Binance: hakeri 6,3 miljardu dolāru zādzībai izmantoja viltotas darba intervijas

Pasaulē lielākā kriptovalūtu birža Binance otrdien, 3. novembrī, publiskoja sākotnējo ziņojumu par to, kā uzbrucēji oktobra beigās no tās makiem nozaga kriptoaktīvus aptuveni 6,3 miljardu dolāru vērtībā. Pēc biržas teiktā, tas nebija viens atsevišķs ielaušanās gadījums vai vienkārša pikšķerēšana, bet vairākos posmos izvērsta kampaņa, kurā apvienota sociālā inženierija, ļaunprātīga programmatūra un biržas iekšējā MI rīka ļaunprātīga izmantošana.

Ziņojums ir būtisks visai nozarei, jo parāda, ka par vājāko posmu kļuva nevis biržas kriptogrāfija, bet izstrādātāju darba datori. Drošības uzņēmums SafeDep norāda, ka galvenais ieejas punkts bija programmētāju ikdienas rīki, kurus lietotājs var nomainīt bez paroles pieprasījuma.

Pirmā saskarsme notika jau jūnijā. Viens no maku infrastruktūras inženieriem, meklējot MI programmēšanas rīku, lejupielādēja viltotu Homebrew instalāciju. Drošības komanda to pamanīja, ierīci nomainīja un piekļuves datus atjaunoja, taču Binance atzīst, ka uzbrucēji šādi uzzināja par inženiera lomu un kolēģiem.

Septembrī ar citu inženieri caur likumīgu darba meklēšanas platformu sazinājās persona, kas uzdevās par projekta direktoru. Pirmajā video intervijā kāds, kas teicās esam personāla daļas pārstāvis, uzticības iegūšanai rādīja savu sociālo tīklu kontu ar personīgām fotogrāfijām. Otrā intervija notika tērzēšanas lietotnē ar it kā neeksistējoša uzņēmuma vadītāju. Beigās inženierim lika darba datorā lejupielādēt mājasdarba repozitoriju, kura instalēšanas laikā palaidās ļaunprātīgs kods. Tas nomainīja izstrādes rīku pyenv ar inficētu versiju, sazinājās ar uzbrucēju serveri un palika nepamanīts biržas drošības programmām.

20. oktobrī uzbrucēji no inficētā datora, izmantojot iekšējo MI rīku, pārņēma kontroli pār vēl divu inženieru datoriem. Vienā no tiem viņi atrada konteineru izvietošanas atļaujas pilnvaru. 29. oktobrī nepilnu trīs stundu laikā uzbrucēji ar šiem akreditācijas datiem izvietoja konteineru, palaida ļaunprātīgu skriptu un caur iekšējo maku parakstīšanas servisu sāka darījumus ārpus parastās izmaksu procedūras.

Binance paziņojusi, ka skarto maku sistēmu pārbūvējusi jaunā vidē, no jauna izveidojusi MI rīku un piekļuves kontroli, nomainījusi ierīces, anulējusi skarto darbinieku pilnvaras un pastiprinājusi uzvedības anomāliju uzraudzību. Birža sadarbojas ar tiesībsargiem un blokķēžu analītiķiem, lai izsekotu un iesaldētu līdzekļus.

ASV Federālais izmeklēšanas birojs uzbrukumu saista ar Ziemeļkoreju, kas vainu noliedz. Binance kampaņu nenosauc, bet SafeDep vērtējumā metode atbilst ar Ziemeļkoreju saistītajai kampaņai Contagious Interview, kurā izstrādātājiem ar viltotiem darba piedāvājumiem tiek iesūtīts kods, kas palaižas instalēšanas vai būvēšanas laikā.