Binancen 6,3 miljardin murto alkoi valetyöhaastattelusta ja saastuneesta ohjelmointitehtävästä
- Murto alkoi kesäkuussa, kun lompakkotiimin insinööri latasi peukaloidun Homebrew-asennusohjelman etsiessään ohjelmointityökalua.
- Syyskuussa toinen insinööri latasi valehaastattelun ennakkotehtävän työkoneelleen, ja haittaohjelma korvasi pyenv-työkalun.
- FBI on yhdistänyt hyökkäyksen Pohjois-Korean TraderTraitor-ryhmään, mutta Pohjois-Korea kiistää syytöksen.
Hyökkääjä kartoitti pörssin lompakkotiimiä kesäkuusta lähtien ja pääsi lokakuussa allekirjoituspalveluun pyenv-työkalun korvanneen haittaohjelman avulla.
Binance kertoo tiistaina julkaisemassaan alustavassa selvityksessä, että lokakuun 29. päivänä tehty murto oli kuukausia kestänyt kampanja yksittäisiä työntekijöitä vastaan. Pörssi arvioi omaksi tappiokseen 6,34 miljardia dollaria.
Ensimmäinen aukko pörssin puolustukseen syntyi jo kesäkuussa, kun yksi lompakkotiimin insinööreistä etsi verkosta suosittua tekoälyavusteista ohjelmointityökalua ja latasi sen sijaan peukaloidun Homebrew-asennusohjelman.
Selvityksessä kesäkuun uhria kutsutaan nimellä insinööri A. Binance havaitsi tartunnan, vaihtoi laitteen ja uusi tunnukset. Hyökkääjä tiesi kuitenkin jo, kuka A oli ja ketkä muut työskentelivät lompakkojärjestelmän parissa.
Kaksi haastattelua ja yksi tehtävä
Syyskuussa insinööri B:hen otti työnhakupalvelussa yhteyttä henkilö, joka esittäytyi projektijohtajaksi. Tekaistu henkilöstöpäällikkö haastatteli häntä videolla, ja pikaviestisovelluksessa häntä haastatteli vielä valetoimitusjohtaja.
Lopuksi B latasi ennakkotehtäväksi annetun koodivaraston työkoneelleen.
Varastossa oli aiemmin tuntematon haittaohjelma, joka vaihtoi Python-kehittäjien käyttämän pyenv-työkalun haitalliseen versioon. Sen avulla hyökkääjä pystyi ajamaan koneella komentoja etänä.
Binance kertoo, etteivät sen työasemien tietoturvatyökalut tunnistaneet haittaohjelmaa tuolloin.
Lokakuun 20. päivänä hyökkääjä otti Binancen sisäisen tekoälytyökalun avulla haltuunsa insinööri A:n ja lompakko-ohjelmistoja kehittävän insinööri C:n koneet. A:n koneelta löytyi konttien käyttöönottoon tarkoitettu käyttöoikeustunnus.
Neljä tuntia
Murtopäivänä hyökkääjä oli kirjautuneena C:n koneelle kello 17.15–19.56 UTC-aikaa, käynnisti kontin ja pääsi sen kautta pörssin sisäiseen lompakoiden allekirjoituspalveluun.
Kello 20.05–20.09 kuumista lompakoista lähti noin 233 miljoonaa XRP:tä. Lisäksi vietiin lähes miljoona SOLia, 44 miljoonaa OP-tokenia ja 18 270 bitcoinia.
Selvityksen mukaan kuuma lompakko perustui monen osapuolen laskentaan eli MPC-tekniikkaan, joten hyökkääjän saamia valtuutuksia ei voinut perua mitätöimällä yhtä avainta. Peruutusmenettely jouduttiin rakentamaan lennossa, ja viimeinen luvaton siirto tehtiin kello 23.56, lähes neljä tuntia ensimmäisestä.
Binancen toimitusjohtaja Richard Teng sanoi The Blockille, ettei kyse ollut yhdestä virheestä tai yhdestä murrosta vaan kuukausia kestäneestä kampanjasta.
Tuttu kaava
Lohkoketjuanalyysiyhtiö Chainalysis kertoo, että vastaavat valehaastattelut ovat aiheuttaneet 18 kuukaudessa yli 14,3 miljoonan dollarin tappiot. Hyökkääjät hioivat kaavaa kymmenissä haastattelujen kautta tehdyissä tunkeutumisissa, jotka johtivat lompakoiden tyhjentämiseen.
– Näin päädytään historian suurimpaan ryöstöön, sanoo Chainalysisin vanhempi tiedusteluanalyytikko Tom McLouth.
Yhtiön mukaan myös sellaisten haittaohjelmien määrä on viisinkertaistunut, jotka käyttävät komentokanavanaan TRONin, Aptosin ja BSC:n kaltaisia lohkoketjuja.
Yhdysvaltain liittovaltion poliisi FBI yhdisti hyökkäyksen 31. lokakuuta julkaisemassaan varoituksessa Pohjois-Korean TraderTraitor-ryhmään, joka tunnetaan myös nimellä Lazarus Group. Pohjois-Korean johtajan sisar Kim Yo Jong kiisti syytöksen tiistaina valtion uutistoimisto KCNA:n kautta ja kutsui sitä järjettömäksi ja vanhaksi retoriikaksi sekä vakavaksi poliittiseksi provokaatioksi.
Hän vihjasi Yhdysvaltojen olevan itse hyökkäyksen takana, kertovat South China Morning Post ja IBTimes.
Binancen perustaja Changpeng Zhao ehdotti Talking Tokens -podcastissa alan liittoumaa, jonka jäsenet auttaisivat toisiaan jäädyttämään varoja hyvin nopeasti.
Binance kertoo rakentaneensa lompakkojärjestelmän ja tekoälytyökalun uudelleen, vaihtaneensa laitteet, mitätöineensä käyttöoikeustunnukset ja tarkastaneensa kaikkien työntekijöiden laitteet. Seuraavaksi vuorossa ovat riippumaton arviointi, lisäpanostus tekoälyturvallisuuteen ja tietoturvatutkimukselle perustettava rahasto.
Pörssi kertoo havainneensa ja torjuneensa tänä vuonna 57 hyökkäystä, joiden epäillään liittyvän Pohjois-Koreaan.
