A Binance szerint észak-koreai hackerek egy látszólag ártalmatlan állásinterjún keresztül juttattak kártékony szoftvert egy munkatárs gépére, majd onnan jutottak el a tőzsde wallet infrastruktúrájáig. Az október 29-i támadás során mintegy 6,34 milliárd dollár értékű kriptovalutát sikerült ellopniuk.
Hogyan kezdődött a támadás?
Az eset szeptemberben vette kezdetét, amikor a Binance egyik szoftverfejlesztőjét egy valódi álláskereső platformon keresztül kereste meg egy hamis toborzó. A támadó egy fiktív cég projektvezetőjének adta ki magát, és a fejlesztő Binance-nél szerzett tapasztalata miatt kifejezetten értékes célpontnak tűnt. A hamis interjúfolyamat két körből állt. Először egy állítólagos HR munkatárs videóhívásban lépett kapcsolatba az érintettel, és közösségimédia-profilokkal, személyes fotókkal erősítette a hitelesség látszatát. A második interjú során a fejlesztőt egy kódolási feladat letöltésére kérték egy repository-ból.
A módszer erősen hasonlít a Contagious Interview és az Operation Dream Job kampányokhoz. Ezekben az észak-koreai csoportok hamis állásajánlatokkal, magukat toborzóknak kiadva és rosszindulatú fejlesztői feladatokkal juttatnak kártevőt célpontok gépére, különösen fejlesztők és kriptovaluta-iparági dolgozók közül.
Az FBI a támadást az észak-koreai államilag támogatott TraderTraitor csoportnak tulajdonította, amelyet Lazarus Group, Jade Sleet és APT38 néven is nyilvántartanak.
Rosszindulatú kód a fejlesztői feladatban
A letöltött feladat valójában korábban nem ismert, testreszabott kártevőt tartalmazott. A Binance szerint a rosszindulatú kód olyan obfuszkációs és észleléselkerülési technikákat alkalmazott, hogy az akkor használt végpontvédelmi megoldások nem fogták meg. A kártevő a macOS Homebrew telepítési könyvtárában egy pyenv_ nevű fájlt hozott létre, törölte a valódi pyenv eszközt, majd a saját fájlját nevezte át pyenv-re. Ez lehetővé tette, hogy a támadók távolról futtassanak parancsokat az érintett gépen, miközben a fertőzés látszólag egy normál fejlesztői eszköz része maradt.
A belső hálózaton tovább terjedt
Október 20-ig a támadók a fertőzött fejlesztőgépet és egy belső MI-eszközt felhasználva további két, a wallet infrastruktúrával foglalkozó munkatárs fiókját kompromittálták. Így jutottak hozzá hitelesítő adatokhoz és egy konténertelepítési tokenhez. Október 29-én a lopott hozzáférésekkel rosszindulatú scriptet telepítettek, majd jogosulatlanul beléptek a Binance wallet aláíró szolgáltatásába. Ezt követően több blokkláncon keresztül tudtak kriptoeszközöket áthelyezni. A támadók az Ethereum EIP-7702 engedélyezési mechanizmusát is kihasználták, így a Binance kifizetések felfüggesztése után is folytatni tudták az eszközök ellopását.
Mit tett a Binance?
A Binance közlése szerint újjáépítette az érintett rendszereket, kicserélte a kompromittált eszközöket, és visszavonta az ellopott hozzáférési adatokat. November 3-ig körülbelül 2,85 milliárd dollár értékű ellopott eszközt sikerült befagyasztani vagy elfogni, az érintett tokenállomány 98 százalékát pedig október 31-ig pótolni tudták. A vizsgálat folyamatban van, és a Binance független biztonsági cégeket is bevon a megállapítások átvizsgálásába.