Binance: Gefälschte Bewerbungsgespräche und KI-Tool ermöglichten Coup

Im September wurde ein weiterer Ingenieur von jemandem angesprochen, der Interesse an einer Einstellung vortäuschte. Die Person organisierte Gespräche und mehrere Interviewrunden, teilte Social-Media-Profile, um Vertrauen aufzubauen, und brachte den Ingenieur schließlich dazu, eine angebliche Bewerbungsaufgabe herunterzuladen, die in Wahrheit Malware war. Diese erkannten die Endpoint-Schutzwerkzeuge laut Binance nicht. Die Schadsoftware ersetzte die pyenv-Datei durch eine bösartige Version, öffnete eine Hintertür samt Verbindung zu einem externen Server und verwischte Spuren.

Bis zum 20. Oktober nutzten die Angreifer dem Unternehmen zufolge Binances eigenes internes KI-Tool, um die Kontrolle über Wallets des ersten kompromittierten Ingenieurs und eines dritten Mitarbeiters zu erlangen. Am 29. Oktober meldeten sie sich am Rechner dieses dritten Mitarbeiters an und starteten den Angriff.

Warum der Stopp so lange dauerte

Transaktionen liefen noch fast zwei Stunden nach den ersten unautorisierten Überweisungen weiter. Da die Hot Wallet Multi-Party Computation nutzte, gab es laut Binance keinen einzelnen privaten Schlüssel, mit dem sich die bösartigen EIP-7702-Autorisierungen sofort hätten widerrufen lassen.

CEO Richard Teng schreibt, kein Nutzer trage den Verlust; rund 2,85 Milliarden Dollar der gestohlenen Werte seien eingefroren oder abgefangen worden. 98 Prozent der betroffenen Token seien ersetzt, die übrigen 2 Prozent folgten, Auszahlungen liefen weitgehend wieder. Binance gibt zudem an, 57 mutmaßlich nordkoreanische Angriffsfälle verhindert zu haben.

Offen bleibt, warum der Angriff gelang: Vor Bewerbungsgesprächen, bei denen Code auf Rechnern mit Firmenzugriff ausgeführt werden soll, wird seit Jahren gewarnt. Zum internen KI-Tool gibt der Bericht kaum Details.