Binance afferma di aver perso 6,3 miliardi di dollari in un attacco informatico iniziato con un finto colloquio di lavoro. L'exchange descrive gli aggressori come legati alla Corea del Nord. Secondo il suo resoconto, hanno impiegato mesi per compromettere dipendenti e sistemi interni prima di portare a termine l'exploit.
Un colloquio di lavoro come via d'ingresso
Il punto di ingresso non è stato un bug software. È stata una persona. Secondo Binance, gli aggressori hanno utilizzato un finto colloquio di lavoro per compromettere i dipendenti dell'exchange, il che rappresenta una tecnica di ingegneria sociale piuttosto che un'intrusione tecnica. Non è stato necessario alcun zero-day esotico per ottenere un punto d'appoggio, solo un'offerta credibile e qualcuno disposto a rispondere alla chiamata.
Questo dettaglio è importante perché è la parte della storia che un exchange non può correggere con un aggiornamento software. La formazione del personale e i controlli interni sugli accessi sono ciò che ostacola questo tipo di attacco.
Mesi all'interno prima dell'exploit
Non si è trattato di un colpo rapido. Binance afferma che gli aggressori hanno trascorso mesi a compromettere dipendenti e sistemi interni prima dell'exploit vero e proprio. Più dipendenti, più sistemi. Il quadro è quello di un'intrusione lenta e paziente che si è ampliata passo dopo passo, non di un singolo laptop rubato.
L'exchange non ha dichiarato, almeno nel resoconto disponibile finora, quanti dipendenti siano stati colpiti o quando sia iniziata la compromissione. Questi sono i numeri che mostrerebbero per quanto tempo gli aggressori sono stati in grado di operare inosservati.
Il livello di firma degli hot wallet
L'obiettivo era l'infrastruttura di firma degli hot wallet di Binance. Gli hot wallet sono i wallet connessi che un exchange utilizza per spostare rapidamente i fondi, e i sistemi di firma sono ciò che autorizza tali trasferimenti. Controlla quel livello e non devi violare i wallet. Puoi far sì che approvino le transazioni per te.
Ciò si adatta ai mesi di preparazione. Raggiungere l'infrastruttura di firma generalmente significa prima superare persone e sistemi interni, che è esattamente il percorso che Binance afferma abbiano seguito gli aggressori.
Dove entra in gioco EIP-7702
Secondo l'exchange, l'exploit ha utilizzato il meccanismo EIP-7702 di Ethereum. È un'aggiunta relativamente recente a Ethereum, e la sua comparsa in un attacco di questa portata attirerà l'attenzione di altre piattaforme che vi si affidano. I fatti disponibili non spiegano come gli aggressori lo abbiano utilizzato, e dire di più sarebbe una supposizione.
Ciò che stabiliscono è la combinazione. Una compromissione a livello umano ha permesso agli aggressori di entrare, e un meccanismo specifico di Ethereum è stato parte dell'exploit stesso.
Cosa Binance non ha detto
La cifra di 6,3 miliardi di dollari proviene da Binance, e così pure il collegamento alla Corea del Nord. L'attribuzione è la descrizione degli aggressori fornita dall'exchange, non una conclusione di un investigatore esterno, e dovrebbe essere letta in questo modo finché qualcun altro non si pronuncia.
Mancano ancora diversi elementi di base. Non c'è una ripartizione di quali asset siano stati prelevati. Non c'è alcuna indicazione se alcuni fondi siano stati congelati o recuperati. Non c'è una cronologia di quando è stato eseguito l'exploit. Il resoconto tecnico completo di Binance su come è stata raggiunta l'infrastruttura di firma e su come EIP-7702 sia stato utilizzato contro di essa è la prossima cosa da cercare.
