Binance afirma que el robo de activos por valor de 6.340 millones de dólares ocurrido el 29 de octubre fue el resultado de una operación de cinco meses que comenzó con la descarga de un software manipulado y después recurrió a falsas entrevistas de trabajo para atacar a empleados. La plataforma describió el ataque en su primer informe público sobre el incidente, publicado el martes junto con una sesión informativa a cargo del codirector ejecutivo Richard Teng y del director de seguridad, Jimmy Su.
Según el informe, el acceso inicial se produjo en junio, cuando un ingeniero de DevOps de monederos descargó un instalador modificado de una popular herramienta de programación con IA. Binance detectó una anomalía, sustituyó el dispositivo y cambió las credenciales, pero afirmó que el incidente reveló la función del ingeniero y los nombres de sus compañeros del equipo de monederos.
En septiembre, alguien que se hizo pasar por director de proyectos contactó a otro ingeniero a través de una plataforma legítima de empleo. Tras unas entrevistas por vídeo con personas que afirmaban representar al departamento de recursos humanos y a la dirección de la empresa, al ingeniero le asignaron una tarea de programación que debía instalar en un ordenador de trabajo. Binance afirma que el repositorio contenía una versión maliciosa que sustituía a un componente de software legítimo y establecía una conexión con un servidor controlado por los atacantes. En ese momento, sus herramientas de seguridad para dispositivos no detectaron el malware.
Más adelante, los atacantes utilizaron el equipo comprometido y una herramienta interna de IA para acceder a otros dos ingenieros de monederos. El 29 de octubre, iniciaron sesión en el ordenador de otro ingeniero, desplegaron un contenedor con credenciales robadas y comenzaron a transferir activos. Binance afirma que la operación también incluyó malware diseñado para eludir la detección en los dispositivos.
El informe señala que cinco monederos calientes enviaron 233,46 millones de XRP a una dirección de los atacantes entre las 20:05 y las 20:09 UTC. Después se realizaron transferencias de unos 970.500 SOL y 44,2 millones de OP, además de 18.270 BTC procedentes de un monedero caliente de Binance.
Los atacantes también utilizaron EIP-7702 de Ethereum para conceder a un contrato inteligente bajo su control autoridad parcial sobre un monedero caliente de Binance. Binance afirma que suspender los retiros no bloqueó esta vía, porque los atacantes habían enviado 50 transacciones de firma que crearon delegaciones en la cadena, fuera de su infraestructura de retiros. La última transferencia no autorizada, de 2.961,9 ETH, se completó a las 23:56 UTC. Binance eliminó la delegación a las 00:10 UTC del 30 de octubre.
Binance afirmó que ha congelado o interceptado unos 2.850 millones de dólares de los activos robados y que ha repuesto el 98 % de los tokens afectados con fondos propios; el resto se está comprando en el mercado abierto. La empresa dijo que reconstruyó el sistema de monederos y la herramienta interna de IA en nuevos entornos, sustituyó los dispositivos afectados, revocó las credenciales y amplió la detección de anomalías de comportamiento. También está encargando una revisión independiente y aumentando la inversión en seguridad para los dispositivos y los entornos de desarrollo.
Según el informe de Binance, el FBI atribuyó el ataque a Corea del Norte, aunque Binance no hace su propia atribución. Corea del Norte rechazó la acusación el lunes. Binance afirmó que este año había bloqueado otros 57 intentos sospechosos vinculados a Corea del Norte que empleaban métodos similares.
Fuentes: Bitcoin Magazine.