Non è stata un'operazione improvvisata, ma il frutto di mesi di preparazione e di una catena di compromissioni mirate ai dipendenti. È quanto emerge dalla ricostruzione pubblicata da Binance sull'attacco informatico del 29 ottobre, che avrebbe coinvolto asset digitali per 6,34 miliardi di dollari. L'exchange dichiara di aver congelato circa 2,85 miliardi e di aver reintegrato il 98% dei token interessati, collegando l'incidente alle conclusioni dell'FBI che aveva attribuito l'operazione alla Corea del Nord.
Il primo passo: un Homebrew compromesso
Secondo Binance, il primo episodio risale a giugno: un ingegnere DevOps impegnato sull'infrastruttura dei wallet scaricò una versione compromessa di Homebrew per installare uno strumento di programmazione basato sull'intelligenza artificiale. Il team di sicurezza rilevò e gestì il fatto, ma gli hacker ottennero comunque informazioni sull'ingegnere e sui suoi colleghi del team wallet. A settembre la seconda fase, condotta con tecniche di ingegneria sociale: uno sviluppatore fu contattato su una piattaforma per la ricerca di lavoro da un sedicente "Project Director". Seguì un processo di selezione credibile, con una videochiamata con un falso responsabile delle risorse umane e un secondo colloquio via chat con quello che doveva essere il CEO dell'azienda.
Il malware e l'accesso finale
Durante quest'ultimo passaggio, il "dirigente" inviò al dipendente un esercizio da scaricare. Il file conteneva malware, attivato con una serie di attività nascoste e scambi con i server degli attaccanti. Binance descrive il codice malevolo come particolarmente sofisticato, capace di usare tecniche di offuscamento ed evasione per evitare il rilevamento, sostituendo un componente autentico di uno strumento di sviluppo con una versione modificata. Il 20 ottobre gli hacker avrebbero usato il computer compromesso dello sviluppatore per sfruttare uno strumento AI interno di Binance e prendere il controllo dei dispositivi di altri due ingegneri, tra cui quello coinvolto nell'episodio di giugno. L'attacco vero e proprio è poi partito il 29 ottobre, con l'accesso al computer di un terzo ingegnere, credenziali rubate e uno script malevolo per eseguire l'operazione.
