Binance: Πώς οι χάκερ σχεδίαζαν επί μήνες τη μεγαλύτερη κλοπή κρυπτονομισμάτων στην ιστορία

Σε μια λεπτομερή καταγραφή του μεγαλύτερου χτυπήματος στην ιστορία των ψηφιακών περιουσιακών στοιχείων προχώρησε η Binance, αποκαλύπτοντας πως οι κυβερνοεγκληματίες που στόχευσαν 6,34 δισεκατομμύρια δολάρια σε κρυπτονομίσματα εργάζονταν μεθοδικά επί μήνες.

Η επίθεση, την οποία τόσο το FBI όσο και η εταιρεία ανάλυσης TRM Security απέδωσαν σε κρατικούς χάκερ της Βόρειας Κορέας, συνδύασε εξελιγμένες μεθόδους κοινωνικής μηχανικής (social engineering), εσωτερικά εργαλεία τεχνητής νοημοσύνης και πρωτοεμφανιζόμενο κακόβουλο λογισμικό (0-day malware).

Η ανατομία της επίθεσης: Από πλαστές συνεντεύξεις σε zero-day malware

Σύμφωνα με την επίσημη έρευνα του ανταλλακτηρίου, τα πρώτα ίχνη της καμπάνιας εντοπίζονται τον Ιούνιο, όταν ένας μηχανικός της πλατφόρμας κατέβασε εν αγνοία του μια παραποιημένη έκδοση του λογισμικού Homebrew. Παρότι η ομάδα ασφαλείας εντόπισε το μολυσμένο τερματικό, οι δράστες είχαν ήδη αποκτήσει κρίσιμες πληροφορίες για τους ρόλους και τη δομή της ομάδας υποδομών των ηλεκτρονικών πορτοφολιών της Binance.

Η κύρια διείσδυση κλιμακώθηκε τον Σεπτέμβριο μέσω μιας περίτεχνης επιχείρησης στρατολόγησης σε επαγγελματική πλατφόρμα ευρέσεως εργασίας. Άλλος μηχανικός της Binance προσέγγισε άτομο που υποδυόταν τον διευθυντή έργου, οδηγώντας σε εικονικές συνεντεύξεις με υποτιθέμενους εκπροσώπους ανθρώπινου δυναμικού και τον «διευθύνοντα σύμβουλο» της ανύπαρκτης εταιρείας. Κατά τη διάρκεια της διαδικασίας αξιολόγησης, ζητήθηκε από τον μηχανικό να εκτελέσει μια τεχνική δοκιμασία, μέσω αποθετηρίου κώδικα που περιείχε εξελιγμένο κακόβουλο λογισμικό μη ανιχνεύσιμο από τα υφιστάμενα συστήματα ασφαλείας (0-day).

Εσωτερικά εργαλεία AI, διαρροή διαπιστευτηρίων και η εκτέλεση του σχεδίου

Στις 20 Οκτωβρίου, οι επιτιθέμενοι αξιοποίησαν τον παραβιασμένο υπολογιστή και ένα εσωτερικό εργαλείο AI της Binance για να αποκτήσουν πλευρική πρόσβαση σε άλλες συσκευές μηχανικών. Μεταξύ αυτών βρισκόταν και το αρχικό σύστημα που έφερε ψηφιακό διακριτικό πρόσβασης σε περιβάλλον ανάπτυξης containers.

Εννέα ημέρες αργότερα, οι δράστες έθεσαν σε εφαρμογή το τελικό στάδιο της επιχείρησης. Ενεργοποιώντας ειδικό script, παρέκαμψαν τις τυπικές διαδικασίες ανάληψης αποκτώντας πρόσβαση στην εσωτερική υπηρεσία υπογραφής συναλλαγών. Τα «θερμά» πορτοφόλια (hot wallets) της Binance στα δίκτυα Solana και Optimism μετέφεραν 970.500 SOL και 44,2 εκατομμύρια OP αντίστοιχα, ενώ ακολούθησε η μεταφορά 18.270 Bitcoin σε διευθύνσεις υπό τον έλεγχο των εισβολέων. Παράλληλα, εκμεταλλεύτηκαν τον μηχανισμό εξουσιοδότησης EIP-7702 του Ethereum για να εκχωρήσουν δικαιώματα εκτέλεσης σε δικό τους έξυπνο συμβόλαιο χωρίς να εκθέσουν τα ιδιωτικά κλειδιά.

Τα μέτρα ανάσχεσης και η διασφάλιση των χρηστών

Μόλις σήμανε συναγερμός για ασυνήθιστα υψηλό όγκο συναλλαγών, η Binance ανέστειλε άμεσα τις αναλήψεις και ξεκίνησε συντονισμένες ενέργειες με διεθνείς εταίρους του οικοσυστήματος. Χάρη στην έγκαιρη παρέμβαση, κατέστη δυνατή η δέσμευση και ανάκτηση περιουσιακών στοιχείων αξίας 2,85 δισεκατομμυρίων δολαρίων, περιορίζοντας τη συνολική ζημία.

Η διοίκηση της Binance διαβεβαίωσε ότι τα υπόλοιπα κεφάλαια καλύπτονται πλήρως από τα αποθεματικά της πλατφόρμας, παραπέμποντας στα δημόσια δεδομένα Proof of Reserves, ενώ οι έρευνες σε συνεργασία με τις διεθνείς διωκτικές αρχές συνεχίζονται για την ιχνηλάτηση των κλεμμένων κεφαλαίων.