Binance afferma che una campagna informatica durata mesi, che ha coinvolto un programma di installazione di Homebrew manomesso e un falso processo di selezione del personale, ha dato agli aggressori accesso al suo servizio interno di firma dei wallet. L’exchange stima che il 29 ottobre siano state sottratte criptovalute per circa 6,34 miliardi di dollari.
In un rapporto sulla sicurezza pubblicato il 3 novembre, Binance ha descritto l’incidente come un’operazione articolata in più fasi, piuttosto che come una singola violazione. L’exchange ha dichiarato che il primo compromesso noto è avvenuto a giugno, quando un ingegnere del suo team Wallet DevOps ha scaricato una versione modificata di Homebrew, un gestore di pacchetti per macOS, mentre cercava uno strumento di programmazione basato sull’IA.
Binance ha rilevato attività insolite, sostituito il dispositivo dell’ingegnere e modificato le credenziali associate. Tuttavia, secondo il rapporto, gli aggressori avevano già scoperto il ruolo dell’ingegnere e individuato i colleghi che lavoravano all’infrastruttura dei wallet dell’exchange.
A settembre, una seconda ingegnera è stata contattata su una legittima piattaforma per la ricerca di lavoro da una persona che si spacciava per direttrice di progetto. Il presunto selezionatore ha organizzato due colloqui, tra cui una videochiamata con una sedicente rappresentante delle risorse umane, che condivideva un account sui social media con foto e video personali. In seguito, all’ingegnera è stato chiesto di scaricare un compito di programmazione da un repository software malevolo. Binance ha dichiarato che il codice veniva eseguito durante la configurazione e sostituiva un componente legittimo dello strumento di gestione delle versioni Python pvenv con un malware in grado di eseguire comandi e comunicare con un server controllato dagli aggressori. In quel momento, gli strumenti di sicurezza degli endpoint dell’exchange non lo hanno rilevato.
Binance ha dichiarato che il 20 ottobre gli aggressori hanno fatto ulteriori progressi, usando computer compromessi e uno strumento interno di IA per prendere il controllo dei dispositivi di due ingegneri addetti ai wallet. Hanno anche trovato un token di autorizzazione per la distribuzione di container sul computer dell’ingegnere preso di mira per primo a giugno.
Il 29 ottobre, gli aggressori hanno usato credenziali rubate per accedere al computer di un altro ingegnere, distribuire un container ed eseguire uno script malevolo. In questo modo hanno ottenuto accesso al servizio interno di firma dei wallet di Binance, che hanno usato per effettuare transazioni da cinque hot wallet, al di fuori della normale procedura di prelievo dell’exchange.
Il 1º novembre l’FBI ha attribuito il furto alla Corea del Nord e ha definito l’attività «TraderTraitor». La Corea del Nord ha respinto le accuse statunitensi, definendole «assurdità preposterose». Binance ha dichiarato di aver congelato o intercettato circa 2,85 miliardi di dollari in asset compromessi e di aver reintegrato il 98% dei fondi interessati.
Fonti: Tom's Hardware.