Binance prześledziło kradzież 6,34 mld USD do pięciomiesięcznej, fałszywej rekrutacji

Pięciomiesięczna infiltracja doprowadziła do opróżnienia portfeli Binance

Binance twierdzi, że kradzież, którą wycenia na 6,34 mld USD, zaczęła się na kilka miesięcy przed transferem aktywów. W pierwszym publicznym opisie ataku z 29 października giełda przedstawiła kampanię, w której połączono pobranie zainfekowanego pliku z pozorowanym procesem rekrutacyjnym, złośliwym oprogramowaniem i nadużyciem wewnętrznego narzędzia AI. Opis przesuwa uwagę z pojedynczego momentu przejęcia kontroli nad portfelem na serię działań, które naraziły ludzi, urządzenia i dane uwierzytelniające zespołu inżynierów ds. portfeli.

Jak opisuje Binance, pierwsze przyczółki pojawiły się w czerwcu, gdy inżynier DevOps odpowiedzialny za portfele wyszukał popularne narzędzie AI do programowania i pobrał zmodyfikowany instalator Homebrew. Binance wykryło anomalię, wymieniło urządzenie i zmieniło dane uwierzytelniające. Incydent ujawnił jednak również zakres obowiązków inżyniera oraz nazwiska współpracowników zajmujących się infrastrukturą portfeli. Firma zareagowała, zabezpieczając urządzenie i dane dotyczące dostępu, ale późniejszy opis pokazuje, jak zdobyte informacje mogły posłużyć do dalszych ukierunkowanych działań.

We wrześniu do drugiego inżyniera skontaktowała się osoba podszywająca się pod dyrektora projektu za pośrednictwem legalnej platformy rekrutacyjnej. Binance twierdzi, że po tym kontakcie odbyły się rozmowy wideo z osobami podającymi się za przedstawicieli działu HR i kierownictwa firmy; aby zbudować zaufanie, udostępniono konto w mediach społecznościowych. Rzekomy dyrektor generalny zlecił następnie inżynierowi instalację repozytorium kodu na jego służbowym komputerze. Ten upozorowany proces stworzył wiarygodny pretekst, by złośliwe oprogramowanie trafiło na urządzenie służbowe.

Proces rekrutacyjny stał się drogą do uzyskania dostępu

Według Binance repozytorium zastąpiło legalny komponent pyenv złośliwą wersją i nawiązało połączenie z serwerem kontrolowanym przez atakujących. Złośliwe oprogramowanie określono jako zero-day, a w tamtym czasie narzędzia ochrony punktów końcowych go nie wykrywały. Szczegół ten wskazuje na praktyczną słabość polegania wyłącznie na konwencjonalnych alertach dotyczących urządzeń: pozornie związane z pracą zadanie programistyczne mogło dostarczyć kod, którego istniejące zabezpieczenia nie rozpoznawały jako zagrożenia. Binance nie ujawniło wszystkich technicznych szczegółów włamania.

20 października napastnicy wykorzystali przejęty komputer i wewnętrzne narzędzie AI, aby dotrzeć do kolejnych dwóch inżynierów zajmujących się portfelami, z których jeden miał token wdrożeniowy kontenera. Binance twierdzi, że 29 października intruzi zalogowali się na komputer trzeciego inżyniera, wdrożyli kontener przy użyciu skradzionych danych uwierzytelniających i zaczęli wyprowadzać aktywa. Ta sekwencja pokazuje, jak dostęp uzyskany za pośrednictwem jednego pracownika może zostać rozszerzony dzięki wewnętrznym narzędziom i uprawnieniom, choć opis firmy nie precyzuje wszystkich interakcji między zaatakowanymi systemami.

Binance twierdzi, że w tym roku zablokowało 57 innych prób, które podejrzewano o powiązania z Koreą Północną i w których wykorzystano podobne przynęty, ale giełda nie przypisała tej kradzieży żadnemu sprawcy. FBI przypisało atak Korei Północnej; Pjongjang odrzucił to oskarżenie, a Kim Yo Jong nazwała je polityczną prowokacją w mediach państwowych. Te sprzeczne twierdzenia sprawiają, że w publicznych doniesieniach odpowiedzialność pozostaje kwestią sporną. Raport Binance opisuje metodę i chronologię zdarzeń, nie rozstrzygając jednak kwestii przypisania ataku.

Delegowane podpisywanie wydłużyło reakcję

Transfery rozpoczęły się szybko, 29 października. Między 20:05 a 20:09 UTC pięć gorących portfeli przesłało 233,46 mln XRP na adres atakującego, a następnie portfele w sieciach Solana i Optimism wysłały około 970 500 SOL i 44,2 mln OP. Później gorący portfel Binance przesłał 18 270 BTC. Skala i tempo tych transferów pokazują, dlaczego reakcja wymagała czegoś więcej niż tylko zidentyfikowania przejętych danych uwierzytelniających: giełda musiała również wstrzymać kanały umożliwiające autoryzowanie transferów w łańcuchu.

Binance twierdzi, że atakujący wykorzystali przejętą usługę podpisującą do wywołania funkcji EIP-7702 Ethereum, która pozwala kontu delegować uprawnienia do wykonywania operacji na rzecz inteligentnego kontraktu bez ujawniania klucza. Kontrakt kontrolowany przez atakującego uzyskał częściową kontrolę nad gorącym portfelem Binance. Zawieszenie wypłat nie zamknęło tej drogi, ponieważ atakujący przesłali 50 transakcji podpisujących, które ustanowiły delegacje w łańcuchu bloków, działające poza infrastrukturą wypłat. Incydent ujawnił lukę między znanymi mechanizmami kontroli wypłat a delegowanym wykonywaniem operacji.

Portfel korzystał z obliczeń wielostronnych, dlatego — jak twierdzi Binance — nie istniał pojedynczy klucz, który można było po prostu unieważnić, aby anulować delegacje. Zespół musiał opracować procedurę w trakcie incydentu. Ostatni nieautoryzowany transfer, wynoszący 2 961,9 ETH, został rozliczony o 23:56 UTC; Binance usunęło delegację 30 października o 00:10 UTC. Firma przyznała, że trudności wydłużyły proces opanowywania sytuacji, i poinformowała, że analizuje zakres polityki podpisywania oraz mechanizmy kontroli gorących portfeli. Raport nie opisuje nowej procedury.

Odzyskiwanie środków, zmiany w zabezpieczeniach i nierozstrzygnięte pytania

Binance poinformowało o zamrożeniu lub przechwyceniu skradzionych aktywów o wartości około 2,85 mld dolarów oraz uzupełnieniu 98% tokenów, których dotyczył incydent, ze środków własnych; pozostałą część kupiono na otwartym rynku. Dane te opisują działania giełdy mające na celu odzyskanie środków i zrekompensowanie strat klientom, a nie pełne, publiczne rozliczenie ostatecznego losu każdego aktywa. Firma poinformowała również, że wypłaty wznawiano etapami; we wtorek, po wcześniejszych ograniczeniach, ponownie udostępniono kilkadziesiąt kolejnych aktywów w dziewięciu sieciach.

Przepływy klientów stanowiły kolejny miernik bezpośrednich następstw. Binance poinformowało, że w ciągu 46 godzin od ponownego uruchomienia wypłat w niedzielę użytkownicy wypłacili 10,97 mld USD, a odpływy netto wyniosły 5,28 mld USD. Do godz. 03:00 UTC wpłaty w ujęciu godzinowym przewyższyły wypłaty, co współdyrektor generalny Richard Teng określił jako oznakę stabilizacji. Dane wskazują, że znaczne wypłaty trwały nadal, mimo iż saldo godzinowe stało się dodatnie; nie pokazują jednak, jak użytkownicy będą zachowywać się w dłuższej perspektywie ani czy zaufanie w pełni się odbudowało.

Binance twierdzi, że odtworzyło system portfeli i wewnętrzne narzędzie AI w nowych środowiskach, wymieniło urządzenia, których dotyczył incydent, unieważniło dane uwierzytelniające inżynierów oraz rozszerzyło wykrywanie anomalii behawioralnych. Zleca niezależny audyt, zwiększa wydatki na bezpieczeństwo punktów końcowych i środowisk deweloperskich, a także planuje uruchomić fundusz badań nad bezpieczeństwem AI we współpracy z zewnętrznymi firmami. W Waszyngtonie przewodniczący CFTC Michael Selig wykorzystał incydent, by opowiedzieć się za federalną ścieżką rejestracji giełd działających offshore. Wyniki audytu i pełniejsze informacje techniczne od Binance wciąż nie są znane; część szczegółów pozostanie poufna.

Źródło: BitcoinMagazine