Hackerii care au furat criptomonede de miliarde de dolari de la Binance au lucrat luni la pregătirea loviturii, a anunțat compania marți. Atacatorii au combinat ingineria socială cu programe malware noi, iar suma vizată inițial a fost de 6,34 miliarde de dolari. Din această sumă, exchange-ul a înghețat sau a interceptat 2,85 miliarde, iar restul pagubei este acoperită din fonduri proprii, potrivit investigației interne.

Cum a început atacul asupra Binance

Binance descrie operațiunea ca pe o campanie în mai multe etape, nu ca pe o breșă izolată sau un simplu incident de tip phishing. Anchetatorii companiei spun că atacatorii au început cel târziu în iunie și au continuat până joia trecută, când au compromis laptopul unui inginer și au retras active din mai multe portofele.

Primul incident legat de compromitere ar fi avut loc în iunie, când un inginer a descărcat o versiune modificată a Homebrew. Echipa de securitate a detectat laptopul compromis, dar abia după ce operatorii malware au aflat detalii despre rolul inginerului și al colegilor săi din echipa de infrastructură pentru portofele.

Interviuri false și malware nedetectat

În septembrie, un alt inginer a primit mesaje pe o platformă legitimă de recrutare, de la o persoană care pretindea că este director de proiect și caută angajați. Au urmat două runde de interviu: prima cu un pretins reprezentant HR pe o platformă video, a doua cu presupusul director general pe o aplicație de chat.

În timpul primului interviu, falsul recrutor a arătat un cont de social media cu fotografii și clipuri personale, ca să pară credibil. La al doilea interviu, inginerul a fost rugat să descarce o așa-zisă temă de probă, care ducea spre un depozit de cod cu program malițios. Codul s-a executat pe dispozitiv în timpul instalării, iar protecția endpoint nu a detectat amenințarea zero-day la acel moment.

Binance spune că malware-ul a folosit tehnici avansate de ascundere, inclusiv înlocuirea unei componente legitime dintr-un instrument de dezvoltare cu o variantă malițioasă. Astfel a executat comenzi și a deschis o conexiune spre un server controlat de atacatori. Urmele compromiterii au fost șterse parțial, ceea ce a îngreunat detectarea și ancheta ulterioară.

20 octombrie: preluarea dispozitivelor și golirea portofelelor

Pe 20 octombrie, atacatorii au folosit computerul inginerului compromis și un instrument intern AI pentru a prelua controlul altor două dispozitive ale unor ingineri, inclusiv cel vizat anterior cu installerul Homebrew compromis. Portofelul acelui inginer conținea un token care permitea accesul la o platformă de tip container.

Nouă zile mai târziu, între 17:15 și 19:56 UTC, atacatorul s-a conectat la dispozitivul celui de-al treilea inginer, a folosit credențialul furat, a lansat un container și a activat un script pentru inițierea transferurilor. Apoi și-a extins accesul neautorizat la un serviciu intern de semnare a portofelelor, ca să finalizeze tranzacții în afara procesului normal de retragere.

Portofelele fierbinți Binance de pe Solana și Optimism au trimis circa 970.500 SOL și 44,2 milioane OP spre adrese controlate de atacatori. Un portofel fierbinte Binance a trimis apoi 18.270 BTC spre o adresă a atacatorilor. Atacatorul a folosit serviciul de semnare pentru a exploata mecanismul de autorizare EIP-7702 de pe Ethereum.

Acest mecanism permite unui cont să delege parțial drepturi de execuție unui contract inteligent, fără expunerea cheii private. În acest caz, atacatorul a acordat unui contract inteligent controlat de el drepturi parțiale de execuție asupra unui portofel fierbinte Binance, ceea ce a făcut posibilă mutarea activelor.

Cea mai mare sumă vizată și ce face Binance acum

Cele 6,34 miliarde de dolari reprezintă cea mai mare sumă vizată vreodată într-un furt de criptomonede. După o alertă internă privind transferuri de volum mare, Binance a suspendat retragerile, a colaborat cu parteneri pentru înghețarea tokenurilor afectate și a revocat permisiunile neautorizate, măsuri care au blocat active de 2,85 miliarde de dolari.

Compania recunoaște că suspendarea retragerilor nu a putut opri singură toate mișcările neautorizate. Autorizările malițioase EIP-7702 existau on-chain și funcționau independent de infrastructura normală de retragere, iar atacatorii au trimis 50 de tranzacții de semnare pentru manipularea contorului de cont.

FBI și firma TRM Security atribuie jaful unor actori nord-coreeni. Binance spune că a alocat fondurile necesare pentru acoperirea pierderii și a publicat o pagină de tip Proof of Reserves, unde utilizatorii pot verifica rezervele. Ancheta internă continuă, iar compania promite actualizări pe măsură ce stabilește cronologia completă a atacului.

Sursă: Ars Technica | Geek Chronicles