Zwykła oferta pracy, dwa spotkania online i niewinna próba programistyczna. Tak miała wyglądać droga do nowego stanowiska w jednej z największych giełd kryptowalut na świecie. Zamiast kariery zawodowej doszło jednak do jednego z najbardziej spektakularnych cyberataków ostatnich miesięcy. Binance straciło 6,34 miliarda dolarów, a wszystko zaczęło się od fałszywej rekrutacji.
Najdroższa rozmowa kwalifikacyjna w historii. Tak oszukano pracownika Binance
Historia rozpoczęła się we wrześniu, kiedy jeden z programistów Binance otrzymał ofertę pracy za pośrednictwem popularnej platformy rekrutacyjnej. Kontakt nawiązała osoba podająca się za dyrektora projektu. Następnie kandydat uczestniczył w dwóch rozmowach wideo. Pierwszą przeprowadził rzekomy przedstawiciel działu HR, drugą osoba przedstawiająca się jako dyrektor generalny firmy.
Cały proces wyglądał wiarygodnie. Nie wzbudził podejrzeń pracownika, który był przekonany, że bierze udział w standardowej rekrutacji. Podczas drugiego spotkania otrzymał zadanie programistyczne. Miał pobrać przygotowany plik i uruchomić go na swoim służbowym komputerze.
To właśnie w tym momencie doszło do poważnego naruszenia bezpieczeństwa. Jak wynika z informacji przekazanych przez Binance i opisanych przez serwis CoinDesk, w zadaniu ukryto złośliwe oprogramowanie typu zero-day. Wykorzystana luka i oprogramowanie pozwoliły ominąć zabezpieczenia urządzenia, a napastnicy uzyskali możliwość dalszego działania w firmowej infrastrukturze.
Przeczytaj także: Pułapka all-inclusive. Te sztuczki pomagają hotelom zarabiać na gościach
Fałszywy pracodawca nigdy nie istniał. Cała rekrutacja była starannie przygotowaną pułapką, której celem nie było zatrudnienie nowego specjalisty, lecz przejęcie dostępu do systemów giełdy.
To nie był pierwszy atak. Binance wcześniej otrzymało ostrzeżenie
Szczególnie niepokojące jest to, że wrześniowa rekrutacja nie stanowiła początku całej operacji. Według Binance pierwsze podejrzane zdarzenie miało miejsce już w czerwcu. Wówczas inny programista, poszukując narzędzia wykorzystującego sztuczną inteligencję, zainstalował zmanipulowany pakiet Homebrew. Był on przygotowany w taki sposób, aby umożliwić atakującym uzyskanie dostępu do urządzenia.
Binance wykryło problem. Firma wymieniła komputer pracownika i zresetowała dane dostępowe. Te działania okazały się jednak niewystarczające. Według giełdy zagrożenie dotyczyło również innych członków zespołu odpowiedzialnego za rozwój portfeli kryptowalutowych. Atakujący nie zrezygnowali z celu. Przez kolejne miesiące mieli stopniowo przygotowywać grunt pod właściwą operację.
Jak hakerzy przejęli dostęp do miliardów dolarów?
Przełom nastąpił 20 października. Napastnicy wykorzystali zhakowany komputer oraz wewnętrzne narzędzie oparte na sztucznej inteligencji, aby przedostać się do urządzeń dwóch kolejnych programistów pracujących przy portfelach kryptowalutowych.
Dziewięć dni później, 29 października, wykorzystali skradzione dane uwierzytelniające. W rezultacie napastnicy uzyskali dostęp do zasobów, które pozwoliły im przeprowadzić operację na ogromną skalę. Straty Binance oszacowano na 6,34 miliarda dolarów.
Współdyrektor generalny giełdy, Richard Teng, opisał zdarzenie jako część kampanii przygotowywanej przez wiele miesięcy. Nie był to więc przypadkowy atak przeprowadzony przez cyberprzestępców, którzy znaleźli pojedynczą lukę w zabezpieczeniach. Wszystko wskazuje na dobrze zaplanowaną operację, w której wykorzystano zarówno techniczne słabości systemów, jak i zaufanie pracowników.
Za atakiem stoi Korea Północna? FBI wskazuje konkretną grupę
W sprawie pojawia się również wątek Korei Północnej. Amerykańskie Federalne Biuro Śledcze (FBI) przypisuje atak grupie hakerskiej TraderTraitor, powiązanej z tym krajem. Podobną ocenę przedstawiła firma analityczna TRM Labs, która z dużą pewnością łączy incydent z działalnością tej samej grupy.
TraderTraitor jest znana z ataków wymierzonych w sektor kryptowalut. Jej działania wpisują się w szerszy schemat operacji, w których cyberprzestępcy wykorzystują fałszywe oferty zatrudnienia, spreparowane zadania rekrutacyjne i złośliwe oprogramowanie, aby uzyskać dostęp do systemów firm technologicznych.
Władze Korei Północnej zaprzeczają jednak swojemu udziałowi w takich działaniach. Należy przy tym zaznaczyć, że przypisanie ataku konkretnej grupie opiera się na ustaleniach śledczych i analizie aktywności w sieci blockchain. Nie jest to równoznaczne z prawomocnym wyrokiem sądu.
Ile pieniędzy udało się odzyskać po ataku na Binance?
Choć kwota 6,34 miliarda dolarów robi ogromne wrażenie, nie cała suma pozostała w rękach cyberprzestępców. Binance poinformowało w aktualizacji opublikowanej 3 listopada, że udało się zamrozić lub przechwycić około 2,85 miliarda dolarów.
Oznacza to, że poza zasięgiem podjętych działań pozostawało wówczas około 3,49 miliarda dolarów. Istotną rolę odegrał również emitent kryptowaluty Tether. Jak informował merkur.de, firma zamroziła środki o wartości blisko 1,57 miliarda dolarów.
Binance zadeklarowało, że samo pokryje straty i nie przeniesie ich na klientów. Według informacji giełdy do 31 października udało się zastąpić 98 procent dotkniętych incydentem tokenów z własnych środków.
Firma przekazała również, że w tym roku udaremniła już 57 prób ataków, które przypisuje się prawdopodobnym północnokoreańskim grupom hakerskim.