Il colpo da 6,3 miliardi di dollari ai danni di Binance è stato messo a segno combinando tecniche note nel corso di mesi. Secondo il post-mortem dell’azienda, tutto è iniziato a giugno con un developer che ha scaricato un installer manomesso tramite un annuncio pubblicitario su un motore di ricerca. Da lì, gli attaccanti hanno ottenuto informazioni sui dipendenti e sui loro sistemi, preparando il terreno per le fasi successive.
Interviste di lavoro come esca
A settembre, un altro ingegnere è stato contattato da un finto reclutatore che, dopo una serie di colloqui e scambi sui social per guadagnare fiducia, gli ha inviato un finto compito da svolgere: in realtà era un malware. Binance sostiene di aver rilevato il primo malware a giugno e sostituito il dispositivo, ma gli strumenti di sicurezza non hanno intercettato il secondo attacco, che ha rimosso l’eseguibile pyenv e lo ha rimpiazzato con una versione dannosa, garantendo l’accesso backdoor. Il malware utilizzava tecniche di offuscamento e evasione sofisticate, non rilevate dalle protezioni endpoint dell’epoca.
L’AI interna e il ruolo di TraderTraitor
Entro il 20 ottobre, gli attaccanti – identificati dall’FBI come unità nordcoreana TraderTraitor – hanno sfruttato un tool AI interno a Binance per prendere il controllo dei wallet del primo ingegnere compromesso a giugno e di un terzo dipendente. Il 29 ottobre hanno effettuato l’accesso al computer di quest’ultimo e lanciato l’attacco. Il post-mortem spiega anche perché Binance non è riuscita a bloccare le transazioni nelle due ore successive ai primi trasferimenti non autorizzati: l’hot wallet utilizzava la Multi-Party Computation (MPC), quindi non c’era una singola chiave privata per revocare immediatamente le autorizzazioni EIP-7702 malevole.
Binance afferma di aver prevenuto 57 casi di minacce informatiche legate alla Corea del Nord e che nessun utente subirà perdite. Il CEO Richard Teng ha dichiarato che circa 2,85 miliardi di dollari in asset rubati sono stati congelati o intercettati e che il 98% dei token colpiti è stato rimborsato, con i prelievi ampiamente ripresi. Resta però da chiarire perché questo attacco abbia funzionato, nonostante gli avvertimenti sugli annunci di lavoro che richiedono di eseguire codice su macchine aziendali, e mancano dettagli sul tool AI interno sfruttato dagli attaccanti.
