Binance ha ricostruito nel dettaglio l'attacco informatico che il 29 ottobre le è costato 6,34 miliardi di dollari in criptovalute. La violazione non è stata affatto lampo: gli aggressori hanno lavorato per mesi, partendo da un finto colloquio di lavoro. L'FBI attribuisce l'operazione alla Corea del Nord, mentre l'exchange ha confermato il collegamento indicato dalle autorità americane.
L'esca del finto colloquio
La vicenda comincia a giugno, quando un ingegnere del team wallet scarica la versione manomessa di un pacchetto Homebrew per uno dei più diffusi strumenti di programmazione basati sull'intelligenza artificiale, trovato tramite un motore di ricerca. L'azienda intercetta l'anomalia e corre ai ripari, ma i dati dei colleghi dell'ingegnere sono ormai compromessi. A settembre il copione si ripete con un altro sviluppatore, contattato questa volta tramite una piattaforma di ricerca lavoro autentica: un sedicente Project Director organizza due round di colloqui, il primo in videochiamata con una finta addetta alle risorse umane, il secondo via app di messaggistica con un fantomatico amministratore delegato.
Il finto CEO invia un esercizio da svolgere: all'apertura, il file si rivela un malware che si attiva durante l'installazione. Il codice, mai visto prima, è di tipo zero-day, costruito su misura e invisibile agli antivirus. Per eseguire i comandi sostituisce un componente legittimo di uno strumento di sviluppo con una versione alterata, dialoga con un server esterno controllato dagli aggressori e cancella le tracce del proprio passaggio. Secondo Binance, le tecniche di offuscamento e di evasione sono particolarmente sofisticate.
La razzia e il ruolo di EIP-7702
Il 20 ottobre gli hacker usano il computer compromesso dello sviluppatore per raggiungere, tramite uno strumento di intelligenza artificiale interno all'azienda, le macchine dell'ingegnere del team wallet e di un suo collega. Nove giorni dopo, il 29 ottobre, entrano nel computer di un terzo ingegnere, usano le credenziali sottratte al primo e lanciano lo script che dà il via alla razzia. Per ottenere i permessi necessari a muovere i fondi, gli attaccanti sfruttano EIP-7702, un meccanismo di Ethereum, su un hot wallet dell'exchange: le criptovalute iniziano a uscire alle 20:05 UTC e vengono trasferite su più blockchain.
L'FBI indica come responsabile il gruppo nordcoreano TraderTraitor, noto anche come Lazarus Group e APT38: le finte selezioni di personale sono una tattica ricorrente delle campagne di Pyongyang già documentate. Il co-CEO Richard Teng non attribuisce direttamente l'attacco alla Corea del Nord, ma riconosce il collegamento indicato dall'FBI. Binance ha inoltre dichiarato di aver bloccato 57 tentativi sospetti legati alla Corea del Nord nel corso dell'anno.
Dei 6,34 miliardi di dollari coinvolti, 2,85 miliardi sono stati congelati. L'exchange ammette che i movimenti sono proseguiti anche dopo la sospensione dei prelievi, perché quelle transazioni erano già state autorizzate. Il 3 novembre Binance ha completato la ricostruzione del sistema di wallet colpito e degli strumenti di intelligenza artificiale interni, sostituendo i dispositivi compromessi, dismettendo credenziali e token ormai insicuri e integrando capacità di rilevamento delle anomalie basate sull'IA. L'azienda si fa carico delle perdite: secondo Teng, il 98% dei token è stato reintegrato con fondi propri e gli utenti non subiranno conseguenze. L'accaduto sarà riesaminato da esperti indipendenti.
