Így lopták el a hatmilliárdnyi kriptopénzt

​A Binance részletesen beszámolt arról, hogy mi vezetett az októberi, történelmi hackeléshez. Nagyon tanulságos az eset.
 

A Binance október végén hivatalosan is bejelentette, hogy egy súlyos kiberbiztonsági incidens következtében 6,34 milliárd dollárnyi kriptovalutát loptak el feltételezhetően észak-koreai elkövetők.
 
Az incidens detektálását követő vizsgálatok első eredményeiből számos érdekességet hozott nyilvánosságra a vállalat, amik nagyon sok tanulsággal szolgálnak.
 
A Binance szerint a minden korábbinál komolyabb károkat okozó kibertámadás valójában szeptemberben kezdődött, amikor az egyik szoftvermérnöke megkeresést kapott egy legitim álláskereső platformon keresztül. A mérnök regisztrált tagja volt ennek a szolgáltatásnak, és a profilja tartalmazta a Binance-nél szerzett tapasztalatainak leírását is. Ezáltal kiváló célponttá vált az elkövetők számára.
 
A mérnököt látszólag egy projektigazgató kereste fel egy fiktív cég nevében, és két interjúval tervezett. Az elsőt egy mondvacsinált HR-es munkatárssal, míg a másikat egy állítólagos elnök-vezérigazgatóval. Az első interjú során a HR-esnek kikiáltott személy sikeresen férkőzött a mérnök bizalmába, még közösségi oldalakon létrehozott személyes profilokkal, fényképekkel is bizonygatta, hogy ő valóban az, akinek mondja magát.
 
A második körös interjúztatás során a Binance mérnökét arra kérték, hogy végezzen el egy kódolási feladatot. Ehhez megadtak számára egy online kódtár elérhetőséget, amelyből letölthette a szükséges kódokat, információkat. A kibertámadás szempontjából pedig ez volt a kulcsmomentum. A kód ugyanis kártékony összetevőket is tartalmazott, ami nem tűnt fel a mérnöknek.
 
Amikor a mérnök felmásolta a gépére a kódokat, akkor a számítógépe kompromittálódott. Az ártalmas összetevő korábban nem volt ismert, és a Binance vírusvédelme sem szűrte ki azt.
 
Binance szerint a kártékony kód kifinomult technikákat alkalmazott annak érdekében, hogy rejtve tudjon maradni. Ehhez az egyik legitim fejlesztőeszközt is manipulálta, hogy a mögül futhasson. A szóban forgó kód arra is alkalmas volt, hogy a nyomait eltüntesse, ami jelentősen megnehezítette az incidens kivizsgálását.
 
A vizsgálatok szerint a károkozó a macOS Homebrew könyvtárába másolta be a legfontosabb komponensét, törölte az eredti pyenv fájlt, a sajátját pedig pyenv névvel látta el. Ettől kezdve a támadók parancsokat tudtak lefuttatni egy vezérlőszeren keresztül.
 
Október 20-án az elkövetők a kompromittált rendszeren keresztül (egyebek mellett AI-eszközök használatával) két olyan további alkalmazott számítógépét környékezték meg, akik a Binance kriptotárca infrastruktúrájának üzemeltetésén dolgoztak. Ezekről a gépekről hozzáférési adatokat kaparintottak meg.
 
Október 29-én a támadók a lopott hitelesítő adatok révén lefuttattak egy ártalmas scriptet, majd hozzáférést szereztek a Binance egyik digitális aláíró szolgáltatásához. Ezt követően végrehajtották a történelmi kriptolopást.
 
Szakértők úgy látják, hogy az álláshirdetéses trükközés megerősíti azt a gyanút, miszerint a történtek mögött észak-koreai támadók állhattak. Ők ugyanis már korábban is előszeretettel használták ezt a technikát más szervezetek ostromlásához.
 
Az eset nagyon tanulságos minden szervezet számára, és jól mutatja, hogy az emberi tényezők milyen komoly szerepet játszanak a kibervédelemben. Elég egy megtévesztett alkalmazott ahhoz, hogy óriási károk keletkezzenek.