Binance: Ψεύτικες συνεντεύξεις εργασίας πίσω από κυβερνοεπίθεση
Πολυμηνιαία επιχείρηση κυβερνοεγκλήματος με δόλωμα ανύπαρκτες θέσεις εργασίας αποκάλυψε η Binance. Οι χάκερ χρησιμοποίησαν κακόβουλο λογισμικό, παραβιασμένους υπολογιστές εργαζομένων και εσωτερικά εργαλεία της εταιρείας, ενώ οι αναλήψεις από την πλατφόρμα ανεστάλησαν προσωρινά.
Ψεύτικες συνεντεύξεις εργασίας, κακόβουλο λογισμικό και παραβιασμένοι υπολογιστές εργαζομένων αποτέλεσαν τα βασικά εργαλεία μιας μεγάλης κυβερνοεπίθεσης στη Binance, με τη λεία να υπολογίζεται σε περίπου 6,3 δισ. δολάρια. Σύμφωνα με την ανακοίνωση της εταιρείας, δεν επρόκειτο για ένα μεμονωμένο περιστατικό ή ένα απλό κενό ασφαλείας, αλλά για μια σύνθετη επιχείρηση που εξελισσόταν επί μήνες και αξιοποίησε διαφορετικές μεθόδους για την πρόσβαση στα εσωτερικά συστήματα.
Η Binance αποδίδει την επίθεση στη Βόρεια Κορέα, εκτίμηση που, σύμφωνα με τα σχετικά δημοσιεύματα, συμπίπτει με τις αξιολογήσεις του FBI και εξωτερικών ερευνητών. Η Πιονγκγιάνγκ, ωστόσο, αρνείται τις κατηγορίες. Στο επίκεντρο της υπόθεσης βρίσκεται ένας μηχανικός της εταιρείας, ο οποίος προσεγγίστηκε μέσω πλατφόρμας αναζήτησης εργασίας από άτομα που εμφανίζονταν ως εκπρόσωποι μιας ανύπαρκτης επιχείρησης.
Η παγίδα στήθηκε σε δύο στάδια. Αρχικά, ένα άτομο παρουσιάστηκε ως στέλεχος ανθρώπινου δυναμικού και χρησιμοποίησε πληροφορίες από τα μέσα κοινωνικής δικτύωσης για να κερδίσει την εμπιστοσύνη του εργαζομένου. Στη συνέχεια, δεύτερο πρόσωπο, που εμφανιζόταν ως διευθύνων σύμβουλος της υποτιθέμενης εταιρείας, τον έπεισε να κατεβάσει ένα αρχείο στο πλαίσιο αξιολόγησης για τη θέση εργασίας. Το αρχείο περιείχε κακόβουλο λογισμικό, μέσω του οποίου οι δράστες απέκτησαν πρόσβαση στον υπολογιστή του μηχανικού και άρχισαν να κινούνται προς τα εσωτερικά συστήματα που σχετίζονταν με την έγκριση συναλλαγών στα ψηφιακά πορτοφόλια.
Η επιχείρηση, σύμφωνα με την περιγραφή της Binance, είχε ξεκινήσει ήδη από τον Ιούνιο. Σε προηγούμενο περιστατικό, άλλος μηχανικός είχε κατεβάσει κακόβουλη εκδοχή του δημοφιλούς εργαλείου προγραμματισμού Homebrew, μέσω διαδικτυακής διαφήμισης και όχι από τα επίσημα κανάλια διάθεσής του. Παρότι η εταιρεία εντόπισε και αφαίρεσε το συγκεκριμένο αρχείο από τον υπολογιστή, οι δράστες είχαν ήδη συγκεντρώσει κρίσιμες πληροφορίες για τον ρόλο του εργαζομένου και άλλα στελέχη που διαχειρίζονταν ψηφιακά πορτοφόλια.
Στις 20 Οκτωβρίου, οι χάκερ φέρονται να χρησιμοποίησαν τον υπολογιστή του μηχανικού που είχε παγιδευτεί μέσω των ψεύτικων συνεντεύξεων, προκειμένου να αποκτήσουν πρόσβαση στους υπολογιστές δύο ακόμη εργαζομένων. Στη συνέχεια αξιοποίησαν και εσωτερικό εργαλείο τεχνητής νοημοσύνης της Binance, χωρίς η εταιρεία να δώσει πλήρεις λεπτομέρειες για τον τρόπο χρήσης του. Μέσω της πρόσβασης σε λογαριασμούς άλλων μηχανικών, οι δράστες φέρονται να εντόπισαν διαπιστευτήρια με δικαιώματα ανάπτυξης λογισμικού, τα οποία αξιοποιήθηκαν στα επόμενα στάδια της επίθεσης.
Λίγες ημέρες αργότερα, οι δράστες χρησιμοποίησαν κλεμμένα διαπιστευτήρια για να ενεργοποιήσουν το κακόβουλο λογισμικό που οδήγησε στις μη εξουσιοδοτημένες μεταφορές κεφαλαίων. Μετά την επίθεση, η Binance ανέστειλε προσωρινά τις αναλήψεις, οι οποίες αποκαταστάθηκαν μέσα στο Σαββατοκύριακο. Παράλληλα, η εταιρεία ανακοίνωσε ότι θα καλύψει το σύνολο των απωλειών των πελατών μέσω του Secure Asset Fund for Users (SAFU), ενώ εκδότες ψηφιακών νομισμάτων, όπως η Tether και η Circle, κατάφεραν να παγώσουν μέρος των κλεμμένων περιουσιακών στοιχείων.
Σύμφωνα με τα στοιχεία που δημοσιοποιήθηκαν, το ποσό των κεφαλαίων που πάγωσαν πλησιάζει τα 2,5 δισ. δολάρια. Έως αργά το βράδυ της Κυριακής, ώρα ανατολικών ΗΠΑ, η Binance είχε επεξεργαστεί αναλήψεις ύψους 4,649 δισ. δολαρίων και καταθέσεις περίπου 1,01 δισ. δολαρίων. Η εταιρεία υποστήριξε ότι έχει αναπληρώσει το 98% των επηρεασμένων περιουσιακών στοιχείων και ότι βρίσκεται στη διαδικασία αποκατάστασης του υπόλοιπου 2%, το οποίο αφορά λιγότερο διαδεδομένα ψηφιακά νομίσματα.
Ο συνιδρυτής της Binance, Changpeng Zhao, γνωστός ως CZ, δήλωσε ότι οι αναλήψεις έχουν αποκατασταθεί και ότι η πλατφόρμα έχει επιστρέψει στην κανονική λειτουργία της, διαβεβαιώνοντας ότι τα κεφάλαια των χρηστών καλύπτονται πλήρως. Η εταιρεία ζήτησε συγγνώμη για την ανησυχία και την αναστάτωση που προκλήθηκαν, ενώ ανέφερε ότι μέσα στη χρονιά έχει αποκρούσει 57 ύποπτες κυβερνοαπειλές που συνδέονται με τη Βόρεια Κορέα. Η συγκεκριμένη επίθεση ανέδειξε τον ρόλο των τεχνικών ηλεκτρονικού ψαρέματος και κοινωνικής μηχανικής, οι οποίες συνδυάστηκαν με κακόβουλο λογισμικό και πρόσβαση σε εσωτερικά εταιρικά εργαλεία.
