Este artículo fue recopilado y organizado por BlockWeeks
Binance ha publicado su primer informe de investigación sobre el incidente de salida de aproximadamente 6.340 millones de dólares en activos digitales ocurrido el 29 de octubre. El informe reconstruye una cadena de ataque que abarcó cuatro meses: el punto de entrada fue una instalación de software manipulada en junio, mientras que el avance clave fue una entrevista de trabajo falsa cuidadosamente diseñada en septiembre.
Junio: La descarga de una «herramienta de programación con IA» plantó la semilla
Según Binance, un ingeniero de DevOps de la billetera descargó en junio un paquete de instalación de Homebrew manipulado mientras buscaba cierta herramienta de programación con IA. Binance descubrió posteriormente indicios de compromiso en esa máquina, reemplazó el dispositivo del ingeniero y restableció las credenciales. Sin embargo, el exchange reconoció que este ingeniero, junto con otros colegas del equipo de infraestructura de la billetera, ya habían quedado expuestos a la vista de los atacantes en ese momento.
Septiembre: Un reclutador haciéndose pasar por «director de proyecto»
En septiembre, un segundo ingeniero fue contactado en una plataforma de empleo por alguien que decía ser un «director de proyecto». La persona primero organizó una entrevista por video con un supuesto representante de recursos humanos, luego trasladó la segunda ronda a una aplicación de chat social, donde el contacto afirmó dirigir una empresa que no existía, y finalmente pidió al ingeniero que descargara una «tarea» en el ordenador de la empresa: ese repositorio de código era en sí mismo malware.
Binance declaró que este malware de día cero no fue detectado por sus herramientas de seguridad de endpoint en ese momento.
20 de octubre: Las herramientas internas de IA se convirtieron en trampolín
Binance declaró que el 20 de octubre los atacantes utilizaron el ordenador del segundo ingeniero y un conjunto de herramientas internas de IA para tomar el control de las cuentas del primer y tercer ingeniero, y encontraron un token de despliegue de contenedores en la máquina del primer ingeniero.
29 de octubre: Cinco billeteras calientes vaciadas en cuatro minutos
El 29 de octubre, los atacantes utilizaron credenciales robadas para iniciar sesión en el ordenador del tercer ingeniero, desplegar contenedores y ejecutar scripts maliciosos.
Binance reveló que entre las 20:05 y las 20:09 UTC, cinco billeteras calientes transfirieron 233,46 millones de XRP a direcciones controladas por los atacantes; las billeteras calientes de Solana y Optimism perdieron aproximadamente 970.500 SOL y 44,2 millones de OP respectivamente. Posteriormente, una billetera caliente transfirió otros 18.270 BTC.
A continuación, los atacantes utilizaron un servicio de firma interno y aprovecharon la función EIP-7702 de Ethereum (que permite a una billetera delegar ciertos permisos de transacción a un contrato) para otorgar a un contrato controlado por los atacantes permisos parciales sobre una billetera caliente mediante 50 transacciones firmadas.
La MPC salvó la situación, pero el stop-loss llegó medio compás tarde
Debido a que la billetera utilizaba una arquitectura de computación multipartita (MPC), ninguna clave privada individual podía revocar estas delegaciones, por lo que el equipo de Binance tuvo que construir sobre la marcha un proceso de remediación dedicado, lo que alargó el tiempo necesario. La última transferencia no autorizada fue de 2.961,9 ETH, que completó la confirmación final a las 23:56 UTC; Binance no eliminó las delegaciones relevantes hasta las 00:10 del 30 de octubre.
Reconstrucción, auditoría y enfoque de compensación
Binance declaró que ha reconstruido los sistemas de billetera afectados y las herramientas internas de IA, reemplazado los dispositivos relevantes y deshabilitado las credenciales a nombre de los ingenieros involucrados. El exchange también planea incorporar una revisión independiente de terceros y establecer un fondo de investigación de seguridad, al tiempo que afirma que algunos detalles técnicos permanecerán confidenciales.
En cuanto a la compensación de activos, Binance declaró que, al 31 de octubre, el 98% de los activos tokenizados afectados habían sido repuestos. Sin embargo, las cifras de sus propias actualizaciones sobre el progreso de recuperación eran inferiores: 90% el 31 de octubre y aproximadamente 95% el 2 de noviembre.
