Binance afferma che Hacker nordcoreani hanno usato un falso colloquio di lavoro per infettare con malware il computer di un dipendente, poi hanno sfruttato l’accesso ai sistemi interni dell’azienda per rubare circa 6,34 miliardi di dollari in asset digitali. L’exchange ha descritto l’attacco in un rapporto sull’incidente pubblicato oggi, ricostruendo la violazione fino alla compromissione iniziata a settembre e culminata nel furto del 29 ottobre.
Secondo Binance, un aggressore ha contattato un ingegnere informatico tramite una legittima piattaforma per la ricerca di lavoro, fingendosi direttore di progetto di un’azienda fittizia. Il reclutatore ha organizzato due colloqui, tra cui una videochiamata con una persona che sosteneva di lavorare nelle risorse umane. Per il secondo colloquio, al dipendente è stato chiesto tramite un’app di chat di scaricare un esercizio di programmazione da un repository online.
Binance afferma che il repository conteneva codice dannoso che ha installato malware personalizzato sul Mac dell’ingegnere. Il malware ha sostituito un componente di un legittimo strumento di sviluppo, consentendo agli aggressori di eseguire comandi da un server esterno. L’azienda ha dichiarato che, all’epoca, gli strumenti di sicurezza degli endpoint non avevano rilevato il malware e che gli aggressori avevano nascosto le proprie attività e rimosso le tracce della compromissione.
Entro il 20 ottobre, gli aggressori avevano usato il computer dell’ingegnere e uno strumento interno di intelligenza artificiale per compromettere altri due dipendenti che lavoravano all’infrastruttura dei wallet di Binance. Binance afferma che avevano ottenuto credenziali e un token per la distribuzione di container. Il 29 ottobre, quelle credenziali sono state usate per distribuire uno script dannoso e accedere al servizio di firma dei wallet, consentendo trasferimenti su diverse blockchain. Gli aggressori hanno anche utilizzato il meccanismo di autorizzazione EIP-7702 di Ethereum per continuare a rubare asset dopo che Binance aveva sospeso i prelievi.
Secondo il rapporto, l’FBI ha attribuito l’attacco a hacker sponsorizzati dallo Stato nordcoreano, noti come TraderTraitor e identificati anche con i nomi Lazarus Group, Jade Sleet e APT38. Binance non ha collegato l’incidente a una specifica campagna di hacking nordcoreana, ma il falso reclutatore e il compito di programmazione dannoso ricordano tattiche documentate in altre campagne rivolte a sviluppatori e lavoratori del settore delle criptovalute.
Binance afferma di aver ricostruito i sistemi interessati, sostituito i dispositivi compromessi e revocato le credenziali rubate. Al 3 novembre, erano stati congelati o intercettati circa 2,85 miliardi di dollari in asset rubati. L’exchange ha inoltre dichiarato che, al 31 ottobre, era stato reintegrato il 98% degli asset in token interessati e che prosegue le indagini con l’aiuto di società di sicurezza indipendenti.
Fonti: BleepingComputer.