Cum au reușit hackerii să sustragă 6,3 miliarde de dolari: strategia ingenioasă a interviurilor false de angajare
Hackerii care au furat criptomonede în valoare de aproximativ 6,3 miliarde de dolari de la Binance au folosit interviuri false de angajare, programe malițioase și un instrument intern de inteligență artificială compromis pentru a pătrunde în sistemele companiei. Atacul din 29 octombrie este considerat cel mai mare furt de criptomonede din istorie.
Conform unui comunicat al Binance, atacul a fost rezultatul unei operațiuni sofisticate, pregătite pe parcursul mai multor luni, în care hackerii au combinat tehnici de inginerie socială cu programe malițioase și exploatarea unor vulnerabilități ale infrastructurii informatice. Compania a descris incidentul drept unul „grav și extrem de sofisticat” și și-a cerut scuze utilizatorilor, recunoscând că „acest lucru nu ar fi trebuit să se întâmple”.
Cum au fost folosite interviurile false de angajare
Una dintre etapele esențiale ale atacului a avut loc în septembrie, când un inginer software al Binance a fost contactat prin intermediul unei platforme legitime de recrutare de o persoană care pretindea că este director de proiect. Angajatul, care își menționase experiența la Binance în profilul profesional, a fost invitat la două interviuri pentru un post în cadrul unei companii fictive. Primul interviu s-a desfășurat prin apel video cu un presupus reprezentant al departamentului de resurse umane, iar al doilea cu o persoană care se prezenta drept directorul general al firmei.
Pentru a-i câștiga încrederea, falsul recrutor i-a arătat inclusiv un cont de pe rețelele sociale care conținea fotografii și înregistrări video personale. La finalul celui de-al doilea interviu, inginerului i s-a cerut să descarce pe calculatorul de serviciu o presupusă probă de lucru, care ascundea însă un program malițios. Acesta s-a executat în timpul instalării, folosind tehnici avansate pentru a evita detectarea și pentru a permite comunicarea cu un server controlat de atacatori.
Investigația a arătat că operațiunea a început încă din iunie, când un alt inginer al Binance descărcase o versiune compromisă a unui program de instalare. Deși echipa de securitate detectase atunci activitatea suspectă, înlocuise dispozitivul și schimbase datele de autentificare, atacatorii obținuseră informații despre rolul angajatului și despre colegii săi responsabili de infrastructura portofelelor digitale.
Pe 20 octombrie, hackerii au exploatat calculatorul compromis în urma interviurilor false și au folosit un instrument intern de inteligență artificială pentru a obține acces la dispozitivele altor doi ingineri. Astfel, au descoperit date de autentificare și permisiuni care le-au permis ulterior să pătrundă în infrastructura de autorizare a tranzacțiilor, pregătind atacul propriu-zis din 29 octombrie.
Criptomonede de miliarde de dolari, transferate în câteva minute
În seara zilei de 29 octombrie, hackerii au exploatat accesul neautorizat la un serviciu intern de autorizare a tranzacțiilor și au început să transfere criptomonede din portofelele digitale ale Binance către adrese aflate sub controlul lor. În numai patru minute, cinci portofele au transferat 233,46 milioane de unități XRP, iar alte portofele au trimis aproximativ 970.500 SOL și 44,2 milioane OP. Atacatorii au reușit, de asemenea, să transfere 18.270 de bitcoin.
După detectarea transferurilor neobișnuit de mari, Binance a suspendat retragerile și a început să colaboreze cu partenerii săi pentru blocarea activelor, însă măsura nu a oprit imediat toate operațiunile neautorizate. Hackerii exploataseră un mecanism de autorizare din rețeaua Ethereum, cunoscut sub numele de EIP-7702, care le permitea să continue anumite transferuri independent de infrastructura obișnuită a platformei. Anularea acestor permisiuni a necesitat o procedură tehnică specială, finalizată în primele minute ale zilei de 30 octombrie.
Compania a anunțat că a reușit să blocheze active în valoare de aproximativ 2,85 miliarde de dolari și că a alocat fonduri suficiente pentru acoperirea pierderilor. Potrivit datelor comunicate, până sâmbătă fuseseră reconstituite 98% dintre activele în criptomonede afectate de atac. Suspendarea temporară a retragerilor a provocat îngrijorare în rândul utilizatorilor, care au retras active în valoare de miliarde de dolari după reluarea serviciului.
FBI atribuie atacul Coreei de Nord
Autoritățile americane, inclusiv FBI și Secret Service, au sprijinit Binance în identificarea și urmărirea criptomonedelor furate, iar FBI a atribuit atacul Coreei de Nord. Phenianul a respins acuzațiile, susținând că acestea reprezintă o încercare a Statelor Unite de a-i afecta imaginea. Binance a precizat că echipa sa de securitate a identificat și împiedicat, pe parcursul anului 2023, 57 de presupuse tentative de atac cibernetic asociate Coreei de Nord, folosind inclusiv interviuri fictive de angajare și programe malițioase prezentate drept instrumente pentru dezvoltatori.
În urma incidentului, Binance a reconstruit sistemele afectate, a înlocuit dispozitivele compromise și a anulat datele de autentificare și permisiunile care ar fi putut fi exploatate de atacatori. Compania a anunțat, de asemenea, că va apela la experți independenți pentru o evaluare completă a incidentului și că va crește investițiile în instrumente de inteligență artificială destinate detectării amenințărilor cibernetice, precum și în măsuri suplimentare de protecție a infrastructurii sale.
