Binance dijo el 3 de noviembre que los hackers utilizaron falsas entrevistas de trabajo, software malicioso y una herramienta de IA interna comprometida para acceder a sus sistemas de billeteras y robar 6.340 millones de dólares el 29 de octubre.
Resumen
- Los atacantes utilizaron computadoras de empleados comprometidas y credenciales de despliegue robadas para llegar a la infraestructura de firma de billeteras de Binance.
- Las autorizaciones maliciosas en Ethereum permitieron que las transferencias continuaran después de que Binance suspendiera sus servicios normales de retiro.
- Binance afirma que aproximadamente 2.850 millones de dólares han sido congelados o interceptados, con las pérdidas de los clientes cubiertas.
- Los expertos esperan una mayor demanda de salvaguardas de custodia, mientras advierten que las plataformas reguladas aún enfrentan riesgos.
Según el informe inicial del incidente de Binance, el ataque se desarrolló durante varios meses, combinando el engaño a empleados con software comprometido y acceso no autorizado a través de sistemas internos.
El exchange dijo que había repuesto el 98% de los activos de tokens afectados para el 31 de octubre y estaba comprando las criptomonedas restantes, menos líquidas. El CEO Richard Teng dijo que los retiros se habían reanudado en general y que los usuarios no asumirían pérdidas.
Los atacantes de Binance pasaron de las herramientas de desarrollo a los sistemas de billeteras
El informe rastrea un encuentro temprano hasta junio, cuando un ingeniero de DevOps de Wallet descargó una instalación de Homebrew manipulada mientras buscaba una herramienta de codificación de IA. El personal de seguridad detectó la anomalía, reemplazó el dispositivo y rotó las credenciales relacionadas.
Sin embargo, Binance dijo que el encuentro expuso el rol del ingeniero y de los colegas que trabajaban en la infraestructura de billeteras.
En septiembre, un segundo ingeniero fue contactado a través de una plataforma de reclutamiento legítima por alguien que se hacía pasar por director de proyecto. A una entrevista en video con un supuesto representante de recursos humanos le siguió otra entrevista con el supuesto CEO de una empresa ficticia.
Cerca del final, se le indicó al ingeniero que descargara un repositorio de tareas en una computadora de trabajo. El código malicioso se ejecutó durante la configuración, reemplazando la herramienta de desarrollo legítima pyenv con una versión comprometida.
Binance describió el malware como previamente no detectado por sus herramientas de seguridad de endpoint y dijo que ocultaba la actividad y eliminaba rastros.
El 20 de octubre, el atacante utilizó la computadora comprometida y una herramienta de IA interna para obtener control sobre las computadoras de dos ingenieros de billeteras. Uno de ellos tenía un token de despliegue de contenedores.
Días después, el 29 de octubre, el atacante utilizó esas credenciales robadas para desplegar un contenedor y ejecutar un script malicioso que llegó a las operaciones de firma de billeteras.
Los permisos de Ethereum mantuvieron las transferencias en curso después de que se detuvieran los retiros
Entre las 20:05 y las 20:09 UTC del 29 de octubre, cinco billeteras calientes de Binance transfirieron 233,46 millones de XRP a una dirección controlada por el atacante, según el informe. Otras billeteras enviaron aproximadamente 970.500 SOL, 44,2 millones de OP y 18.270 BTC.
El atacante luego utilizó el servicio de firma para establecer permisos maliciosos a través del mecanismo EIP-7702 de Ethereum, que permite a una billetera delegar la ejecución a código de contrato inteligente.
Hallazgos anteriores de ataques a billeteras explicaron cómo el atacante utilizó la función EIP-7702 de Ethereum para dar a un contrato inteligente malicioso permiso para mover fondos desde la billetera caliente de Binance conocida como Binance 14.
Binance dijo que suspender los retiros no podía invalidar los permisos ya establecidos en Ethereum. Su billetera de computación multipartita requería un procedimiento especializado para revocarlos, ya que no había una única clave privada disponible para una revocación inmediata.
La transferencia no autorizada final, que involucró 2.961,9 ETH, se finalizó a las 23:56 UTC después de haber sido transmitida previamente y permanecer pendiente. Binance eliminó la delegación de Binance 14 a las 00:10 UTC del 30 de octubre.
En una alerta del 31 de octubre, el FBI atribuyó el robo a la actividad TraderTraitor de Corea del Norte. La agencia dijo que estaba trabajando con el Servicio Secreto de EE. UU. y la Investigación Criminal del IRS y urgió a los proveedores de servicios a bloquear las transacciones conectadas con las direcciones identificadas.
Los expertos ven que la adopción continúa, con las protecciones de custodia en el punto de mira
Joe Sticco, cofundador y CEO de Cryptex Finance, dijo a crypto.news que no esperaba que el incidente causara un retroceso de años para la adopción.
Señaló las acciones de Tether, Circle y los protocolos DeFi para congelar los activos afectados como evidencia de que los participantes de la industria podían coordinarse durante perturbaciones importantes. Sticco espera que el incidente pueda aumentar la demanda de exchanges regulados y prácticas de custodia más sólidas, incluido el almacenamiento en frío.
James Butterfill, jefe de investigación de CoinShares, enfatizó las protecciones legales vinculadas a la custodia.
“El incidente pone de relieve por qué importa el marco legal que rige la custodia. MiCA proporciona salvaguardias materialmente más sólidas para los clientes de entidades autorizadas como Coinbase Luxembourg, incluida la segregación de los activos de los clientes y la responsabilidad por las pérdidas de custodia causadas por incidentes atribuibles al proveedor”, dijo Butterfill a crypto.news.
“Estas protecciones refuerzan la rendición de cuentas, pero la autorización no puede prevenir todos los hackeos, proteger a los inversores de las pérdidas de mercado ni proporcionar un esquema general de compensación a los inversores”.
Butterfill añadió que la custodia de criptomonedas regulada ofrece protecciones más sólidas sin hacer que las tenencias sean equivalentes a los depósitos bancarios cubiertos por un esquema de garantía de depósitos.
Binance reconstruye los sistemas afectados y encarga revisiones
Binance dijo que aproximadamente 2.850 millones de dólares habían sido congelados o interceptados, sujetos a conciliación y cambios de precios de mercado. Su compromiso de recuperación anterior asignó más que la pérdida estimada total para reemplazar los activos afectados.
El exchange dijo que reconstruyó el entorno de billetera afectado y la herramienta interna de IA, reemplazó los dispositivos comprometidos, desmanteló las credenciales y escaneó los dispositivos de los empleados.
Binance está contratando a empresas independientes de ciberseguridad para revisar el incidente, y planea aumentar el gasto en seguridad para desarrolladores, protección de endpoints y monitoreo del comportamiento.
