Binance zufolge nutzten Nordkoreanische Hacker ein gefälschtes Bewerbungsgespräch, um den Computer eines Mitarbeiters mit Malware zu infizieren, und missbrauchten anschließend ihren Zugriff auf die internen Systeme des Unternehmens, um digitale Vermögenswerte im Wert von etwa 6,34 Milliarden US-Dollar zu stehlen. Die Börse schilderte den Angriff in einem heute veröffentlichten Vorfallbericht. Darin führt sie den Einbruch auf eine im September begonnene Kompromittierung zurück, die am 29. Oktober im Diebstahl gipfelte.

Laut Binance kontaktierte ein Angreifer einen Softwareentwickler über eine legitime Plattform für die Jobsuche und gab sich dabei als Projektleiter eines fiktiven Unternehmens aus. Der Recruiter vereinbarte zwei Gespräche, darunter einen Videoanruf mit einer Person, die behauptete, in der Personalabteilung zu arbeiten. Für das zweite Gespräch wurde der Mitarbeiter über eine Social-Chat-App aufgefordert, eine Programmieraufgabe aus einem Online-Repository herunterzuladen.

Binance zufolge enthielt das Repository bösartigen Code, der maßgeschneiderte Malware auf dem Mac des Entwicklers installierte. Die Malware ersetzte eine Komponente eines legitimen Entwicklungstools und ermöglichte es den Angreifern, Befehle von einem externen Server auszuführen. Das Unternehmen erklärte, dass die Endpoint-Sicherheitstools die Malware damals nicht erkannten und die Angreifer ihre Aktivitäten verschleierten und Spuren der Kompromittierung beseitigten.

Bis zum 20. Oktober hatten die Angreifer den Computer des Entwicklers und ein internes KI-Tool genutzt, um zwei weitere Mitarbeiter zu kompromittieren, die an der Wallet-Infrastruktur von Binance arbeiteten. Binance zufolge erlangten sie Zugangsdaten und ein Token für die Container-Bereitstellung. Am 29. Oktober wurden diese Zugangsdaten verwendet, um ein bösartiges Skript einzusetzen und Zugriff auf den Wallet-Signierdienst zu erhalten, wodurch Überweisungen über mehrere Blockchains hinweg möglich wurden. Die Angreifer nutzten außerdem Ethereums Autorisierungsmechanismus EIP-7702, um weiterhin Vermögenswerte zu stehlen, nachdem Binance Auszahlungen ausgesetzt hatte.

Laut dem Bericht führte das FBI den Angriff auf staatlich unterstützte nordkoreanische Hacker zurück, die als TraderTraitor bekannt sind und auch unter den Namen Lazarus Group, Jade Sleet und APT38 geführt werden. Binance hat den Vorfall keiner bestimmten nordkoreanischen Hacker-Kampagne zugeordnet. Der gefälschte Recruiter und die bösartige Programmieraufgabe ähneln jedoch Taktiken, die in anderen Kampagnen gegen Entwickler und Beschäftigte der Kryptowährungsbranche dokumentiert wurden.

Binance zufolge hat das Unternehmen betroffene Systeme neu aufgebaut, kompromittierte Geräte ersetzt und gestohlene Zugangsdaten widerrufen. Bis zum 3. November waren Vermögenswerte im Wert von etwa 2,85 Milliarden US-Dollar eingefroren oder abgefangen worden. Die Börse erklärte außerdem, dass zum 31. Oktober 98 % der betroffenen Token-Vermögenswerte wieder aufgefüllt worden waren und dass sie die Ermittlungen mit Unterstützung unabhängiger Sicherheitsfirmen fortsetzt.

Quellen: BleepingComputer.