Binance zufolge verschaffte eine monatelange Cyberkampagne, an der ein manipulierter Homebrew-Installer und ein gefälschtes Bewerbungsverfahren beteiligt waren, Angreifern Zugriff auf den internen Wallet-Signaturdienst der Börse. Die Börse schätzt, dass am 29. Oktober Kryptowährungen im Wert von rund 6,34 Milliarden Dollar gestohlen wurden.
In einem am 3. November veröffentlichten Sicherheitsbericht beschrieb Binance den Vorfall als mehrstufige Operation und nicht als einzelnen Einbruch. Die Börse erklärte, die erste bekannte Kompromittierung habe sich im Juni ereignet, als ein Ingenieur des Wallet-DevOps-Teams bei der Suche nach einem KI-Codierungstool eine modifizierte Installation von Homebrew, einem Paketmanager für macOS, heruntergeladen habe.
Binance entdeckte ungewöhnliche Aktivitäten, ersetzte das Gerät des Ingenieurs und änderte die damit verbundenen Zugangsdaten. Den Angreifern zufolge hatten sie jedoch bereits Informationen über die Rolle des Ingenieurs erlangt und Kolleginnen und Kollegen identifiziert, die an der Wallet-Infrastruktur der Börse arbeiteten.
Im September kontaktierte jemand, der sich als Projektdirektor ausgab, einen zweiten Ingenieur auf einer legitimen Plattform für die Jobsuche. Der vermeintliche Personalvermittler organisierte zwei Vorstellungsgespräche, darunter einen Videoanruf mit einer angeblichen HR-Vertreterin, die ein Social-Media-Konto mit persönlichen Fotos und Videos teilte. Später wurde der Ingenieur aufgefordert, eine Programmieraufgabe aus einem bösartigen Software-Repository herunterzuladen. Binance erklärte, der Code sei während der Einrichtung ausgeführt worden und habe eine legitime Komponente des Python-Versionsverwaltungstools pvenv durch Schadsoftware ersetzt, die Befehle ausführen und mit einem von den Angreifern kontrollierten Server kommunizieren konnte. Die Endpoint-Sicherheitstools der Börse erkannten die Schadsoftware damals nicht.
Binance zufolge machten die Angreifer am 20. Oktober weitere Fortschritte: Sie nutzten kompromittierte Computer und ein internes KI-Tool, um die Kontrolle über die Geräte zweier Wallet-Ingenieure zu erlangen. Außerdem fanden sie auf dem Computer des Ingenieurs, der im Juni zuerst ins Visier genommen worden war, ein Token mit Berechtigungen für Container-Deployments.
Am 29. Oktober verwendeten die Angreifer gestohlene Zugangsdaten, um auf den Computer eines weiteren Ingenieurs zuzugreifen, einen Container bereitzustellen und ein bösartiges Skript auszuführen. Dadurch erhielten sie Zugriff auf den internen Wallet-Signaturdienst von Binance, den sie nutzten, um Transaktionen aus fünf Hot Wallets außerhalb des üblichen Auszahlungsverfahrens der Börse durchzuführen.
Das FBI machte am 1. November Nordkorea für den Diebstahl verantwortlich und bezeichnete die Aktivität als „TraderTraitor“. Nordkorea wies die US-Vorwürfe zurück und nannte sie „absurden Unsinn“. Binance erklärte, rund 2,85 Milliarden Dollar an kompromittierten Vermögenswerten eingefroren oder abgefangen und 98 Prozent der betroffenen Gelder wieder aufgefüllt zu haben.
Quellen: Tom's Hardware.