Binance ha pubblicato un report che ricostruisce nel dettaglio il furto di circa 6,34 miliardi di dollari in asset digitali, avvenuto il 29 ottobre e considerato il più grande mai registrato nel settore crypto. Secondo l'exchange, l'operazione è il frutto di tecniche note combinate nell'arco di mesi: ingegneria sociale, malware e compromissione di sistemi interni. L'FBI ha attribuito l'attacco al gruppo nordcoreano TraderTraitor, noto anche come Lazarus Group, Jade Sleet e APT38.
Dal falso annuncio al colloquio truffa
La catena di eventi sarebbe iniziata a giugno, quando uno sviluppatore ha scaricato un installer manomesso, probabilmente diffuso tramite un annuncio Google malevolo, esponendo informazioni sugli ingegneri dell'azienda. A settembre un altro ingegnere software è stato contattato su una piattaforma legittima di ricerca del lavoro da un falso Project Director di un'azienda inesistente. Il profilo del bersaglio citava la sua esperienza in Binance, rendendolo particolarmente appetibile. Il finto recruiter ha organizzato due colloqui: nel primo, in videochiamata, un presunto referente delle risorse umane ha condiviso un account social con foto e video personali per costruire fiducia; nel secondo, su una nota app di chat, un interlocutore che si presentava come CEO ha chiesto di scaricare un esercizio di programmazione da un repository online.
Il repository conteneva codice malevolo che, una volta eseguito, ha infettato il dispositivo con un malware personalizzato 0-day mai visto prima e non rilevato dagli antivirus. Come spiega Binance, il malware impiegava «sofisticate tecniche di offuscamento ed evasione», tra cui la sostituzione di un componente legittimo di uno strumento di sviluppo con una versione malevola, per eseguire comandi e comunicare con un server controllato dagli aggressori. Su macOS lo script ha creato nella directory di installazione di Homebrew un eseguibile denominato pyenv_, ha eliminato il pyenv originale, rinominato il file malevolo e modificato il link simbolico, avviando un processo Z shell (zsh) per ottenere un accesso backdoor.
L'abuso di EIP-7702 e il ruolo dell'AI interna
Entro il 20 ottobre i criminali, sfruttando un computer compromesso e uno strumento di intelligenza artificiale interno a Binance, hanno raggiunto altri due dipendenti coinvolti nell'infrastruttura dei wallet, ottenendo credenziali e un token di deployment per container. Il 29 ottobre, accedendo al computer del terzo dipendente, hanno distribuito uno script malevolo e ottenuto accesso non autorizzato al servizio di firma dei wallet, trasferendo ingenti quantità di criptovalute su più blockchain. Gli attaccanti hanno inoltre abusato del meccanismo di autorizzazione EIP-7702 di Ethereum, continuando a sottrarre fondi anche dopo la sospensione dei prelievi.
Binance spiega perché non è stato possibile fermare le transazioni avvenute quasi due ore dopo i primi trasferimenti non autorizzati: poiché l'hot wallet utilizzava la Multi-Party Computation (MPC), non esisteva una singola chiave privata per revocare subito le autorizzazioni malevole. L'exchange riferisce di aver ricostruito i sistemi, sostituito i dispositivi compromessi e revocato le credenziali sottratte. Il CEO Richard Teng ha ribadito che nessun utente subirà perdite: «Il 98% dei token interessati è stato reintegrato; stiamo completando il restante 2%. I prelievi sono in gran parte ripresi». Binance afferma inoltre di aver prevenuto 57 casi di minacce informatiche sospettate di legami con la Corea del Nord e di aver coinvolto società di sicurezza indipendenti per rivedere le proprie conclusioni.
