Pesquisadores alertaram sobre táticas de hacking norte-coreanas anos antes do roubo recorde de US$ 6,3 bilhões da Binance

A gigante da criptografia Binance diz que hackers norte-coreanos usaram perfis falsos de mídia social e a atração de uma possível oferta de emprego como parte de um esquema de meses de duração com o objetivo de enganar um funcionário para que baixasse software malicioso em seu laptop.

Os pesquisadores alertaram repetidamente sobre ataques de engenharia social de longa duração que podem durar meses.

Este último ataque permitiu que os hackers invadissem pacientemente os sistemas da Binance para roubar um recorde de US$ 6,3 bilhões em criptografia na semana passada, confirmou a empresa agora. O hack, divulgado em um comunicado atualizado publicado no X na terça-feira, levou a maior exchange de criptomoedas do mundo a suspender as retiradas de clientes em sua rede.

O FBI e os investigadores de blockchain culparam a Coreia do Norte pelo roubo. O país tem sido acusado há muito tempo de realizar roubos massivos de criptomoedas nos últimos anos para financiar o seu programa de armas nucleares sancionado internacionalmente.

Em seu último comunicado, a Binance disse que hackers norte-coreanos, se passando por recrutadores para um emprego, contataram um engenheiro de software que trabalha com carteiras na empresa. Após duas entrevistas com a suposta empresa, o engenheiro foi instruído a baixar uma aparente tarefa de codificação como parte do processo de entrevista. Quando aberta, a tarefa continha código malicioso que comprometeu o laptop de trabalho do engenheiro. A Binance disse que suas ferramentas de segurança não detectaram o malware.

Essa posição na rede da Binance permitiu que os hackers acessassem uma ferramenta interna capaz de assumir o controle dos computadores de trabalho de outros dois engenheiros da equipe da carteira. Um desses engenheiros baixou involuntariamente um aplicativo adulterado contendo malware para roubo de senhas meses antes, após procurar o software nos resultados de mecanismos de pesquisa. Enquanto a Binance substituía o laptop do engenheiro comprometido, os hackers usaram as credenciais roubadas do engenheiro para invadir o computador de um terceiro engenheiro, cujo trabalho lhes permitiu acesso a sistemas capazes de controlar bilhões de dólares em criptografia.

A Binance disse que o ataque “não deveria ter acontecido” e que melhorou a segurança da rede após o roubo.

O hack destaca uma tática contínua no repertório de ataques do regime norte-coreano visando a indústria de criptografia e indivíduos de alto patrimônio. Os investigadores alertam há anos que os hackers norte-coreanos se passam por capitalistas de risco, investidores e recrutadores, usando dossiês de identidades americanas roubadas para enganar os funcionários para que concedam acesso aos seus sistemas.

Esses ataques são amplamente conhecidos em toda a indústria de criptografia e têm sido objeto de repetidos avisos do governo dos EUA e de gigantes da segurança cibernética nos últimos anos. Cerca de metade de todas as invasões em empresas de tecnologia dos EUA no ano passado foram atribuídas a norte-coreanos que se faziam passar por trabalhadores remotos de TI e falsos recrutadores.

Pelo próprio relato da Binance, a empresa enfrentou pelo menos 57 ataques suspeitos da Coreia do Norte, que, segundo ela, refletem a “ameaça persistente representada por atores patrocinados pelo Estado que visam a indústria de criptomoedas”.

Mas como os hackers conseguiram convencer o engenheiro a baixar malware, dada a ameaça altamente divulgada, e contornar as falhas de segurança na própria rede da Binance, provavelmente será o foco da atenção dos investigadores.

Embora o caso exponha como os hackers norte-coreanos usam a engenharia social, como ofertas de emprego, para enganar os funcionários para que concedam acesso aos seus sistemas, é, em última análise, responsabilidade da empresa garantir que os seus sistemas não possam executar software não autorizado ou não confiável que possa causar um comprometimento.

O porta-voz da Binance, Ross O’Leary, referiu-se à declaração pública da empresa, mas se recusou a responder oficialmente às perguntas do TechCrunch sobre o incidente. Essas questões incluíam como a Binance evita a execução de códigos não autorizados ou maliciosos nos laptops de seus funcionários, se é que o fazem, e se terceiros realizaram auditorias de segurança cibernética na rede da Binance antes do hack.

A empresa disse que contrataria especialistas em segurança cibernética para analisar o incidente e implementou novas medidas de segurança para evitar a repetição do incidente.

O roubo continua sendo o maior roubo de criptografia da história.