coindesk.com
El hackeo de 6.300 millones de dólares a Binance comenzó con una entrevista de trabajo falsa, informó el exchange el martes en una rueda de prensa, describiendo una campaña de varios meses realizada por atacantes vinculados a Corea del Norte para infiltrarse en la plataforma y llevar a cabo el mayor atraco en la historia de las criptomonedas.
Richard Teng de Binance declaró a los periodistas que el ataque “fue una campaña, construida durante muchos meses” y señaló que el FBI lo ha atribuido a Corea del Norte.
Jimmy Su, director de seguridad de Binance, afirmó que en septiembre un ingeniero de software fue contactado a través de una plataforma laboral legítima por alguien que se hacía pasar por un director de proyecto. Un falso representante de recursos humanos lo entrevistó por video y compartió una cuenta en redes sociales con fotos personales para generar confianza. Una segunda entrevista, con un supuesto CEO, terminó con el ingeniero recibiendo la indicación de descargar una tarea de codificación en su computadora de trabajo. Esta contenía un malware de día cero que evadió la seguridad del endpoint.
En junio, otro ingeniero había instalado un paquete Homebrew manipulado mientras buscaba una herramienta de IA. Binance detectó y reemplazó el dispositivo, pero afirmó que el ingeniero y sus colegas del equipo de billeteras de la empresa permanecían expuestos.
El 20 de octubre, los atacantes utilizaron la máquina comprometida por la entrevista falsa y una herramienta interna de IA para acceder a las computadoras de dos ingenieros de billeteras, dijo Su. El 29 de octubre, emplearon credenciales robadas para desplegar un contenedor y ejecutar un script malicioso. Los fondos comenzaron a salir a las 20:05 UTC.
El atacante utilizó una función de Ethereum denominada EIP-7702 para obtener derechos de ejecución sobre una cartera caliente, declaró Su. Debido a que las carteras calientes de Binance emplean computación multipartita, ninguna clave individual pudo revocarla, y la contención se prolongó hasta las 00:10 UTC del 30 de octubre.
Teng afirmó que aproximadamente 2.85 mil millones de dólares han sido congelados y que cerca del 98% de los tokens afectados han sido restablecidos con fondos de la empresa. Señaló que los usuarios no se verán afectados. Binance indicó que bloqueó 57 intentos sospechosos vinculados a Corea del Norte este año y que incorporará expertos independientes para revisar el incidente.
