitorizarea de securitate bazată pe inteligență artificială. De asemenea, a comandat o evaluare independentă a securității cibernetice și explorează posibilitatea înființării unui fond de cercetare în domeniul securității, axat pe amenințările care implică inteligența artificială.

Recuperarea are loc în timp ce anchetatorii continuă să urmărească fondurile furate. Bitcoin.com News a raportat luni că firma de analiză blockchain Elliptic a urmărit activele furate prin aproximativ 12.000 de portofele de pe 11 blockchain-uri în mai puțin de patru zile.

Binance a subliniat că ancheta sa este încă în curs și că unele concluzii tehnice vor fi supuse unei verificări independente înainte ca compania să publice informații suplimentare.