Una falsa procedura di selezione ha permesso agli aggressori di arrivare ai sistemi di firma dei wallet di Binance, in una campagna culminata in un furto da 6,34 miliardi di dollari. Lo riferisce la stessa piattaforma nel suo rapporto iniziale sull'incidente del 3 novembre, ripreso da SecurityWeek. I computer di tre ingegneri sono stati compromessi nell'arco di diversi mesi, e uno strumento di AI interno ha contribuito all'espansione degli aggressori nei sistemi dell'azienda.
Da allora i clienti hanno riacquistato un ampio accesso ai prelievi, ha dichiarato il co-CEO Richard Teng il 3 novembre, dopo che Binance aveva iniziato a ripristinarli per fasi il 1° novembre. Teng ha inoltre dichiarato che il 98% dei token colpiti è stato reintegrato. Circa 2,85 miliardi di dollari di asset rubati sono stati congelati o intercettati.
Il resoconto di Binance descrive una serie di compromissioni successive, che hanno coinvolto download di software, reclutatori impersonati e credenziali di deployment rubate. Alla fine, gli aggressori hanno ottenuto un accesso che permetteva loro di autorizzare trasferimenti, anche tramite permessi sulla blockchain rimasti efficaci dopo la sospensione dei prelievi da parte della piattaforma.
Una selezione diventa il punto d'ingresso
La prima fase individuata da Binance risale a giugno. Un ingegnere responsabile dello sviluppo e delle operazioni dei wallet ha cercato online un noto strumento di programmazione basato sull'AI e ha scaricato un'installazione modificata di Homebrew, uno strumento per l'installazione di software.
Binance ha rilevato la compromissione, ha sostituito il computer e ha reimpostato le credenziali associate. Nel frattempo, però, gli intrusi avevano già appreso dettagli sul lavoro dell'ingegnere e sui suoi rapporti all'interno del team che gestisce l'infrastruttura dei wallet.
Un secondo ingegnere è finito nel mirino a settembre. Qualcuno che si presentava come direttore di progetto ha organizzato due colloqui per un posto di lavoro presso un'azienda inesistente. Il primo intervistatore si è finto un rappresentante delle risorse umane e ha usato un profilo sui social media con foto e video personali per guadagnare fiducia.
Il colloquio successivo era con una persona che sosteneva di essere l'amministratore delegato dell'azienda. Quella conversazione, condotta tramite un'applicazione di chat, ha portato a una richiesta: scaricare sul proprio computer di lavoro un compito di programmazione.
L'avvio del compito ha attivato un codice malevolo contenuto nel suo repository, ovvero l'insieme dei file del presunto progetto. Il payload ha sostituito un componente legittimo di uno strumento per sviluppatori con una versione fornita dagli aggressori e ha stabilito una comunicazione con il server degli aggressori. Binance l'ha definito «malware 0-day» e ha dichiarato che il software di sicurezza del computer non è riuscito a rilevarlo in quel momento.
Il 20 ottobre, gli intrusi hanno usato quella macchina compromessa insieme a uno strumento di AI interno per prendere il controllo dei computer del primo ingegnere e di un terzo ingegnere dei wallet, sebbene Binance non abbia descritto il ruolo specifico dello strumento.
Il computer del primo ingegnere conteneva un token di autorizzazione per il deployment di container, che impacchettano il software per l'esecuzione. Il 29 ottobre, gli aggressori sono entrati nel computer del terzo ingegnere e hanno usato le credenziali rubate al primo per avviare un container ed eseguire uno script malevolo.
Permessi sulla blockchain rimasti attivi oltre la sospensione dei prelievi
Binance ha attribuito il movimento di XRP, SOL, OP e BTC dai suoi hot wallet – portafogli utilizzati per le transazioni online – a un accesso non autorizzato a un servizio interno che firma le operazioni sui wallet.
Quel servizio ha inoltre consentito di abusare del meccanismo EIP-7702 di Ethereum. Gli aggressori hanno concesso a un contratto da loro controllato un'autorità parziale per eseguire azioni tramite un hot wallet. Poiché queste autorizzazioni erano registrate sulla blockchain, hanno continuato a operare in modo indipendente dai sistemi di prelievo di Binance. Bloccare i prelievi dei clienti, quindi, non poteva fermare tutti i movimenti non autorizzati di asset.
Il wallet coinvolto si basava sul multi-party computation, o MPC, che ripartisce le operazioni crittografiche tra più parti. Binance ha spiegato che ciò significava non disporre di una chiave unica con cui revocare immediatamente l'autorità delegata. L'ultimo trasferimento non autorizzato è stato completato alle 23:56 UTC; la delega è stata rimossa poco dopo la mezzanotte.
La piattaforma si è scusata con utenti, partner e con l'intero settore per i disagi e l'incertezza causati. Ha inoltre dichiarato di aver bloccato, quest'anno, 57 presunte minacce riconducibili alla Corea del Nord.
L'FBI ha attribuito il furto a TraderTraitor, un gruppo di hacker sostenuto dallo Stato nordcoreano. La Corea del Nord ha respinto l'accusa: in una dichiarazione diffusa dai media statali, Kim Yo Jong, sorella del leader Kim Jong Un, l'ha definita una provocazione politica e ha accusato gli Stati Uniti di attribuire ingiustamente al Paese dei crimini informatici.
Recupero e verifica delle riserve
Elliptic ha dichiarato che gli asset rubati sono passati per circa 12.000 wallet su 11 blockchain in meno di quattro giorni. La sua analisi ha rilevato un'automazione, ma nessun indizio che agenti IA stessero decidendo come riciclare i fondi. Circa 3,18 miliardi di dollari risultavano ancora in indirizzi collegati al furto al 3 novembre.
Chainalysis ha riferito separatamente che una sospensione d'emergenza temporanea su THORChain, causata da un problema tecnico non collegato, aveva rallentato il riciclaggio.
Binance ha dichiarato di aver ricostruito il sistema di wallet coinvolto e lo strumento di AI interno, sostituito i computer e ritirato le credenziali e i token degli ingegneri. Sono in corso di coinvolgimento società di sicurezza indipendenti per esaminare l'incidente, e la piattaforma sta sviluppando un fondo di ricerca per la sicurezza dell'AI negli ambienti blockchain.
Per i clienti che vogliono verificare la copertura degli asset, Binance ha completato una prova a conoscenza zero – una verifica crittografica – per la fotografia delle riserve del 31 ottobre. I detentori di dieci token principali possono usarla per verificare che i loro saldi siano coperti almeno 1:1.
