Binance: Phỏng vấn xin việc giả mạo, công cụ AI bị xâm nhập gây thiệt hại 6,3 tỷ USD

Phần mềm bị xâm nhập và kỹ thuật xã hội

Trong một báo cáo được công bố hôm thứ Ba, Binance đã phác thảo một chiến dịch kéo dài nhiều tháng, bắt đầu từ tháng 6 và đạt đỉnh điểm với vụ trộm ngày 29 tháng 10. Sàn giao dịch này cho biết những kẻ tấn công đã lợi dụng quyền truy cập vào một dịch vụ ký ví nội bộ, bỏ qua các thủ tục rút tiền thông thường để chuyển hàng tỷ đô la qua nhiều blockchain.

Cuộc điều tra đã xác định được một số giai đoạn của vụ tấn công, bao gồm một nỗ lực trước đó vào tháng 6 khi một kỹ sư ví đã tải xuống phiên bản bị xâm nhập của trình cài đặt phần mềm Homebrew trong khi cố gắng cài đặt một công cụ lập trình AI. Binance cho biết đội ngũ an ninh của họ đã phát hiện mối đe dọa, thay thế thiết bị của nhân viên và thay đổi thông tin đăng nhập liên quan, nhưng sự cố này đã làm lộ thông tin về nhân viên phụ trách hạ tầng ví.

Một vụ vi phạm nghiêm trọng hơn xảy ra vào tháng 9, khi một kỹ sư khác của Binance bị tiếp cận qua một nền tảng tuyển dụng hợp pháp bởi một người tự xưng là nhà tuyển dụng. Nhân viên này đã tham gia hai cuộc phỏng vấn, bao gồm một cuộc gọi video với người tự xưng là đại diện bộ phận nhân sự và một cuộc khác với người tự xưng là người đứng đầu một công ty hư cấu.

Trong cuộc phỏng vấn thứ hai, nhân viên này được yêu cầu tải xuống một bài tập lập trình chứa phần mềm độc hại lên máy tính làm việc.

Phần mềm độc hại này đã thay thế một thành phần hợp pháp của công cụ phát triển, cho phép kẻ tấn công thực thi các lệnh và giao tiếp với một máy chủ bên ngoài. Binance cho biết phần mềm độc hại chưa từng được biết đến này đã lách qua phần mềm bảo mật của họ trong khi cố gắng che giấu bằng chứng về vụ xâm nhập.

Vào ngày 20 tháng 10, những kẻ tấn công đã sử dụng thiết bị bị xâm nhập và một công cụ AI nội bộ để tiếp cận thêm hai kỹ sư khác. Sau đó, chúng đã lấy được thông tin đăng nhập, cho phép chúng triển khai phần mềm trong cơ sở hạ tầng ví của Binance.

Vào ngày 29 tháng 10, các kẻ tấn công đã sử dụng thông tin đăng nhập đó để truy cập vào các hoạt động ký kết ví và thực hiện các giao dịch chuyển tiền trái phép liên quan đến 18.270 BTC, 233,46 triệu XRP, khoảng 970.500 SOL và 44,2 triệu OP, cùng các tài sản khác.

Những kẻ tấn công cũng đã lợi dụng cơ chế ủy quyền EIP-7702 của Ethereum, cho phép các hợp đồng thông minh thực hiện giao dịch thay mặt cho một tài khoản. Bằng cách thiết lập các ủy quyền độc hại, chúng đã có khả năng chuyển tài sản từ ví nóng của Binance ngay cả sau khi sàn giao dịch này tạm ngừng các giao dịch rút tiền thông thường.

Binance cho biết những kẻ tấn công đã gửi 50 giao dịch ký tên để thao túng trình tự giao dịch của tài khoản và thiết lập các quyền đó. Việc sàn giao dịch sử dụng công nghệ tính toán đa bên đã làm phức tạp nỗ lực thu hồi các ủy quyền này, đòi hỏi một quy trình chuyên biệt để lấy lại quyền kiểm soát.

Giao dịch chuyển tiền trái phép cuối cùng, liên quan đến khoảng 2.962 ETH, đã được hoàn tất ngay trước nửa đêm theo giờ UTC ngày 29 tháng 10. Binance đã thu hồi ủy quyền độc hại này ngay sau đó.

Binance phục hồi sau vụ tấn công kỷ lục

Các phát hiện này bổ sung cho bài báo trước đó của Bitcoin.com News về bình luận của đồng CEO Binance Richard Teng, người cho biết vụ tấn công liên quan đến nhiều điểm xâm nhập và kỹ thuật tiêu hủy bằng chứng, chứ không phải do một nhân viên bị xâm nhập duy nhất.

Sàn giao dịch này cũng trích dẫn kết luận của FBI rằng vụ tấn công xuất phát từ Triều Tiên. Như Bitcoin.com News đã đưa tin trước đó, các công ty phân tích blockchain TRM Labs và Chainalysis đã độc lập liên kết vụ trộm này với các hoạt động tấn công mạng của Triều Tiên. Lãnh đạo Triều Tiên sau đó đã bác bỏ những cáo buộc này, gọi tuyên bố của FBI là “sự khiêu khích chính trị.”

Binance cho biết khoảng 2,85 tỷ USD tài sản bị đánh cắp đã bị đóng băng hoặc thu hồi tính đến bản cập nhật mới nhất. Công ty cam kết tự chịu trách nhiệm về tác động tài chính và báo cáo rằng 98% tài sản token bị ảnh hưởng đã được bù đắp tính đến ngày 31/10, trong khi việc mua lại các loại tiền điện tử ít thanh khoản vẫn đang tiếp tục.

Sàn giao dịch này cho biết họ đã khôi phục lại các hệ thống ví bị ảnh hưởng, thay thế các thiết bị của nhân viên bị xâm nhập, thu hồi các thông tin đăng nhập bị lộ và mở rộng hệ thống giám sát an ninh dựa trên trí tuệ nhân tạo (AI). Họ cũng đang tiến hành một cuộc đánh giá an ninh mạng độc lập và xem xét thành lập quỹ nghiên cứu an ninh tập trung vào các mối đe dọa liên quan đến trí tuệ nhân tạo.

Việc phục hồi diễn ra trong bối cảnh các nhà điều tra tiếp tục theo dõi các khoản tiền bị đánh cắp. Bitcoin.com News đưa tin hôm thứ Hai rằng công ty phân tích blockchain Elliptic đã truy vết các tài sản bị đánh cắp qua khoảng 12.000 ví trên 11 chuỗi khối trong vòng chưa đầy bốn ngày.

Binance nhấn mạnh rằng cuộc điều tra của họ vẫn đang diễn ra và một số phát hiện kỹ thuật sẽ phải trải qua quá trình xác minh độc lập trước khi công ty công bố thêm thông tin.