Un falso colloquio di lavoro ha contribuito ad aprire le porte all’infrastruttura di wallet di Binance: il dipendente ha scaricato un presunto esercizio di programmazione che ha installato un malware, e gli aggressori hanno finito per usare credenziali interne e uno strumento di intelligenza artificiale dell’azienda. Binance attribuisce a questa catena il furto del 29 ottobre; le stime pubblicate oscillano tra 6,3 e 6,43 miliardi di dollari, a seconda della fonte e del metodo di valutazione.
Il caso non si riduce a un file dannoso o a un malfunzionamento di uno strumento di IA. La ricostruzione di Binance, pubblicata il 3 novembre, descrive un’intrusione preparata nell’arco di mesi, che ha combinato la compromissione di due ingegneri, l’accesso ad altri dipendenti e la capacità di operare sul servizio di firma dei wallet. L’FBI ha identificato i responsabili come TraderTraitor, un’unità nordcoreana; anche TRM Labs ha attribuito l’attacco a quel gruppo.
Due vie d’accesso e un’escalation interna
La sequenza ha avuto un precedente a giugno. Secondo Binance, un ingegnere ha scaricato un programma di installazione manomesso che, a quanto pare, veniva diffuso tramite un annuncio malevolo di Google. The Hacker News specifica che si trattava di un programma di installazione di Homebrew usato per installare uno strumento di IA. Binance ha rilevato questa prima infezione e ha sostituito il dispositivo, ma le informazioni sul ruolo dell’ingegnere e sui suoi colleghi del team dei wallet erano già state esposte.
A settembre, un’altra persona ha contattato un secondo ingegnere tramite una piattaforma legittima di ricerca di lavoro, fingendosi responsabile di progetto. La trama è proseguita con una serie di colloqui: prima è intervenuta una persona che sosteneva di lavorare nelle risorse umane e ha condiviso un profilo con foto e video personali per conquistare la fiducia; poi un’altra persona si è presentata come amministratore delegato di un’azienda fittizia. Il presunto candidato ha quindi ricevuto un esercizio di programmazione ospitato in un repository di codice.
Il repository eseguiva codice dannoso durante la configurazione. Secondo BleepingComputer, il malware ha sostituito l’eseguibile legittimo pyenv nell’installazione di Homebrew con una versione alterata, ne ha modificato il collegamento simbolico e lo ha usato per avviare un processo di Z shell. In questo modo poteva eseguire comandi ricevuti da un server controllato dagli aggressori. Binance ha dichiarato che il programma ha fatto ricorso a tecniche di offuscamento ed elusione e ha cancellato le tracce dell’infezione per ostacolarne le indagini.
La catena descritta da Binance collega i due computer compromessi al successivo accesso all’infrastruttura dei wallet:
flowchart TD A["Instalador manipulado en junio"] --> B["Datos del equipo expuestos"] C["Entrevista falsa en septiembre"] --> D["Ejercicio con malware"] D --> E["Equipo del ingeniero comprometido"] B --> F["Herramienta interna de IA abusada"] E --> F F --> G["Acceso a dos empleados más"] G --> H["Credenciales y token de despliegue"] H --> I["Servicio de firma de wallets"] I --> J["Transferencias no autorizadas"]
Lo strumento di IA era un anello della catena
Il 20 ottobre, secondo Binance, gli aggressori hanno sfruttato il computer compromesso e uno strumento interno di IA per raggiungere altri due dipendenti legati all’infrastruttura dei wallet. Hanno ottenuto credenziali e un token per la distribuzione di container. The Hacker News riporta che il token si trovava sul computer del primo ingegnere compromesso, mentre BleepingComputer spiega che le credenziali rubate sono state poi usate per distribuire uno script dannoso.
Il 29 ottobre, tra le 17:15 e le 19:56, gli aggressori hanno effettuato l’accesso al computer di un terzo dipendente, distribuito un container e attivato lo script, secondo la cronologia pubblicata da Binance. L’accesso al servizio di firma dei wallet ha permesso di generare transazioni al di fuori del normale processo di prelievo. TRM Labs ha osservato movimenti dai wallet di Binance su dieci blockchain e ha ritenuto che l’ampiezza delle firme valide indicasse una compromissione dell’infrastruttura di firma a caldo.
Binance non ha pubblicato una causa tecnica principale che spieghi come sia stato ottenuto quell’accesso. Non è stato nemmeno specificato quale funzione svolgesse lo strumento interno di IA né perché possa aver aiutato gli aggressori. Le informazioni disponibili sono più circoscritte: l’azienda afferma che lo strumento è stato usato in modo improprio per controllare gli account di altri dipendenti. Presentare l’IA come origine del furto andrebbe oltre quanto spiegato da Binance.
“It was not a single isolated breach or a simple phishing incident,”
— Binance
La risposta annunciata da Binance comprende la ricostruzione del sistema di wallet interessato in un nuovo ambiente, la ricostruzione dello strumento interno di IA e dei relativi controlli di accesso, la sostituzione dei dispositivi compromessi e la revoca di credenziali e token. L’azienda ha inoltre dichiarato di aver rafforzato i controlli di rischio del servizio di wallet e ampliato il rilevamento delle anomalie comportamentali, anche tramite IA.
Perché bloccare i trasferimenti non è bastato
Il furto non si è limitato a Ethereum. TRM stima che dai wallet di Binance siano usciti circa 6,36 miliardi di dollari su dieci reti; BleepingComputer parla di circa 6,34 miliardi e The Hacker News di 6,43 miliardi. Sono cifre diverse, non un unico importo confermato da tutte le pubblicazioni. TRM ha valutato ogni trasferimento al prezzo dell’asset al momento del furto e ha osservato che quegli stessi asset valevano circa 6,23 miliardi di dollari ai prezzi successivi.
Su Ethereum, TRM ha individuato un’autorizzazione EIP-7702 che ha permesso di trasformare un hot wallet di Binance in un meccanismo di drenaggio controllato dall’aggressore. Il gruppo aveva preparato 50 autorizzazioni firmate per diversi valori consecutivi del contatore delle transazioni del wallet; una era ancora valida al momento dell’esecuzione. Il contratto ha poi inviato i fondi a un indirizzo dell’aggressore e ha drenato nuovamente i depositi successivi.
Binance ha spiegato che l’uso di MPC nell’hot wallet implicava l’assenza di una chiave privata unica la cui revoca potesse annullare immediatamente le autorizzazioni EIP-7702 dannose. Questa limitazione aiuta a capire perché la sospensione dei prelievi non abbia fermato tutte le uscite: secondo BleepingComputer, gli aggressori hanno continuato a sfruttare l’autorizzazione mentre Binance sospendeva i prelievi su diverse reti. Anche le altre blockchain hanno registrato trasferimenti firmati, uno schema che ha portato TRM a collocare il problema nell’infrastruttura di firma e non soltanto in un’autorizzazione su Ethereum.
L’intervento di terzi ha contenuto parte dei danni. Binance ha dichiarato che circa 2,85 miliardi di dollari in asset rubati erano stati congelati o intercettati e che, al 31 ottobre, era stato recuperato il 98% dei token interessati; l’azienda stava ancora completando il restante 2%. Nella sua analisi iniziale del 30 ottobre, TRM ha conteggiato quasi 2,7 miliardi congelati on-chain. Le cifre si riferiscono a momenti e categorie di asset diversi, quindi non vanno considerate come un’unica misurazione.
Cosa cambia per i team di sviluppo e custodia
Per i team di sviluppo, l’episodio porta in primo piano una via d’accesso meno appariscente di un attacco diretto agli ambienti di produzione: un’attività di selezione del personale che porta a eseguire codice su un computer di lavoro. In questo caso, il dispositivo era collegato a informazioni e persone legate all’infrastruttura dei wallet. Binance ha dichiarato che l’infezione iniziale di giugno ha esposto informazioni sul ruolo di un ingegnere e sui suoi colleghi; a settembre, un altro ingegnere è stato preso di mira con un falso colloquio di lavoro.
Il rischio aziendale emerge dalla concatenazione dei permessi. Un account compromesso non ha dovuto svuotare i fondi da solo: l’accesso ad altri dipendenti, le credenziali e un token di distribuzione hanno condotto al servizio che firmava le transazioni. Per questo Binance elenca controlli in diversi punti — dispositivi, accessi interni, strumenti di IA e servizio di wallet — invece di attribuire la soluzione a un unico prodotto di sicurezza.
TRM raccomanda agli exchange e ai team di conformità di monitorare gli indirizzi legati all’aggressore e ai team di tesoreria di controllare le deleghe EIP-7702 nei wallet compatibili con Ethereum. Propone inoltre di rifiutare le autorizzazioni EIP-7702 non previste e di separare le policy di firma per blockchain e per livello del wallet. Si tratta di misure proposte da TRM; Binance, dal canto suo, ha comunicato di aver ricostruito i sistemi interessati e rafforzato i propri controlli.
Binance ha affermato che i punti d’ingresso individuati nella catena dell’attacco erano già stati chiusi e che i sistemi interessati erano stati ricostruiti o sostituiti. L’azienda ha inoltre dichiarato che i prelievi erano stati ampiamente ripristinati; gli asset ancora sotto il controllo degli aggressori continuavano a essere monitorati da TRM.
Fonti: The Verge, BleepingComputer, The Hacker News, TRM Labs
