Noord-Koreaanse hackers gebruikten een valse sollicitatie om malware te installeren en $6,34 miljard aan cryptovaluta te stelen bij Binance.
Cryptobeurs Binance meldt dat Noord-Koreaanse hackers via een nep-sollicitatie een medewerker wisten te misleiden om malware te installeren. Hierdoor konden zij de wallet-infrastructuur van het bedrijf compromitteren en ongeveer 6,34 miljard dollar aan digitale activa stelen.
Volgens een incidentrapport begon de aanval in september toen een software-engineer werd benaderd via een legitiem platform voor het zoeken van vacatures. De aanvallers deden zich voor als een projectdirecteur van een fictief bedrijf en wisten zo het vertrouwen van de medewerker te winnen. Er werden twee interviews gepland: een eerste met een nep-hr-medewerker die via een live videoverbinding persoonlijke foto’s en video's deelde, en een tweede via een populaire chatapplicatie waarbij de medewerker werd gevraagd een codeeropdracht te downloaden uit een online code repository. Deze repository bevatte kwaadaardige code die, eenmaal uitgevoerd, het apparaat van de medewerker infecteerde met onbekende malware die niet door antivirussoftware werd gedetecteerd.
De malware gebruikte geavanceerde technieken om detectie te vermijden, waaronder het vervangen van een legitiem onderdeel van een ontwikkeltool door een kwaadaardige versie. Dit stelde de aanvallers in staat commando’s uit te voeren en te communiceren met een door hen gecontroleerde externe server. De kwaadaardige code maakte een vervangend uitvoerbaar bestand aan in de macOS Homebrew-installatiemap, verwijderde het legitieme bestand en gebruikte het kwaadaardige bestand om een shellproces te starten waarmee de aanvallers controle kregen.
In de weken daarna gebruikten de aanvallers het geïnfecteerde apparaat en een intern AI-hulpmiddel om twee andere medewerkers te compromitteren die betrokken waren bij de wallet-infrastructuur. Hiermee verkregen zij inloggegevens en een container deployment token. Op 29 oktober gebruikten de hackers deze gestolen credentials om een kwaadaardig script te implementeren en ongeautoriseerde toegang te krijgen tot de wallet signing service van Binance. Dit stelde hen in staat miljarden dollars aan cryptocurrency over meerdere blockchains te verplaatsen. Tevens misbruikten zij het Ethereum EIP-7702 autorisatiemechanisme, waardoor zij ook na het opschorten van opnames door de beurs konden doorgaan met het stelen van cryptovaluta.
Binance heeft de getroffen systemen herbouwd, gecompromitteerde apparaten vervangen en gestolen credentials ingetrokken. Tot 3 november was ongeveer 2,85 miljard dollar aan gestolen activa bevroren of onderschept, en 98% van de getroffen tokens was op 31 oktober aangevuld. De beurs zet het onderzoek voort en heeft onafhankelijke beveiligingsbedrijven ingeschakeld om de bevindingen te beoordelen.
