מטלת המיון הייתה בעצם נוזקה: בינאנס חושפת איך התבצעה גניבת הקריפטו הגדולה

שוד הקריפטו הגדול ביותר בהיסטוריה של 6.3 מיליארד דולר, החל מהורדת קובץ התקנה ששונה בזדון, ככל הנראה דרך מודעה זדונית בגוגל, ונמשך במתקפה שהתחזתה לתהליך גיוס לעבודה. כך עולה מתחקיר שפרסמה בורסת הקריפטו בינאנס. לפי החברה, התוקפים שילבו שיטות פריצה מוכרות לאורך כמה חודשים, ה-FBI זיהה אותם כיחידת האקרים מקוריאה הצפונית המכונה TraderTraitor.

"נכון לרגע זה, 98% מהטוקנים שנפגעו הוחזרו מחדש, אנחנו משלימים את 2% הנותרים. המשיכות חודשו ברובן", כתב מנכ"ל בינאנס ריצ'רד טנג. לדבריו, אף משתמש אינו נושא בהפסד, ונכסים גנובים בשווי של כ-2.85 מיליארד דולר הוקפאו או נעצרה העברתם.

לפי תחקיר החברה, הפריצה החלה ביוני, כשמפתח הוריד קובץ התקנה ששונה בזדון. ההדבקה חשפה פרטים על המהנדסים ועל שיטות העבודה שלהם. בבינאנס טוענים שצוותי האבטחה זיהו את התקנת הנוזקה הראשונה והחליפו את המכשיר של העובד.

בספטמבר הותקף מהנדס אחר בידי אדם שהתחזה למי שמעוניין לגייס אותו לעבודה. המתחזה קיים איתו סדרת שיחות וכמה סבבי ראיונות, ושיתף עמודים ברשתות כדי לרכוש את אמונו. לבסוף הוא גרם למהנדס להוריד מטלת מיון מזויפת שהייתה למעשה נוזקה.

"הנוזקה השתמשה בטכניקות מתוחכמות להסוואה ולהתחמקות, ובהן החלפת רכיב לגיטימי של כלי פיתוח בגרסה זדונית כדי להריץ פקודות וליצור תקשורת עם שרת חיצוני בשליטת התוקף", נכתב בתחקיר בינאנס. "נוזקת ה'אפס ימים' לא זוהתה באותו זמן בידי כלי ההגנה על תחנות הקצה. התוקף גם נקט צעדים להסתרת הפעילות הזדונית ולמחיקת עקבות הפריצה, מה שהקשה על הזיהוי ועל החקירה בהמשך". במתקפה השנייה נמחק קובץ ההפעלה של pyenv (כלי לניהול גרסאות שונות של שפת התכנות Python על אותו המחשב) והוחלף בגרסה זדונית, שהעניקה לתוקפים גישה דרך דלת אחורית. לפי בינאנס, כלי האבטחה שלה לא זיהו את המתקפה הזאת.

עד 20 באוקטובר השתמשו התוקפים בכלי בינה מלאכותית פנימי של בינאנס כדי להשתלט על הארנקים של המהנדס הראשון, שנפגע ביוני, ושל עובד שלישי. ב-29 באוקטובר הם התחברו למחשב של העובד השלישי והוציאו לפועל את מתקפת הגניבה.

התחקיר מתייחס גם לשאלה מדוע בינאנס לא הצליחה לעצור עסקאות שבוצעו כמעט שעתיים לאחר ההעברות הלא מורשות הראשונות. "מכיוון שהארנק החם השתמש בחישוב רב-צדדי (MPC), לא היה מפתח פרטי יחיד שאפשר היה להשתמש בו כדי לבטל מיד את הרשאות EIP-7702 הזדוניות", הסבירה החברה. בינאנס מסרה גם כי מנעה 57 מקרי איום סייבר שנחשדו כקשורים לקוריאה הצפונית.

עם זאת, התחקיר מותיר שאלות על הסיבה להצלחת המתקפה. הסכנה שבראיונות עבודה הדורשים ממועמדים להוריד ולהריץ קוד במחשבים בעלי גישה לחומרי המעסיק מוכרת ומלווה באזהרות כבר שנים. גם על כלי הבינה המלאכותית הפנימי שבו השתמשו התוקפים נמסרו מעט פרטים, ולא הוסבר מדוע הוא אפשר להם להשיג את הגישה.