Binance: fałszywe rekrutacje i narzędzie AI za kradzieżą 6,3 mld USD

We wrześniu na celowniku znalazł się kolejny inżynier. Osoba udająca zainteresowanego jego zatrudnieniem umówiła serię rozmów i kilka rund rekrutacji, a także udostępniała strony w mediach społecznościowych, by zbudować zaufanie. W końcu nakłoniła ofiarę do pobrania „zadania rekrutacyjnego”, które okazało się złośliwym oprogramowaniem.

Binance twierdzi, że w czerwcu jego zespoły wykryły pierwszą infekcję i wymieniły urządzenie pracownika. Drugiego ataku narzędzia zabezpieczające jednak nie zauważyły. Malware usunęło plik wykonywalny pyenv i podmieniło go na złośliwą wersję, która dała napastnikom dostęp tylnymi drzwiami. Firma opisuje je jako oprogramowanie typu 0-day, które dodatkowo zacierało ślady włamania.

Wewnętrzne narzędzie AI i opóźniona reakcja

Do 20 października atakujący mieli wykorzystać wewnętrzne narzędzie AI Binance, by przejąć kontrolę nad portfelami pierwszego inżyniera zaatakowanego w czerwcu oraz trzeciego pracownika. 29 października zalogowali się na komputer tego trzeciego i przeprowadzili właściwy atak.

Raport wyjaśnia też, dlaczego nie udało się zatrzymać transakcji wykonanych niemal dwie godziny po pierwszych nieautoryzowanych transferach. Ponieważ gorący portfel korzystał z obliczeń wielostronnych (MPC), nie istniał pojedynczy klucz prywatny, który pozwoliłby natychmiast unieważnić złośliwe autoryzacje EIP-7702.

Binance podaje, że powstrzymało 57 podejrzanych przypadków cyberzagrożeń powiązanych z Koreą Północną. Prezes Richard Teng zapewnia, że żaden użytkownik nie ponosi straty, a około 2,85 mld USD skradzionych aktywów zamrożono lub przechwycono. Według niego 98% dotkniętych tokenów uzupełniono, a resztę firma dokańcza; wypłaty w większości wznowiono.

Nadal niejasne jest, dlaczego ten atak się powiódł. O ryzyku pobierania i uruchamiania kodu podczas rekrutacji na komputerach z dostępem do zasobów pracodawcy ostrzega się od lat, a szczegółów o wewnętrznym narzędziu AI i o tym, czemu mogło pomóc napastnikom, jest niewiele.