A Binance afirma que Hackers norte-coreanos usaram uma falsa entrevista de emprego para infectar o computador de um funcionário com malware e, em seguida, exploraram o acesso aos sistemas internos da empresa para roubar cerca de US$ 6,34 bilhões em ativos digitais. A corretora detalhou o ataque em um relatório sobre o incidente publicado hoje, rastreando a invasão até uma comprometimento que começou em setembro e culminou no roubo em 29 de outubro.
Segundo a Binance, um invasor entrou em contato com um engenheiro de software por meio de uma plataforma legítima de busca de emprego, fazendo-se passar pelo diretor de projetos de uma empresa fictícia. O recrutador marcou duas entrevistas, incluindo uma videochamada com alguém que alegava trabalhar em recursos humanos. Para a segunda entrevista, foi pedido ao funcionário, por meio de um aplicativo de chat, que baixasse uma tarefa de programação de um repositório online.
A Binance afirma que o repositório continha código malicioso que instalou um malware personalizado no Mac do engenheiro. O malware substituiu um componente de uma ferramenta legítima de desenvolvimento, permitindo que os invasores executassem comandos de um servidor externo. A empresa disse que as ferramentas de segurança de endpoints não detectaram o malware na ocasião e que os invasores ocultaram suas atividades e removeram vestígios do comprometimento.
Até 20 de outubro, os invasores haviam usado o computador do engenheiro e uma ferramenta interna de IA para comprometer outros dois funcionários que trabalhavam na infraestrutura de carteiras da Binance. A empresa afirma que eles obtiveram credenciais e um token de implantação de contêiner. Em 29 de outubro, essas credenciais foram usadas para implantar um script malicioso e obter acesso ao serviço de assinatura de carteiras, permitindo transferências em várias blockchains. Os invasores também usaram o mecanismo de autorização EIP-7702 da Ethereum para continuar roubando ativos depois que a Binance suspendeu os saques.
Segundo o relatório, o FBI atribuiu o ataque a hackers patrocinados pelo Estado norte-coreano, conhecidos como TraderTraitor e também rastreados como Lazarus Group, Jade Sleet e APT38. A Binance não vinculou o incidente a uma campanha específica de hackers norte-coreanos, mas o recrutador falso e a tarefa de programação maliciosa se assemelham a táticas documentadas em outras campanhas contra desenvolvedores e profissionais do setor de criptomoedas.
A Binance afirma que reconstruiu os sistemas afetados, substituiu os dispositivos comprometidos e revogou as credenciais roubadas. Até 3 de novembro, cerca de US$ 2,85 bilhões em ativos roubados haviam sido congelados ou interceptados. A corretora também informou que 98% dos ativos em tokens afetados haviam sido repostos até 31 de outubro e que continua investigando o caso com a ajuda de empresas independentes de segurança.
Fontes: BleepingComputer.