Binance afirma que Hackers norcoreanos utilizaron una falsa entrevista de trabajo para infectar con malware el ordenador de un empleado y luego aprovecharon el acceso a los sistemas internos de la empresa para robar alrededor de 6.340 millones de dólares en activos digitales. La plataforma detalló el ataque en un informe sobre el incidente publicado hoy, en el que sitúa el origen de la vulneración en un compromiso que comenzó en septiembre y culminó con el robo el 29 de octubre.
Según Binance, un atacante contactó con un ingeniero de software a través de una plataforma legítima de búsqueda de empleo, haciéndose pasar por director de proyectos de una empresa ficticia. El reclutador organizó dos entrevistas, incluida una videollamada con alguien que afirmaba trabajar en recursos humanos. Para la segunda entrevista, le pidieron al empleado, mediante una aplicación de chat, que descargara una tarea de programación de un repositorio en línea.
Binance afirma que el repositorio contenía código malicioso que instaló malware personalizado en el Mac del ingeniero. El malware sustituyó un componente de una herramienta de desarrollo legítima, lo que permitió a los atacantes ejecutar comandos desde un servidor externo. La empresa dijo que las herramientas de seguridad de los dispositivos no detectaron el malware en ese momento y que los atacantes ocultaron su actividad y eliminaron rastros del compromiso.
Para el 20 de octubre, los atacantes habían utilizado el ordenador del ingeniero y una herramienta interna de IA para comprometer a otros dos empleados que trabajaban en la infraestructura de billeteras de Binance. La empresa afirma que obtuvieron credenciales y un token de implementación de contenedores. El 29 de octubre, utilizaron esas credenciales para desplegar un script malicioso y acceder al servicio de firma de billeteras, lo que permitió realizar transferencias en varias cadenas de bloques. Los atacantes también utilizaron el mecanismo de autorización EIP-7702 de Ethereum para seguir robando activos después de que Binance suspendiera los retiros.
Según el informe, el FBI atribuyó el ataque a hackers patrocinados por el Estado norcoreano, conocidos como TraderTraitor y también identificados como Lazarus Group, Jade Sleet y APT38. Binance no ha vinculado el incidente con una campaña de hackeo norcoreana en particular, pero el falso reclutador y la tarea de programación maliciosa se asemejan a tácticas documentadas en otras campañas dirigidas contra desarrolladores y trabajadores del sector de las criptomonedas.
Binance afirma que reconstruyó los sistemas afectados, sustituyó los dispositivos comprometidos y revocó las credenciales robadas. Para el 3 de noviembre, se habían congelado o interceptado alrededor de 2.850 millones de dólares en activos robados. La plataforma también dijo que, para el 31 de octubre, se había repuesto el 98 % de los activos de los tokens afectados, y que continúa investigando con la ayuda de empresas de seguridad independientes.
Fuentes: BleepingComputer.