Binance opublikowało wstępny raport dotyczący cyberataku, w wyniku którego skradziono kryptowaluty o wartości 6,3 mld dolarów. Z ustaleń giełdy wynika, że za incydentem stała doświadczona grupa cyberprzestępcza, prawdopodobnie powiązana z Koreą Północną. Operacja była starannie zaplanowana i obejmowała kilka etapów, a jej realizacja trwała kilka miesięcy.

Binance wyjaśnia jak doszło do ataku hakerskiego

Z komunikatu opublikowanego przez Binance w serwisie X wynika, że atakujący rozpoczęli działania w czerwcu, stopniowo zdobywając dostęp do infrastruktury technologicznej firmy i wykorzystując zaufanie jej pracowników. Pierwszym etapem ataku była ingerencja w łańcuch dostaw oprogramowania. W czerwcu jeden z inżynierów poszukiwał w internecie popularnego narzędzia AI wspierającego programowanie. Podczas pobierania oprogramowania pobrał jednak zmodyfikowaną, złośliwą wersję instalatora.

Zespół bezpieczeństwa Binance wykrył zagrożenie, wymienił urządzenie pracownika i wdrożył dodatkowe zabezpieczenia. Mimo szybkiej reakcji atakujący mogli uzyskać informacje dotyczące stanowiska inżyniera oraz jego współpracowników. Dane te posłużyły do przygotowania kolejnych etapów operacji.

We wrześniu cyberprzestępcy przeszli do kolejnej fazy. Jeden z inżynierów oprogramowania Binance otrzymał za pośrednictwem legalnej platformy rekrutacyjnej ofertę rozmowy kwalifikacyjnej z przedstawicielem działu HR rzekomego potencjalnego pracodawcy. Pierwsza rozmowa odbyła się w formie wideokonferencji. Rozmówca dodatkowo uwiarygodnił swoją tożsamość, prezentując aktywne konto w mediach społecznościowych.

Następnie przeprowadzono drugą rozmowę, tym razem za pośrednictwem komunikatora społecznościowego. W jej trakcie pracownik otrzymał zadanie rekrutacyjne, które wymagało pobrania repozytorium kodu zawierającego złośliwe oprogramowanie na komputer służbowy.

W październiku atakujący wykorzystali przejęty komputer do uzyskania dostępu do wewnętrznego narzędzia AI wykorzystywanego przez Binance. Pozwoliło im to przejąć kontrolę nad systemem inżyniera, a także nad urządzeniem jednego z członków jego zespołu. W ostatnim etapie hakerzy zalogowali się na komputer inżyniera oprogramowania, wykorzystali wcześniej wykradzione dane uwierzytelniające pracownika i uruchomili złośliwy skrypt, który zapoczątkował kradzież kryptowalut.

Binance zapewnia, że przejmie na siebie finansowe konsekwencje incydentu. Firma podkreśliła, że posiada wystarczające rezerwy, aby pokryć skradzione środki, i nie zamierza przenosić ciężaru strat na użytkowników.