Binance diz que hackers usaram entrevistas de emprego falsas e uma ferramenta interna de IA para realizar o roubo de US$ 6,3 bilhões
O maior roubo de criptografia até o momento foi realizado pela combinação de algumas técnicas de hacking conhecidas ao longo de alguns meses, de acordo com a Binance. Uma análise post-mortem da empresa diz que o processo que começou com um desenvolvedor baixando um instalador adulterado em junho aparentemente se espalhou por um anúncio malicioso do Google, expondo detalhes sobre os engenheiros e como eles trabalham. Então, em setembro, outro engenheiro foi alvo de alguém que fingia estar interessado em contratá-lo, que organizou uma série de ligações e diversas rodadas de entrevistas, compartilhando páginas de mídia social para construir confiança e, eventualmente, solicitando-os a baixar uma tarefa de entrevista falsa que na verdade era malware.
A Binance afirma que suas equipes de segurança detectaram a primeira instalação de malware em junho e substituíram o dispositivo do trabalhador, mas que suas ferramentas de segurança não detectaram o segundo ataque que excluiu o executável pyenv e o substituiu por uma versão maliciosa que lhes deu acesso backdoor:
O malware empregou técnicas sofisticadas de ofuscação e evasão, incluindo a substituição de um componente legítimo da ferramenta de desenvolvimento por uma versão maliciosa para executar comandos e estabelecer comunicação com um servidor externo controlado pelo invasor. O malware de dia 0 não foi detectado pelas ferramentas de proteção de segurança de endpoint naquele momento. O invasor também tomou medidas para ocultar a atividade maliciosa e remover vestígios do comprometimento, tornando a detecção e a investigação subsequente mais desafiadoras.
Em 20 de outubro, segundo a história, os invasores, que o FBI identificou como uma unidade norte-coreana apelidada de “TraderTraitor”, usaram a própria ferramenta interna de IA da Binance para obter controle sobre as carteiras do primeiro engenheiro comprometido em junho, bem como de outro terceiro funcionário, antes de fazer login no computador do terceiro funcionário em 29 de outubro e lançar seu ataque.
A autópsia também explica por que a Binance não foi capaz de interromper as transações que ocorreram quase duas horas após as primeiras transferências não autorizadas, dizendo que “Como a carteira quente usava computação multipartidária (MPC), não havia uma única chave privada que pudesse ser usada para revogar imediatamente as autorizações maliciosas do EIP-7702”. A Binance diz que evitou 57 casos suspeitos de ameaças cibernéticas ligadas à Coreia do Norte, e o CEO Richard Teng escreve que nenhum usuário está arcando com a perda, com cerca de US$ 2,85 bilhões em ativos roubados congelados ou interceptados: “Neste momento, 98% dos tokens impactados foram reabastecidos; estamos completando os 2% restantes. As retiradas foram amplamente retomadas.”
O que está menos claro é por que este ataque em particular funcionou – o perigo de entrevistas de emprego que pedem às pessoas para descarregar e executar código em máquinas com acesso a material de empregadores tem sido alertado há anos, e há poucos detalhes sobre a “ferramenta interna de IA” que foi usada pelos atacantes e por que foi capaz de ajudá-los em primeiro lugar.
