Binance dice que una entrevista de trabajo falsa llevó al robo de 6.3 mil millones de dólares en criptomonedas

Binance dijo que los hackers utilizaron una entrevista de trabajo falsa para comprometer la computadora de un empleado antes de explotar una herramienta de inteligencia artificial interna para realizar transacciones no autorizadas en un robo de 6.3 mil millones de dólares en criptomonedas.

Cómo se desarrolló el ataque

El ataque comenzó en junio cuando un ingeniero descargó una instalación maliciosa de Homebrew. Binance detectó el malware, reemplazó el dispositivo y rotó las credenciales afectadas, pero el rol del ingeniero y el de sus colegas en el equipo de infraestructura de billeteras quedaron expuestos al hacker.

En septiembre, otro ingeniero de software fue contactado a través de una plataforma legítima de búsqueda de empleo por alguien que se hacía pasar por director de proyecto. La persona organizó una serie de entrevistas de trabajo con una empresa ficticia. Durante una entrevista en video en vivo, un representante de recursos humanos falso compartió una cuenta de redes sociales con fotos y videos personales para generar confianza. En una segunda entrevista en una popular aplicación de chat social, alguien que afirmaba ser el CEO instruyó al ingeniero a descargar una tarea que contenía un repositorio de código malicioso. El código se ejecutó en la computadora de trabajo del ingeniero durante la configuración.

Según Binance, el malware reemplazó un componente legítimo de una herramienta de desarrollo con una versión maliciosa, que ejecutó comandos y estableció comunicación con un servidor externo controlado por el atacante. Las herramientas de seguridad de punto final de Binance no detectaron inmediatamente el malware.

El 20 de octubre, los atacantes utilizaron la computadora comprometida y una herramienta de IA interna para acceder a las computadoras del ingeniero de DevOps de billetera A y de otro desarrollador de software de billetera, Ingeniero C. El Ingeniero A tenía un token de permiso de implementación de contenedores en su computadora.

El 29 de octubre, el atacante accedió a la computadora del Ingeniero C, utilizó credenciales robadas del Ingeniero A para implementar un contenedor y activó un script para lanzar el ataque de robo de criptomonedas.

Atribución y respuesta

El FBI atribuyó el robo a TraderTraitor, una operación de hacking norcoreana vinculada al Grupo Lazarus. Corea del Norte ha rechazado la afirmación.

Binance dijo que ha reconstruido el sistema de billeteras comprometido y la herramienta de IA interna, reemplazado todos los dispositivos afectados y dado de baja todas las credenciales y tokens asignados a los ingenieros comprometidos. El intercambio está trabajando con fuerzas del orden, empresas de inteligencia blockchain y investigadores de seguridad para rastrear y congelar los activos.

Binance ha contratado expertos independientes en ciberseguridad para realizar una revisión de ciberseguridad del incidente y recomendar medidas de protección adicionales. También está trabajando para establecer un fondo de investigación en seguridad e iniciativas con empresas de IA y empresas de seguridad para centrarse en la seguridad de la IA en entornos blockchain.

Recuperación y fondos de los clientes

Binance dijo que está absorbiendo el impacto financiero y cubrirá todas las pérdidas. El intercambio dijo que ha reponido aproximadamente el 90 por ciento de los activos robados, cubriendo unos 6 mil millones de dólares de las pérdidas estimadas. Las principales criptomonedas, incluidas bitcoin, ethereum, tether y BNB, permanecieron totalmente respaldadas.

Los gigantes de las stablecoins Tether y Circle Internet Group Inc., así como otras entidades, congelaron rápidamente o impidieron que los hackers movieran casi 3 mil millones de dólares en fondos. Binance suspendió temporalmente los depósitos y retiros después de revelar la violación y los volvió a habilitar el sábado.

"Esto no debería haber ocurrido, y nos disculpamos por la preocupación, la interrupción y la incertidumbre que causó a nuestros usuarios, socios y a la industria en general", dijo Binance en el informe.

Fuentes (en inglés)

• theregister.com: North Korean fake job interview led to $6.3B Binance heist
• nbcnews.com: Binance: Hackers used fake job interview before $6.3 billion hack
• fortune.com: North Korea used LinkedIn to trick Binance engineer in $6.3 billion hack | Fortune
• claimsjournal.com: Binance Hackers Used Fake Job Interviews in $6.3 Billion Heist
• finance.yahoo.com: $6 billion Binance hack started with a fake job interview
• foxbusiness.com: Binance traces $6.3B crypto theft to multistage attack that began with fake interview | Fox Business

Traducción con IA del artículo original en inglés, revisada automáticamente para que diga lo mismo que el original. Las fuentes fueron verificadas en inglés.