Binance afferma che il furto di asset per 6,34 miliardi di dollari avvenuto il 29 ottobre è stato preceduto da un’operazione durata cinque mesi, iniziata con il download di un software manomesso e proseguita con falsi colloqui di lavoro per prendere di mira i dipendenti. L’exchange ha descritto l’attacco nel suo primo rapporto pubblico sull’incidente, diffuso martedì insieme a un briefing del co-CEO Richard Teng e del chief security officer Jimmy Su.
Secondo il rapporto, il primo punto d’accesso è stato ottenuto a giugno, quando un ingegnere DevOps del team wallet ha scaricato un programma di installazione modificato di un popolare strumento di programmazione basato sull’IA. Binance ha rilevato un’anomalia, sostituito il dispositivo e modificato le credenziali, ma ha affermato che l’incidente aveva rivelato il ruolo dell’ingegnere e i nomi dei colleghi del team wallet.
A settembre, un altro ingegnere è stato contattato tramite una legittima piattaforma per la ricerca di lavoro da una persona che si spacciava per un direttore di progetto. Dopo colloqui in video con persone che sostenevano di rappresentare le risorse umane e la dirigenza dell’azienda, all’ingegnere è stato assegnato un compito di programmazione da installare su un computer di lavoro. Binance afferma che il repository conteneva una versione sostitutiva malevola di un componente software legittimo e creava una connessione con un server controllato dagli aggressori. In quel momento, gli strumenti di sicurezza degli endpoint dell’azienda non hanno rilevato il malware.
In seguito, gli aggressori hanno usato il computer compromesso e uno strumento interno di IA per raggiungere altri due ingegneri del team wallet. Il 29 ottobre hanno effettuato l’accesso al computer di un altro ingegnere, distribuito un container usando credenziali rubate e iniziato a trasferire asset. Binance afferma che l’operazione ha coinvolto anche malware progettato per eludere il rilevamento degli endpoint.
Il rapporto afferma che cinque hot wallet hanno inviato 233,46 milioni di XRP a un indirizzo degli aggressori tra le 20:05 e le 20:09 UTC. Sono seguiti trasferimenti di circa 970.500 SOL e 44,2 milioni di OP, oltre a 18.270 BTC provenienti da un hot wallet di Binance.
Gli aggressori hanno inoltre usato l’EIP-7702 di Ethereum per conferire a uno smart contract da loro controllato un’autorità parziale su un hot wallet di Binance. Binance afferma che la sospensione dei prelievi non ha bloccato questa via, perché gli aggressori avevano inviato 50 transazioni di firma che hanno creato deleghe on-chain al di fuori della sua infrastruttura per i prelievi. L’ultimo trasferimento non autorizzato, pari a 2.961,9 ETH, è stato completato alle 23:56 UTC. Binance ha revocato la delega alle 00:10 UTC del 30 ottobre.
Binance ha dichiarato di aver congelato o intercettato circa 2,85 miliardi di dollari degli asset rubati e di aver reintegrato il 98% dei token interessati usando fondi propri; la parte restante viene acquistata sul mercato aperto. L’azienda ha affermato di aver ricostruito il sistema dei wallet e lo strumento interno di IA in nuovi ambienti, sostituito i dispositivi interessati, revocato le credenziali e ampliato il rilevamento delle anomalie comportamentali. Sta inoltre commissionando una revisione indipendente e aumentando gli investimenti nella sicurezza degli endpoint e degli ambienti di sviluppo.
Secondo il rapporto di Binance, l’FBI ha attribuito l’attacco alla Corea del Nord; il rapporto non formula una propria attribuzione. Lunedì la Corea del Nord ha respinto l’accusa. Binance ha dichiarato di aver bloccato quest’anno altri 57 tentativi sospetti collegati alla Corea del Nord, condotti con approcci simili.
Fonti: Bitcoin Magazine.