Binance zufolge folgte der Diebstahl von Vermögenswerten im Wert von 6,34 Milliarden US-Dollar am 29. Oktober auf eine fünfmonatige Operation, die mit einem manipulierten Software-Download begann und später gefälschte Bewerbungsgespräche nutzte, um Mitarbeiter ins Visier zu nehmen. Die Börse schilderte den Angriff in ihrem ersten öffentlichen Vorfallbericht, der am Dienstag zusammen mit einer Einweisung durch Co-CEO Richard Teng und den Sicherheitschef Jimmy Su veröffentlicht wurde.

Dem Bericht zufolge verschafften sich die Angreifer im Juni erstmals Zugang, als ein DevOps-Ingenieur aus dem Wallet-Team ein modifiziertes Installationsprogramm für ein beliebtes KI-Programmierwerkzeug herunterlud. Binance entdeckte eine Anomalie, ersetzte das Gerät und änderte die Zugangsdaten. Das Unternehmen erklärte jedoch, der Vorfall habe die Rolle des Ingenieurs und die Namen seiner Kollegen im Wallet-Team offengelegt.

Im September wurde ein weiterer Ingenieur über eine seriöse Jobplattform von jemandem kontaktiert, der sich als Projektleiter ausgab. Nach Videogesprächen mit Personen, die vorgaben, die Personalabteilung und die Unternehmensleitung zu vertreten, erhielt der Ingenieur eine Programmieraufgabe, die auf einem Arbeitscomputer installiert werden sollte. Binance zufolge enthielt das Repository einen bösartigen Ersatz für eine legitime Softwarekomponente und stellte eine Verbindung zu einem von den Angreifern kontrollierten Server her. Die Endpunktsicherheitswerkzeuge des Unternehmens erkannten die Schadsoftware zu diesem Zeitpunkt nicht.

Später nutzten die Angreifer den kompromittierten Rechner und ein internes KI-Werkzeug, um zwei weitere Wallet-Ingenieure zu erreichen. Am 29. Oktober meldeten sie sich am Computer eines anderen Ingenieurs an, setzten mit gestohlenen Zugangsdaten einen Container ein und begannen, Vermögenswerte zu transferieren. Binance zufolge umfasste die Operation auch Schadsoftware, die darauf ausgelegt war, der Endpunkterkennung zu entgehen.

Dem Bericht zufolge überwiesen fünf Hot Wallets zwischen 20:05 und 20:09 UTC insgesamt 233,46 Millionen XRP an eine Adresse der Angreifer. Es folgten Transfers von rund 970.500 SOL und 44,2 Millionen OP sowie 18.270 BTC aus einer Binance-Hot-Wallet.

Die Angreifer nutzten außerdem EIP-7702 von Ethereum, um einem von ihnen kontrollierten Smart Contract teilweise Kontrolle über eine Binance-Hot-Wallet zu erteilen. Binance zufolge verhinderte die Aussetzung von Auszahlungen diesen Weg nicht, weil die Angreifer 50 Signaturtransaktionen eingereicht hatten, die On-Chain-Delegationen außerhalb der Auszahlungsinfrastruktur des Unternehmens anlegten. Der letzte nicht autorisierte Transfer über 2.961,9 ETH wurde um 23:56 UTC abgewickelt. Binance hob die Delegation am 30. Oktober um 00:10 UTC auf.

Binance erklärte, Vermögenswerte im Wert von rund 2,85 Milliarden US-Dollar eingefroren oder abgefangen und 98 % der betroffenen Token aus eigenen Mitteln ersetzt zu haben. Die übrigen Token würden auf dem offenen Markt gekauft. Das Unternehmen erklärte, es habe das Wallet-System und das interne KI-Werkzeug in neuen Umgebungen neu aufgebaut, betroffene Geräte ersetzt, Zugangsdaten widerrufen und die Erkennung verhaltensbasierter Anomalien ausgeweitet. Außerdem beauftragt es eine unabhängige Prüfung und erhöht seine Investitionen in die Sicherheit von Endpunkten und Entwicklerumgebungen.

Laut dem Bericht von Binance hat das FBI Nordkorea für den Angriff verantwortlich gemacht; Binance selbst nimmt darin keine eigene Zuordnung vor. Nordkorea wies die Behauptung am Montag zurück. Binance erklärte, in diesem Jahr 57 weitere mutmaßlich mit Nordkorea verbundene Angriffsversuche blockiert zu haben, bei denen ähnliche Methoden zum Einsatz gekommen seien.

Quellen: Bitcoin Magazine.