A Binance divulgou mais detalhes sobre o ciberataque que afetou US$ 6,34 bilhões em ativos digitais, afirmando que ele começou meses antes do roubo, em 29 de outubro. A exchange vinculou o incidente à conclusão do FBI de que a Coreia do Norte foi responsável.
Em junho, um engenheiro de Wallet DevOps que trabalhava na infraestrutura de carteiras da Binance baixou, por meio de um mecanismo de busca, uma versão adulterada de uma popular ferramenta de programação com IA. A Binance detectou a anomalia e respondeu, mas afirmou que o incidente expôs informações sobre os colegas do engenheiro.
Em setembro, outro engenheiro de software da Binance foi contatado por meio de uma plataforma legítima de busca de emprego por alguém que se apresentou como “diretor de projeto”. Após duas etapas de entrevista, o CEO da suposta empresa enviou ao engenheiro uma tarefa por meio de um aplicativo de mensagens. O arquivo baixado continha malware que era executado durante a instalação.
A Binance afirmou que o malware usava métodos de ofuscação e evasão para evitar a detecção, inclusive substituindo um componente legítimo de uma ferramenta de desenvolvimento por uma versão maliciosa. Ele também ocultava sua atividade e removia vestígios do comprometimento.
Em 20 de outubro, os atacantes usaram o computador do engenheiro de software comprometido e uma ferramenta interna de IA para assumir o controle dos dispositivos do engenheiro de Wallet DevOps e de outro colega. Em 29 de outubro, acessaram o computador do terceiro engenheiro, usaram credenciais roubadas do engenheiro de Wallet DevOps e executaram um script malicioso para iniciar o ataque.
A Binance afirmou que US$ 2,85 bilhões dos US$ 6,34 bilhões em ativos afetados haviam sido congelados. A empresa reconheceu que alguns ativos continuaram a ser movimentados depois que os saques foram suspensos porque as transações já haviam sido autorizadas.
Em 3 de novembro, a exchange afirmou que havia reconstruído o sistema de carteiras afetado e as ferramentas internas de IA, substituído os dispositivos afetados, desativado credenciais e tokens comprometidos e concluído verificações de segurança reforçadas nos dispositivos dos funcionários. Também adicionou detecção de anomalias com tecnologia de IA.
A Binance afirmou que absorveria as perdas financeiras e que havia reservado o suficiente para cobrir os fundos roubados. Disse que havia reposto 98% dos ativos em tokens afetados e que trabalhava para comprar os ativos restantes, menos líquidos.
Fontes: Engadget.