Binance afferma che un attacco informatico durato mesi, iniziato con uno strumento di programmazione basato sull’IA manomesso e un falso colloquio di lavoro, ha portato al furto di circa 6,3 miliardi di dollari in asset digitali. In un’analisi post mortem pubblicata martedì, l’exchange ha descritto come gli hacker abbiano compromesso i computer dei dipendenti e ottenuto credenziali per accedere alla sua infrastruttura di wallet, prima del furto del 29 ottobre.
Secondo il rapporto di Binance, la campagna è iniziata a giugno, quando un ingegnere ha scaricato un pacchetto software modificato mentre configurava uno strumento di programmazione basato sull’IA. Binance ha rilevato il malware e sostituito il dispositivo interessato, ma afferma che gli aggressori avevano già raccolto informazioni sul team che gestisce i wallet.
A settembre, alcuni hacker che si spacciavano per reclutatori hanno preso di mira un altro ingegnere informatico. Hanno convinto il dipendente a scaricare un malware camuffato da esercitazione di programmazione, compromettendo il computer di lavoro dell’ingegnere e aggirando le protezioni di sicurezza dell’exchange.
Il 20 ottobre, gli aggressori hanno usato quel computer e uno strumento interno di IA per accedere ai sistemi di altri due ingegneri e ottenere credenziali di distribuzione. Binance afferma che il 29 ottobre tali credenziali sono state utilizzate per installare software dannoso nella sua infrastruttura di wallet e raggiungere il servizio interno che firma le transazioni in criptovaluta, consentendo di spostare i fondi al di fuori della normale procedura di prelievo.
Gli aggressori hanno utilizzato anche il meccanismo EIP-7702 di Ethereum, che consente ai wallet di delegare ai contratti intelligenti i permessi per effettuare transazioni. Binance ha dichiarato che ciò ha permesso ai trasferimenti non autorizzati di proseguire anche dopo la sospensione dei prelievi. Il sistema di wallet a calcolo multiparte dell’exchange, che distribuisce il controllo sulla firma delle transazioni, ha reso più difficile revocare tali permessi.
Nell’ultimo conteggio, Binance afferma che erano stati congelati o intercettati 2,85 miliardi di dollari degli asset interessati. L’exchange ha dichiarato che si sarebbe fatto carico delle perdite anziché trasferirle sui clienti e che, al 31 ottobre, aveva reintegrato il 98% degli asset in token interessati.
L’FBI ha attribuito l’attacco a hacker nordcoreani. Martedì Kim Yo Jong, sorella del leader nordcoreano Kim Jong Un, ha negato il coinvolgimento del Paese e ha definito l’attribuzione dell’FBI motivata politicamente. Su X, il co-CEO di Binance Richard Teng ha descritto l’incidente come una campagna durata mesi, non come un singolo errore o una singola violazione.
Fonti: Cointelegraph.