Hack da Binance expõe estratégia de hackers que podem ter passado oito semanas dentro da corretora
Hackers ligados à Coreia do Norte podem ter comprometido o dispositivo de um engenheiro da Binance cerca de oito semanas antes do exploit de US$ 6,3 bilhões registrado em 29 de outubro. A estimativa é da Security Alliance (SEAL), organização sem fins lucrativos especializada em cibersegurança.
Em relatório divulgado na quinta-feira, a SEAL afirmou que o grupo invadiu o computador de um engenheiro de software da exchange em setembro, por meio de uma falsa proposta de recrutamento. Segundo a organização, esse tipo de acesso inicial pode permitir que invasores se movimentem por sistemas comprometidos de forma discreta durante períodos prolongados.
A estimativa de oito semanas, no entanto, diz respeito à janela entre o comprometimento do dispositivo em setembro e o ataque de outubro. A Binance afirma que a campanha de invasão começou antes, com incidentes envolvendo outros funcionários em junho.
Em resposta ao Cointelegraph, um porta-voz da exchange declarou: “As outlined in our announcement, the initial device compromises occurred in June and September, but the attackers did not gain the access needed to reach wallet operations until October 20, when they used that foothold to move laterally and obtain access to additional devices and credentials”.
Na prática, a Binance sustenta que os primeiros dispositivos foram comprometidos em junho e setembro, mas que os invasores só conseguiram alcançar a infraestrutura operacional das carteiras em 20 de outubro.
O primeiro incidente citado pela exchange ocorreu em junho, quando um funcionário baixou uma instalação adulterada do Homebrew ao tentar instalar uma ferramenta de programação com inteligência artificial. A Binance identificou o problema, substituiu o dispositivo e atualizou as credenciais relacionadas.
Ainda assim, os invasores já teriam obtido informações sobre funcionários que trabalhavam na infraestrutura de carteiras da empresa.
Em 20 de outubro, os hackers usaram o computador comprometido do engenheiro alvo da campanha de setembro e uma ferramenta interna de IA para assumir o controle dos dispositivos de dois engenheiros responsáveis pela infraestrutura de carteiras. Depois, identificaram um token de permissão de implantação, utilizado no exploit de 29 de outubro.
Hack da Binance segue padrão visto em outros ataques cripto
A análise da SEAL também identificou períodos prolongados de acesso não autorizado em outros ataques de grande porte no setor. No caso da Bitget, a organização estima que os invasores tiveram cerca de seis semanas de acesso antes do hack de US$ 388 milhões.
A SEAL aponta uma janela semelhante de aproximadamente seis semanas no acesso ao LayerZero antes da vulnerabilidade que levou ao exploit de US$ 293 milhões da Kelp DAO. Já no ataque à AFX, de US$ 24 milhões, o período estimado foi de cerca de três semanas.
O FBI atribuiu o ataque à Binance ao grupo TraderTraitor, ligado à Coreia do Norte. Kim Yo Jong, irmã do líder norte-coreano Kim Jong Un, rejeitou as acusações. A divergência entre a estimativa da SEAL e a cronologia apresentada pela Binance está no início e no alcance do acesso dos invasores.
Enquanto a organização destaca a janela de aproximadamente oito semanas entre setembro e outubro, a exchange afirma que os primeiros comprometimentos ocorreram meses antes, mas que o acesso necessário para atingir as operações de carteira só foi obtido em 20 de outubro.
