Binance: Πώς χάκερ έκλεψαν δισεκατομμύρια μέσω ψεύτικων συνεντεύξεων και εσωτερικού εργαλείου AI

Σε μια αποκαλυπτική ανάλυση για τη μεγαλύτερη κυβερνοεπίθεση στην ιστορία των κρυπτονομισμάτων προχώρησε η Binance, περιγράφοντας λεπτομερώς πώς μια εξαιρετικά οργανωμένη ομάδα χάκερ κατάφερε να αποσπάσει κεφάλαια δισεκατομμυρίων δολαρίων. Σύμφωνα με το ανταλλακτήριο, οι δράστες συνδύασαν κλασικές τακτικές κοινωνικής μηχανικής (social engineering), παραπλανητικές συνεντεύξεις εργασίας και την εκμετάλλευση ενός εσωτερικού εργαλείου τεχνητής νοημοσύνης της εταιρείας.

Το FBI έχει συνδέσει την επίθεση με τη διαβόητη βορειοκορεατική μονάδα κυβερνοπολέμου «TraderTraitor», η οποία επί μήνες προετοίμαζε μεθοδικά το έδαφος για τη διείσδυση στα συστήματα της Binance.

Η ανατομία της επίθεσης: Από τις διαφημίσεις της Google στις συνεντεύξεις «φαντάσματα»

Η υπόθεση ξεκίνησε τον Ιούνιο, όταν ένας προγραμματιστής της πλατφόρμας κατέβασε ένα παραποιημένο αρχείο εγκατάστασης μέσω κακόβουλης διαφήμισης στην Google. Αν και η ομάδα ασφαλείας εντόπισε το λογισμικό και αντικατέστησε τη συσκευή του εργαζομένου, οι επιτιθέμενοι είχαν ήδη αποκτήσει πολύτιμες πληροφορίες για τη δομή και τη λειτουργία των τεχνικών ομάδων.

Το καθοριστικό χτύπημα σημειώθηκε τον Σεπτέμβριο, όταν ένας δεύτερος μηχανικός τέθηκε στο στόχαστρο προσώπων που προσποιούνταν στελέχη προσλήψεων. Οι χάκερ πραγματοποίησαν διαδοχικούς γύρους συνεντεύξεων, δημιούργησαν αληθοφανή προφίλ στα μέσα κοινωνικής δικτύωσης για να κερδίσουν την εμπιστοσύνη του και τελικά του ζήτησαν να εκτελέσει μια τεχνική δοκιμασία. Το αρχείο της «δοκιμασίας» περιείχε κακόβουλο λογισμικό τύπου 0-day, το οποίο αντικατέστησε βασικά εργαλεία ανάπτυξης κώδικα (pyenv) με παραποιημένες εκδόσεις, δημιουργώντας κρυφή πίσω πόρτα (backdoor) που διέφυγε από τα συστήματα ανίχνευσης.

Η χρήση του εσωτερικού AI και τα κενά στο MPC hot wallet

Έχοντας αποκτήσει πρόσβαση στο εσωτερικό δίκτυο, οι εισβολείς εκμεταλλεύτηκαν στις 20 Οκτωβρίου ένα εσωτερικό εργαλείο AI της Binance. Μέσω αυτού κατάφεραν να αποκτήσουν έλεγχο στα ψηφιακά πορτοφόλια του πρώτου μηχανικού αλλά και ενός τρίτου υπαλλήλου. Στις 29 Οκτωβρίου, οι δράστες συνδέθηκαν στον υπολογιστή του τρίτου εργαζομένου και εξαπέλυσαν την τελική επίθεση μεταφοράς περιουσιακών στοιχείων.

Η Binance εξήγησε ότι η άμεση διακοπή των συναλλαγών κατέστη αδύνατη επειδή τα hot wallets χρησιμοποιούσαν τεχνολογία Multi-Party Computation (MPC). Αυτό σήμαινε πως δεν υπήρχε ένα μοναδικό ιδιωτικό κλειδί για να ανακληθούν αμέσως οι κακόβουλες εξουσιοδοτήσεις EIP-7702, δίνοντας στους δράστες χρονικό περιθώριο περίπου δύο ωρών για να εκτελέσουν τις μεταφορές.

Η επόμενη μέρα και οι διαβεβαιώσεις για την ασφάλεια των χρηστών

Παρά το τεράστιο μέγεθος της παραβίασης, ο διευθύνων σύμβουλος της Binance, Ρίτσαρντ Τενγκ, διαβεβαίωσε δημόσια ότι κανένας χρήστης δεν θα επιβαρυνθεί με απώλεια κεφαλαίων. Περίπου 2,85 δισεκατομμύρια δολάρια από τα κλαπέντα περιουσιακά στοιχεία έχουν ήδη παγώσει ή ανακτηθεί, ενώ το 98% των επηρεασμένων διακριτικών έχει αναπληρωθεί πλήρως από τα αποθεματικά της εταιρείας.

Η υπόθεση αυτή υπογραμμίζει για άλλη μια φορά την αυξανόμενη πολυπλοκότητα των κρατικά υποστηριζόμενων κυβερνοεπιθέσεων, οι οποίες στρέφονται πλέον όχι μόνο σε τεχνικές ευπάθειες λογισμικού, αλλά στην εκμετάλλευση του ανθρώπινου παράγοντα και των αναδυόμενων εργαλείων τεχνητής νοημοσύνης.