Binance riconduce il furto di 6,34 miliardi di dollari a una falsa campagna di reclutamento durata cinque mesi

Un’intrusione durata cinque mesi ha portato allo svuotamento dei portafogli di Binance

Secondo Binance, il furto, che l’exchange valuta 6,34 miliardi di dollari, è iniziato mesi prima che gli asset venissero trasferiti. Nel suo primo resoconto pubblico dell’attacco del 29 ottobre, l’exchange ha descritto una campagna che combinava un download di software compromesso con un processo di assunzione inscenato, malware e l’uso improprio di uno strumento interno basato sull’IA. Il resoconto sposta l’attenzione dal singolo momento in cui i portafogli sono stati compromessi a una serie di passaggi che hanno esposto persone, dispositivi e credenziali del team di ingegneria dei portafogli.

Il primo punto d’accesso descritto da Binance risale a giugno, quando un ingegnere DevOps addetto ai portafogli cercò un popolare strumento di programmazione basato sull’IA e scaricò un programma di installazione Homebrew manomesso. Binance rilevò un’anomalia, sostituì il dispositivo e ruotò le credenziali. L’incidente rivelò però anche le responsabilità dell’ingegnere e i nomi dei colleghi che lavoravano all’infrastruttura dei portafogli. La risposta dell’azienda riguardò il dispositivo interessato e i dettagli di accesso, mentre il resoconto successivo mostra come questa esposizione possa aver fornito informazioni utili per ulteriori tentativi di attacco.

A settembre, un secondo ingegnere è stato contattato tramite una legittima piattaforma per la ricerca di lavoro da qualcuno che si spacciava per direttore di progetto. Binance afferma che al contatto sono seguiti colloqui in video con persone che sostenevano di rappresentare le risorse umane e i vertici aziendali; è stato condiviso un account personale sui social media per instaurare un rapporto di fiducia. Il presunto CEO ha poi assegnato un repository di codice da installare sul computer di lavoro dell’ingegnere. La procedura inscenata ha fornito al software dannoso un pretesto credibile per raggiungere un dispositivo di lavoro.

Un processo di selezione è diventato una via d’accesso

Secondo Binance, il repository ha sostituito un componente legittimo di pyenv con una versione dannosa e ha aperto una connessione a un server controllato dagli aggressori. Il malware è stato descritto come zero-day e, all’epoca, non veniva segnalato dagli strumenti di protezione degli endpoint. Questo dettaglio evidenzia una debolezza pratica nell’affidarsi esclusivamente ai tradizionali avvisi dei dispositivi: un’attività di programmazione apparentemente legata a un’offerta di lavoro poteva introdurre codice che le protezioni esistenti non riconoscevano come ostile. Binance non ha divulgato tutti i dettagli tecnici dell’intrusione.

Il 20 ottobre, gli aggressori hanno usato il computer compromesso e uno strumento interno di IA per raggiungere altri due ingegneri addetti ai wallet, uno dei quali disponeva di un token per il deployment di container. Binance afferma che il 29 ottobre gli intrusi hanno effettuato l’accesso al computer di un terzo ingegnere, distribuito un container usando credenziali rubate e iniziato a sottrarre asset. La sequenza illustra come l’accesso ottenuto tramite un dipendente possa essere esteso attraverso strumenti e privilegi interni, sebbene il resoconto dell’azienda non specifichi ogni interazione tra i sistemi presi di mira.

Binance afferma di aver bloccato quest’anno altri 57 tentativi sospetti collegati alla Corea del Nord che utilizzavano esche simili, ma l’exchange non ha attribuito direttamente il furto. L’FBI ha attribuito l’attacco alla Corea del Nord; Pyongyang ha respinto l’accusa e Kim Yo Jong l’ha definita una provocazione politica sui media statali. Queste versioni contrapposte lasciano la responsabilità controversa nel resoconto pubblico. Il rapporto di Binance descrive il metodo e la cronologia senza risolvere la questione dell’attribuzione.

La firma delegata ha prolungato la risposta

I trasferimenti sono iniziati rapidamente il 29 ottobre. Tra le 20:05 e le 20:09 UTC, cinque hot wallet hanno inviato 233,46 milioni di XRP a un indirizzo dell’attaccante, seguiti da circa 970.500 SOL e 44,2 milioni di OP da wallet su Solana e Optimism. Un hot wallet di Binance ha poi inviato 18.270 BTC. La portata e la velocità di questi movimenti mostrano perché la risposta richiedesse più della semplice identificazione delle credenziali compromesse: l’exchange doveva anche bloccare i canali in grado di autorizzare trasferimenti on-chain.

Binance afferma che gli aggressori hanno utilizzato un servizio di firma compromesso per invocare l’EIP-7702 di Ethereum, che consente a un account di delegare i diritti di esecuzione a uno smart contract senza esporre la propria chiave. Un contratto controllato dagli aggressori ha acquisito il controllo parziale di un hot wallet di Binance. Sospendere i prelievi non ha chiuso quella via d’accesso, perché gli aggressori avevano inviato 50 transazioni di firma che stabilivano deleghe on-chain, operanti al di fuori dell’infrastruttura dei prelievi. L’episodio ha messo in luce una lacuna tra i consueti controlli sui prelievi e l’esecuzione delegata.

Il wallet utilizzava il calcolo multiparte, quindi Binance afferma che non esisteva una singola chiave che si potesse semplicemente revocare per annullare le deleghe. Il team ha dovuto sviluppare una procedura durante l’incidente. L’ultimo trasferimento non autorizzato, pari a 2.961,9 ETH, è stato completato alle 23:56 UTC; Binance ha revocato la delega alle 00:10 UTC del 30 ottobre. L’azienda ha riconosciuto che la difficoltà ha prolungato le operazioni di contenimento e ha dichiarato che sta riesaminando la copertura delle policy di firma e i controlli sugli hot wallet. Il rapporto non descrive nel dettaglio la nuova procedura.

Recupero, modifiche alla sicurezza e questioni irrisolte

Binance ha riferito di aver congelato o intercettato circa 2,85 miliardi di dollari degli asset rubati e di aver reintegrato il 98% dei token interessati con fondi propri, mentre il saldo restante è stato acquistato sul mercato aperto. Queste cifre descrivono le operazioni di recupero dell’exchange e di rimborso dei clienti, non una rendicontazione pubblica completa della destinazione finale di ogni asset. L’azienda ha inoltre dichiarato che i prelievi sono ripresi gradualmente e che martedì sono stati riaperti decine di altri asset su nove reti, dopo le precedenti restrizioni.

I flussi dei clienti hanno offerto un altro indicatore delle conseguenze immediate. Binance ha dichiarato che gli utenti hanno prelevato 10,97 miliardi di dollari nelle 46 ore successive alla riapertura dei prelievi domenica, mentre i deflussi netti sono stati pari a 5,28 miliardi di dollari. Alle 03:00 UTC, i depositi orari hanno superato i prelievi, un segnale che il co-CEO Richard Teng ha descritto come stabilizzazione. I dati indicano che i prelievi sono proseguiti in misura considerevole anche dopo che il saldo orario è diventato positivo; non permettono di stabilire come si comporteranno gli utenti nel lungo periodo né se la fiducia sia stata pienamente ristabilita.

Binance afferma di aver ricreato il proprio sistema di wallet e lo strumento interno di IA in nuovi ambienti, sostituito i dispositivi interessati, revocato le credenziali degli ingegneri e potenziato il rilevamento delle anomalie comportamentali. Sta commissionando una revisione indipendente, aumentando gli investimenti nella sicurezza degli endpoint e degli ambienti di sviluppo e pianificando un fondo per la ricerca sulla sicurezza dell’IA con aziende esterne. A Washington, il presidente della CFTC Michael Selig ha sfruttato la violazione per sostenere la creazione di un percorso federale di registrazione per gli exchange offshore. Le conclusioni della revisione e informazioni tecniche più complete da parte di Binance sono ancora attese; alcuni dettagli resteranno riservati.

Fonte: BitcoinMagazine