A Binance afirma que uma campanha cibernética que durou meses, envolvendo um instalador adulterado do Homebrew e um falso processo de recrutamento, deu aos atacantes acesso ao seu serviço interno de assinatura de carteiras. A exchange estima que aproximadamente US$ 6,34 bilhões em criptomoedas foram roubados em 29 de outubro.

Em um relatório de segurança publicado em 3 de novembro, a Binance descreveu o incidente como uma operação em várias etapas, e não como uma única invasão. A exchange afirmou que o primeiro comprometimento conhecido ocorreu em junho, quando um engenheiro da equipe de DevOps de Carteiras baixou uma versão modificada do Homebrew, um gerenciador de pacotes do macOS, enquanto procurava uma ferramenta de programação com IA.

A Binance detectou atividade incomum, substituiu o dispositivo do engenheiro e alterou as credenciais associadas. Mas, segundo o relatório, os atacantes já haviam descoberto a função do engenheiro e identificado colegas que trabalhavam na infraestrutura de carteiras da exchange.

Em setembro, alguém que se fazia passar por diretor de projeto abordou um segundo engenheiro em uma plataforma legítima de busca de empregos. O suposto recrutador agendou duas entrevistas, incluindo uma chamada de vídeo com um pretenso representante de RH que compartilhava uma conta em rede social com fotos e vídeos pessoais. Mais tarde, pediram ao engenheiro que baixasse uma tarefa de programação de um repositório de software malicioso. A Binance afirmou que o código era executado durante a instalação e substituía um componente legítimo da ferramenta de gerenciamento de versões do Python pvenv por malware capaz de executar comandos e se comunicar com um servidor controlado pelos atacantes. As ferramentas de segurança de endpoint da exchange não o detectaram na época.

A Binance afirmou que os atacantes avançaram ainda mais em 20 de outubro, usando computadores comprometidos e uma ferramenta interna de IA para assumir o controle dos dispositivos de dois engenheiros de carteiras. Eles também encontraram um token de permissão para implantação de contêineres no computador do engenheiro inicialmente visado em junho.

Em 29 de outubro, os atacantes usaram credenciais roubadas para acessar o computador de outro engenheiro, implantar um contêiner e executar um script malicioso. Isso lhes deu acesso ao serviço interno de assinatura de carteiras da Binance, que usaram para realizar transações de cinco carteiras quentes, fora do processo normal de saque da exchange.

O FBI atribuiu o roubo à Coreia do Norte em 1º de novembro e chamou a atividade de “TraderTraitor”. A Coreia do Norte rejeitou as alegações dos EUA, descrevendo-as como “absurdo ridículo”. A Binance afirmou que havia congelado ou interceptado aproximadamente US$ 2,85 bilhões em ativos comprometidos e reposto 98% dos fundos afetados.

Fontes: Tom's Hardware.