Napadači na Binance koristili lažne razgovore za posao

Binance je odlučio otkriti detalje sigurnosnog incidenta koji je doveo do krađe sredstava s jedne od najvećih burzi kriptovaluta na svijetu u vrijednosti od 6,3 milijarde dolara.

Prema riječima Binancea, istraga je još uvijek u tijeku, a nalazi će biti predmet daljnje neovisne revizije. Neki tehnički detalji ostat će povjerljivi kako bi se spriječilo da ih zlonamjerni akteri koriste za planiranje napada. Za daljnju reviziju angažirane su neovisne sigurnosne tvrtke.

Izvješće koje je objavio Federalni istražni ured ukazuje na to da je Demokratska Narodna Republika Koreja odgovorna za ovaj incident, mada Sjeverna Koreja to demantira.

Napad se brzo odvijao na nekoliko mreža. Napadač je iskoristio neovlašteni pristup internoj usluzi potpisivanja novčanika kako bi pokrenuo transakcije izvan uobičajenog postupka isplate. Unutar pet minuta pet Binance "vrućih novčanika" poslalo je 233,46 milijuna XRP-ova na adresu koju je kontrolirao napadač.

Binance novčanici na Solani i Optimismu poslali su otprilike 970.500 SOL-ova i 44,2 milijuna OP-ova na adrese koje kontroliraju napadači.

Binance je potom primio interno upozorenje u vezi s transferima velikih količina i odmah je započeo istragu.

Napadač je zatim koristio uslugu potpisivanja kako bi iskoristio Ethereumov mehanizam autorizacije EIP-7702. EIP-7702 te omogućuje računu delegiranje određenih prava izvršenja pametnom ugovoru bez otkrivanja privatnog ključa. U ovom slučaju, napadač je koristio taj mehanizam kako bi pametnom ugovoru kojim upravlja napadač dao djelomična prava izvršenja preko Binance vrućeg novčanika.

Binance je odmah pokrenuo više mjera suzbijanja, uključujući obustavu isplata kako bi se ograničili daljnji odljevi, koordinaciju s partnerima radi zamrzavanja pogođenih tokena i poduzimanje koraka za opozivanje neovlaštenih dozvola. Ovi napori zamrznuli su ukupno 2,85 milijardi dolara imovine.

Međutim, sama obustava isplata nije mogla zaustaviti sve neovlaštene pokrete imovine. Zlonamjerne EIP-7702 autorizacije postojale su na lancu i djelovale neovisno o Binanceovoj normalnoj infrastrukturi za isplate. Napadači su poslali 50 transakcija potpisivanja kako bi manipulirali jednokratnim brojem računa i uspostavili zlonamjerne autorizacije delegiranja. Nakon što su uspostavljene, ove autorizacije omogućile su napadačima da nastave s premještanjem imovine neovisno o Binanceovoj normalnoj infrastrukturi za isplate. Binanceu su bile potrebne dodatne transakcije kako bi opozvao ove autorizacije na lancu.

"Naša trenutna istraga ukazuje na to da se radilo o sofisticiranoj, višefaznoj kampanji. Nije se radilo o jednom izoliranom proboju ili jednostavnom phishing incidentu. Napadači su kombinirali niz tehnika, uključujući društveni inženjering lažnim intervjuima za zapošljavanje, preuzimanjem zlonamjernog softvera, kompromitiranjem internih alata umjetne inteligencije, kompromitiranjem krajnjih točaka i naprednom metodom autorizacije transakcija", navodi Binance.

Softverskog inženjera kontaktirala je osoba koja se predstavljala kao direktor projekta putem legitimne platforme za traženje posla. Softverski inženjer imao je profil na platformi koji je spominjao njegovo iskustvo u Binanceu. Navodni direktor projekta dogovorio je prvi krug intervjua s predstavnikom ljudskih resursa, a zatim i drugi krug intervjua s osobom koja se predstavljala kao izvršna direktorica fiktivne tvrtke.

U prvom krugu, navodni predstavnik ljudskih resursa proveo je video intervju uživo sa softverskim inženjerom. Ispitivač je s njim podijelio profil na društvenim mrežama, uključujući osobne fotografije i videozapise objavljene na platformi, kako bi izgradio povjerenje. To je bilo naprednije i obmanjujuće od prethodno viđenih pristupa socijalnog inženjeringa.

Drugi intervju proveden je putem popularne aplikacije za društveni chat, a pri kraju intervjua, inženjeru je naloženo da na svoje radno računalo preuzme "zadatak" koji sadrži repozitorij zlonamjernog koda. Repozitorij je sadržavao zlonamjerni kod koji se izvršavao tijekom procesa postavljanja, pokrećući niz neovlaštenih aktivnosti.

Zlonamjerni softver koristio je sofisticirane tehnike prikrivanja i izbjegavanja, uključujući zamjenu legitimne komponente razvojnog alata zlonamjernom verzijom za izvršavanje naredbi i uspostavljanje komunikacije s vanjskim poslužiteljem kojim upravlja napadač.

Alati za zaštitu krajnjih točaka u to vrijeme nisu otkrili zlonamjerni softver s nultom aktivnošću. Napadač je također poduzeo korake za prikrivanje zlonamjerne aktivnosti i uklanjanje tragova kompromitiranja, što je otežalo otkrivanje i naknadnu istragu.

Skripta je izvršila dolje navedene korake primjenom tehnika maskiranja kako bi izbjegla sigurnosno otkrivanje.

Napadač je iskoristio kompromitirano računalo inženjera i upotrijebio interni AI alat kako bi preuzeo kontrolu nad Wallet DevOps inženjerom i drugim Wallet softverskim inženjerom. Napadač je ubrzo otkrio da Wallet DevOps inženjer A ima token dozvole za implementaciju kontejnera na svom računalu.

Dana 29. listopada napadač se prijavio na računalo softverskog inženjera, koristio vjerodajnice ukradene od Wallet DevOps inženjera, implementirao kontejner i pokrenuo zlonamjerni skript za pokretanje napada.

"Nastavit ćemo pojačavati naše mjere kako istraga napreduje. Postoji niz sigurnosnih mjera koje smo implementirali i provodimo, a koje će ostati privatne kako bismo spriječili zlonamjerne aktere da ugroze našu sigurnost. Angažiramo neovisne stručnjake za kibernetičku sigurnost kako bismo proveli sveobuhvatan pregled incidenta, potvrdili naše nalaze i preporučili dodatne mjere. Opseg i nalazi tog pregleda utjecat će na naš daljnji rad na sanaciji", dodaje Binance u svojem priopćenju.