Η κλοπή από τη Binance ξεκίνησε με μια συνέντευξη για δουλειά: η πρόσβαση καθόρισε το κόστος

Τον Σεπτέμβριο, ένας μηχανικός λογισμικού της Binance πέρασε από δύο συνεντεύξεις για δουλειά σε μια εταιρεία που δεν υπήρχε. Η πρώτη ήταν μια ζωντανή βιντεοκλήση με έναν εκπρόσωπο του τμήματος ανθρώπινου δυναμικού, ο οποίος κοινοποίησε έναν προσωπικό λογαριασμό του στα μέσα κοινωνικής δικτύωσης, με φωτογραφίες και βίντεο, για να αποδείξει ότι ήταν πραγματικό πρόσωπο. Η δεύτερη έγινε σε μια εφαρμογή συνομιλίας, με κάποιον που παρουσιάστηκε ως διευθύνων σύμβουλος. Προς το τέλος, ζητήθηκε από τον μηχανικό να κατεβάσει μια εργασία προγραμματισμού στον υπολογιστή της δουλειάς του.

Στις 29 Οκτωβρίου, οι επιτιθέμενοι μετέφεραν περίπου 6,34 δισεκατομμύρια δολάρια από πορτοφόλια της Binance, το μεγαλύτερο μέρος τους μέσα σε περίπου 20 λεπτά. Το FBI απέδωσε την κλοπή στην ομάδα TraderTraitor της Βόρειας Κορέας, η οποία κατηγορήθηκε επίσης για την κλοπή 1,5 δισεκατομμυρίου δολαρίων από την Bybit τον Φεβρουάριο του 2025. Πρόκειται για τη μεγαλύτερη κλοπή κρυπτονομισμάτων που έχει καταγραφεί.

Η Binance ανέλαβε την ευθύνη και δήλωσε ότι θα καλύψει τις απώλειες. Στις 3 Νοεμβρίου, ανέφερε ότι είχε αναπληρωθεί το 98% των επηρεαζόμενων περιουσιακών στοιχείων σε token και ότι είχαν δεσμευτεί ή αναχαιτιστεί περίπου 2,85 δισεκατομμύρια δολάρια.

Το ερώτημα που αξίζει να τεθεί είναι το εξής: Σε τι θα μπορούσε να αποκτήσει πρόσβαση ένας παραβιασμένος φορητός υπολογιστής και μπορεί σήμερα κάθε ομάδα να το δοκιμάσει στο δικό της περιβάλλον;

Δύο σημεία εισόδου και μια εκστρατεία από τον Ιούνιο έως τον Οκτώβριο

Τίποτα στην ενημέρωση της Binance στις 3 Νοεμβρίου δεν υποδηλώνει χρήση deepfake ή άλλων τεχνικών με τη βοήθεια τεχνητής νοημοσύνης. Και οι δύο τρόποι διείσδυσης βασίστηκαν σε ανθρώπους: ο ένας μηχανικός εμπιστεύτηκε ένα αποτέλεσμα αναζήτησης και ο άλλος έναν υπεύθυνο προσλήψεων.

Η εκστρατεία διήρκεσε τουλάχιστον πέντε μήνες. Τον Ιούνιο, ένας μηχανικός DevOps που εργαζόταν με πορτοφόλια και αναζητούσε ένα εργαλείο προγραμματισμού με τεχνητή νοημοσύνη κατέβασε ένα τροποποιημένο πρόγραμμα εγκατάστασης του Homebrew. Η ομάδα ασφαλείας της Binance εντόπισε την ανωμαλία, αντικατέστησε τη συσκευή και ανανέωσε τα διαπιστευτήρια. Μέχρι τότε, οι επιτιθέμενοι είχαν ήδη μάθει ποιοι ανήκαν στην ομάδα υποδομής πορτοφολιών.

Τρεις μήνες αργότερα, επέστρεψαν από διαφορετική είσοδο. Ο μηχανικός τον οποίο προσέγγισαν τον Σεπτέμβριο είχε προφίλ σε μια νόμιμη πλατφόρμα αναζήτησης εργασίας, όπου αναφερόταν η εμπειρία του στη Binance. Η εργασία προγραμματισμού που του ανατέθηκε περιείχε κακόβουλο λογισμικό, το οποίο εκτελούνταν κατά την εγκατάσταση, αντικαθιστούσε ένα νόμιμο στοιχείο του pyenv με ένα κακόβουλο, συνδεόταν με διακομιστή υπό τον έλεγχο των επιτιθέμενων και διέγραφε τα ίχνη του. Η Binance αναφέρει ότι η προστασία τελικών σημείων δεν το εντόπισε.

Στις 20 Οκτωβρίου, οι επιτιθέμενοι χρησιμοποίησαν εκείνον τον φορητό υπολογιστή και ένα εσωτερικό εργαλείο τεχνητής νοημοσύνης για να πάρουν τον έλεγχο των υπολογιστών δύο ακόμη μηχανικών, εκ των οποίων ο ένας ανήκε στον μηχανικό DevOps που είχε παραβιαστεί τον Ιούνιο. Σε εκείνον τον υπολογιστή βρήκαν ένα διακριτικό με δικαιώματα ανάπτυξης κοντέινερ. Στις 29 Οκτωβρίου, συνδέθηκαν στον υπολογιστή του άλλου μηχανικού, χρησιμοποίησαν τα κλεμμένα διαπιστευτήρια για να αναπτύξουν ένα κοντέινερ και εκτέλεσαν το σενάριο που ξεκίνησε την κλοπή.

Γιατί εξακολουθούν να λειτουργούν οι παγίδες με ψεύτικους υπεύθυνους προσλήψεων

Οι ψεύτικοι υπεύθυνοι προσλήψεων και οι μολυσμένες δοκιμασίες προγραμματισμού αποτελούν παλιά τακτική. Βορειοκορεάτες φορείς την εφαρμόζουν εδώ και χρόνια εναντίον προγραμματιστών, κυρίως στην εκστρατεία που είναι γνωστή ως Contagious Interview. Η Binance αναφέρει ότι μόνο το 2026 απέτρεψε 57 απόπειρες που αποδίδονται σε ύποπτους δεσμούς με τη Βόρεια Κορέα.

Η παγίδα λειτουργεί επειδή ζητά από τους μηχανικούς να κάνουν κάτι που κάνουν καθημερινά. Η εκτέλεση ενός άγνωστου αποθετηρίου αποτελεί συνηθισμένο μέρος μιας τεχνικής συνέντευξης. Δεν υπάρχει ύποπτη διεύθυνση αποστολέα ούτε σύνδεσμος για να περάσει κανείς τον δείκτη του ποντικιού από πάνω του· υπάρχει μόνο ένας εργοδότης που φαίνεται αξιόπιστος, ένα άτομο σε βιντεοκλήση και μια εργασία που μοιάζει με κανονική δουλειά.

Το μήνυμα από έναν υπεύθυνο προσλήψεων είναι επίσης μία από τις λίγες ανεπιθύμητες προσεγγίσεις που οι άνθρωποι καλωσορίζουν. Κανένα πρόγραμμα ευαισθητοποίησης δεν μπορεί να εγγυηθεί ότι κάθε μηχανικός θα εντοπίζει κάθε πειστική απόπειρα, γι’ αυτό τα μέτρα προστασίας πρέπει να βασίζονται στην παραδοχή ότι κάποια θα περάσει.

Πώς ένας φορητός υπολογιστής έφτασε στα πορτοφόλια

Το πρώτο μου ερώτημα αφορά τα μέτρα ασφαλείας στο περιβάλλον εργασίας εκείνου του μηχανικού. Η χρήση υπολογιστή της δουλειάς για μια εξωτερική δοκιμασία προγραμματισμού χρήζει διερεύνησης. Το μεγαλύτερο ζήτημα είναι πώς εκείνη η μεμονωμένη παραβίαση επέτρεψε την πρόσβαση σε άλλα συστήματα και, τελικά, σε ευαίσθητες χρηματοοικονομικές υποδομές.

Κάθε βήμα μετά την αρχική μόλυνση βασίστηκε στην εμπιστοσύνη που ήδη υπήρχε εντός της Binance. Ένα εσωτερικό εργαλείο τεχνητής νοημοσύνης δέχτηκε οδηγίες από έναν παραβιασμένο υπολογιστή και τις προώθησε στους υπολογιστές συναδέλφων. Ένα διακριτικό ανάπτυξης βρισκόταν στον φορητό υπολογιστή ενός μηχανικού. Μια ανάπτυξη κοντέινερ με έγκυρα διαπιστευτήρια μετέφερε δισεκατομμύρια. Τίποτα από αυτά δεν απαιτούσε άλλη παγίδα.

Τα εσωτερικά εργαλεία τεχνητής νοημοσύνης χρειάζονται ιδιαίτερη προσοχή. Συχνά έχουν εκτεταμένα δικαιώματα σε αποθετήρια, τελικά σημεία και υπηρεσίες, οπότε όποιος ελέγχει έναν υπολογιστή που μπορεί να τους δίνει οδηγίες αποκτά και την αντίστοιχη εμβέλεια.

Προστασία των προγραμματιστών χωρίς να επιβραδύνεται η ανάπτυξη λογισμικού

Οι προγραμματιστές χρειάζεται να κατεβάζουν πακέτα, να εκτελούν άγνωστο κώδικα και να δοκιμάζουν λογισμικό. Αν κλειδώναμε τους φορητούς υπολογιστές τους τόσο αυστηρά όσο έναν υπολογιστή του οικονομικού τμήματος, η ανάπτυξη λογισμικού θα επιβραδυνόταν δραματικά και οι μηχανικοί θα κατέφευγαν σε παρακάμψεις. Είναι λογικό να υπάρχει πολιτική που απαγορεύει την αναζήτηση εργασίας από εταιρικές συσκευές, αλλά κανείς δεν τηρεί μια πολιτική κάθε φορά. Ο πρακτικός στόχος είναι να περιοριστούν όσα μπορεί να κάνει στη συνέχεια ένας παραβιασμένος υπολογιστής προγραμματιστή.

Λίγα μέτρα ελέγχου κάνουν τη μεγαλύτερη διαφορά. Ο μη έμπιστος κώδικας πρέπει να εκτελείται σε προσωρινές εικονικές μηχανές, χωρίς πρόσβαση σε εταιρικά διαπιστευτήρια. Τα διαπιστευτήρια ανάπτυξης πρέπει να έχουν μικρή διάρκεια ισχύος, περιορισμένο εύρος δικαιωμάτων και, όπου είναι δυνατόν, να εκδίδονται για ελεγχόμενες ροές εργασιών ανάπτυξης. Τα κλειδιά υπογραφής πορτοφολιών ή τα μερίδια κλειδιών πρέπει να προστατεύονται χωριστά από τους σταθμούς εργασίας των προγραμματιστών, με πολιτικές υπογραφής που περιορίζουν τις συναλλαγές και τις εγκρίσεις που μπορούν να εγκριθούν. Για ενέργειες που αφορούν πορτοφόλια, πληρωμές ή συστήματα παραγωγής, πρέπει να απαιτείται έγκριση από δεύτερο άτομο, μέσω ξεχωριστής συσκευής. Τα εσωτερικά εργαλεία τεχνητής νοημοσύνης πρέπει να λειτουργούν με τα ελάχιστα απαραίτητα δικαιώματα και να καταγράφουν τις ενέργειές τους.

Ο εντοπισμός πρέπει να λειτουργεί και όταν τα διαπιστευτήρια είναι νόμιμα. Η παρακολούθηση συμπεριφοράς, η οποία επισημαίνει μια ανάπτυξη από μη αναμενόμενο μηχάνημα ή σε μη αναμενόμενη ώρα, δίνει στην ομάδα την ευκαιρία να παρέμβει ακόμη και όταν όλα τα διαπιστευτήρια φαίνονται εντάξει. Η Binance αναφέρει ότι έχει επεκτείνει αυτό το είδος εντοπισμού μετά το περιστατικό.

Πού εντάσσεται η πληροφόρηση για τις απειλές

Η προειδοποίηση είχε δημοσιοποιηθεί έξι εβδομάδες πριν από την κλοπή. Η κοινή προειδοποίηση για την εκστρατεία Contagious Interview περιέγραφε δράστες που παρίσταναν τους υπεύθυνους προσλήψεων εταιρειών τεχνητής νοημοσύνης, κρυπτονομισμάτων και NFT, με στόχο επαγγελματίες πληροφορικής και σκοπό την κλοπή κρυπτονομισμάτων. Η υπόθεση της Binance ακολούθησε το ίδιο μοτίβο.

Η πληροφόρηση για τις απειλές έχει συγκεκριμένο ρόλο σε εκστρατείες όπως αυτή. Οι δράστες μπορεί να αλλάζουν, αλλά οι τακτικές τους είναι γνωστές. Οι ομάδες που τους παρακολουθούν μπορούν να αποκλείουν γνωστές υποδομές και να προειδοποιούν τους μηχανικούς για τα προσχήματα που χρησιμοποιούνται αυτή τη στιγμή.

Η πληροφόρηση βοηθά επίσης μια ομάδα να εντοπίσει ποιοι χρειάζονται αυξημένη προστασία. Όταν ένα περιστατικό αποκαλύπτει ποιοι έχουν ευαίσθητα δικαιώματα πρόσβασης, όπως συνέβη με την παραβίαση της Binance τον Ιούνιο, τα άτομα αυτά πρέπει να αντιμετωπίζονται ως πιθανοί στόχοι για μήνες, με στενότερη παρακολούθηση των συσκευών τους και των προσεγγίσεων που δέχονται.

Τι σημαίνουν όλα αυτά πέρα από τον κλάδο των κρυπτονομισμάτων

Τα ανταλλακτήρια κρυπτονομισμάτων αποτελούν προφανή στόχο, επειδή τα κλεμμένα κεφάλαια μετακινούνται γρήγορα και είναι δύσκολο να ανακτηθούν. Το ίδιο μοτίβο εμφανίζεται παντού όπου ένας σταθμός εργασίας προγραμματιστή απέχει λίγα βήματα από κρίσιμα συστήματα, είτε πρόκειται για τη ροή πληρωμών μιας τράπεζας είτε για τη διαδικασία δημιουργίας και διάθεσης λογισμικού ενός προμηθευτή. Τα προσχήματα που βασίζονται σε προσλήψεις φτάνουν στους μηχανικούς όλων αυτών των οργανισμών.

Για τους υπεύθυνους ασφάλειας που εξετάζουν αυτή την εβδομάδα τα δικά τους περιβάλλοντα, δύο έλεγχοι έχουν τη μεγαλύτερη σημασία. Πρώτον, χαρτογραφήστε σε τι θα μπορούσε να αποκτήσει πρόσβαση σήμερα ένας και μόνο παραβιασμένος φορητός υπολογιστής προγραμματιστή, συμπεριλαμβανομένων των αποθηκευμένων διακριτικών πρόσβασης, των κλειδιών SSH, των διαπιστευτηρίων νέφους και των εσωτερικών εργαλείων τεχνητής νοημοσύνης. Δεύτερον, επιβεβαιώστε ότι για τις αναπτύξεις σε περιβάλλοντα παραγωγής και τις συναλλαγές μεγάλης αξίας απαιτείται ανεξάρτητη έγκριση, την οποία δεν μπορεί να δώσει μία και μόνη παραβιασμένη ταυτότητα.

Η Binance έχει ανακατασκευάσει τα συστήματα που επηρεάστηκαν και έχει προσλάβει ανεξάρτητους αξιολογητές, λαμβάνοντας τις σχετικές αποφάσεις μετά την απώλεια. Οι οργανισμοί που θα κάνουν τώρα την ίδια άσκηση μπορούν να λάβουν αυτές τις αποφάσεις με βάση το δικό τους χρονοδιάγραμμα.