Binance-varkaus alkoi työhaastattelusta: käyttöoikeudet ratkaisivat vahingon suuruuden

Syyskuussa Binance-ohjelmistosuunnittelija osallistui kahteen työhaastatteluun yrityksen kanssa, jota ei ollut olemassa. Ensimmäinen oli suora videopuhelu HR-edustajan kanssa. Tämä jakoi henkilökohtaisen sosiaalisen median tilinsä kuvineen ja videoineen todistaakseen olevansa oikea henkilö. Toinen haastattelu käytiin keskustelusovelluksessa henkilön kanssa, joka esiintyi toimitusjohtajana. Haastattelun loppupuolella insinööriä pyydettiin lataamaan koodaustehtävä työtietokoneelleen.

Lokakuun 29. päivänä hyökkääjät siirsivät Binance-lompakoista noin 6,34 miljardia dollaria, josta suurin osa lähti noin 20 minuutin aikana. Yhdysvaltain liittovaltion poliisi FBI on liittänyt varkauden TraderTraitor-ryhmään, pohjoiskorealaiseen ryhmään, jota syytetään myös helmikuussa 2025 Bybitiltä tehdystä 1,5 miljardin dollarin varkaudesta. Kyseessä on tähän mennessä suurin kirjattu kryptovaluuttavarkaus.

Binance on ottanut vastuun tapahtuneesta ja ilmoittanut korvaavansa tappiot. Marraskuun 3. päivänä yhtiö kertoi, että 98 prosenttia vaikutuksen kohteena olleista tokenvaroista oli palautettu ja että noin 2,85 miljardia dollaria oli jäädytetty tai saatu pysäytettyä.

Kannattaa kysyä: mihin kaikkeen yhdeltä murretulta kannettavalta tietokoneelta pääsi käsiksi, ja voiko jokainen tiimi testata tämän omassa ympäristössään jo tänään?

Kaksi tunkeutumisreittiä ja kesäkuusta lokakuuhun jatkunut kampanja

Mikään Binancen marraskuun 3. päivän päivityksessä ei viittaa syväväärennöksiin tai muihin tekoälyn avulla toteutettuihin menetelmiin. Kumpikin tunkeutumisreitti kulki ihmisten kautta: toinen insinööri luotti hakutulokseen ja toinen rekrytoijaan.

Kampanja kesti vähintään viisi kuukautta. Kesäkuussa lompakoista vastaava DevOps-insinööri etsi tekoälypohjaista koodaustyökalua ja latasi muunnellun Homebrew-asennusohjelman. Binancen tietoturvatiimi havaitsi poikkeaman, vaihtoi laitteen ja uudisti tunnistetiedot. Siihen mennessä hyökkääjät olivat jo selvittäneet, ketkä kuuluivat lompakkojen infrastruktuuritiimiin.

Kolme kuukautta myöhemmin hyökkääjät palasivat toista reittiä. Syyskuussa lähestytyllä insinöörillä oli profiili aidolla työnhakualustalla, jossa hän kertoi kokemuksestaan Binancella. Koodaustehtävä sisälsi haittaohjelman, joka käynnistyi asennuksen aikana, korvasi aidon pyenv-komponentin haitallisella, otti yhteyden hyökkääjien hallitsemaan palvelimeen ja hävitti jälkensä. Binancen mukaan sen päätelaitteiden suojaus ei havainnut haittaohjelmaa.

Lokakuun 20. päivänä hyökkääjät käyttivät kyseistä kannettavaa tietokonetta ja sisäistä tekoälytyökalua ottaakseen haltuunsa kahden muun insinöörin tietokoneet. Toinen niistä kuului DevOps-insinöörille, jonka kone oli murrettu kesäkuussa. Hyökkääjät löysivät tältä koneelta tunnisteen, jolla oli oikeudet konttien käyttöönottoon. Lokakuun 29. päivänä he kirjautuivat toisen insinöörin tietokoneelle, käyttivät varastettuja tunnistetietoja kontin käyttöönottoon ja suorittivat varkauden käynnistäneen skriptin.

Miksi rekrytoijien houkutuskeinot toimivat yhä

Vale-rekrytoijat ja saastutetut koodaustestit ovat vanha toimintamalli. Pohjoiskorealaiset toimijat ovat käyttäneet sitä kehittäjiä vastaan jo vuosia, näkyvimmin kampanjassa, joka tunnetaan nimellä Contagious Interview. Binance kertoo pysäyttäneensä pelkästään vuonna 2026 yhteensä 57 epäiltyä Pohjois-Koreaan liittyvää yritystä.

Houkutus toimii, koska se pyytää insinöörejä tekemään jotakin, mitä he tekevät joka päivä. Tuntemattoman koodivaraston suorittaminen on teknisessä työhaastattelussa tavallista. Epäilyttävää lähettäjän osoitetta tai linkkiä, jonka voisi tarkistaa viemällä osoittimen sen päälle, ei ole: on vain uskottavalta vaikuttava työnantaja, videolla näkyvä henkilö ja työltä näyttävä tehtävä.

Rekrytoijan yhteydenotto on myös yksi harvoista pyytämättä tulevista yhteydenotoista, joita ihmiset ottavat mielellään vastaan. Mikään tietoisuusohjelma ei voi taata, että jokainen insinööri tunnistaa kaikki uskottavat huijausyritykset, joten suojaustoimissa on varauduttava siihen, että jokin niistä menee läpi.

Miten yhdeltä kannettavalta tietokoneelta päästiin käsiksi lompakoihin

Ensimmäinen kysymykseni koskee kyseisen insinöörin työympäristön tietoturvakontrolleja. Työtietokoneen käyttäminen ulkopuoliseen koodausarviointiin on syytä tutkia tarkasti. Suurempi huolenaihe on se, miten yksi tietomurto mahdollisti pääsyn muihin järjestelmiin ja lopulta arkaluonteiseen talousinfrastruktuuriin.

Jokainen alkuperäistä tartuntaa seurannut vaihe perustui Binancen sisällä jo vallinneeseen luottamukseen. Sisäinen tekoälytyökalu hyväksyi murretulta koneelta tulevat ohjeet ja välitti ne kollegoiden laitteille. Insinöörin kannettavalla tietokoneella oli käyttöönottotunniste. Kelvollisilla tunnistetiedoilla tehty kontin käyttöönotto siirsi miljardeja. Yhteenkään vaiheeseen ei tarvittu uutta houkutuskeinoa.

Sisäisiin tekoälytyökaluihin on kiinnitettävä erityistä huomiota. Niillä on usein laajat käyttöoikeudet koodivarastoihin, päätelaitteisiin ja palveluihin, joten tällaisen työkalun ohjeistamiseen kykenevää konetta hallitseva saa käyttöönsä myös sen toimintamahdollisuudet.

Kehittäjien suojaaminen kehitystyötä hidastamatta

Kehittäjien on ladattava paketteja, suoritettava tuntematonta koodia ja testattava ohjelmistoja. Jos heidän kannettavansa lukittaisiin yhtä tiukasti kuin taloushallinnon työasema, kehitystyö hidastuisi pahasti ja insinöörit alkaisivat etsiä kiertoteitä. On järkevää kieltää työnhaku yrityksen laitteilla, mutta kukaan ei noudata sääntöä joka kerta. Käytännössä tavoitteena on rajoittaa sitä, mitä murretulla kehittäjän koneella voidaan seuraavaksi tehdä.

Muutamalla hallintakeinolla on suurin vaikutus. Epäluotettavaa koodia tulee ajaa kertakäyttöisissä virtuaalikoneissa, joilla ei ole pääsyä yrityksen tunnistetietoihin. Käyttöönoton tunnistetietojen tulee olla voimassa vain lyhyen aikaa, niiden käyttöoikeuksien tulee olla tarkasti rajattuja, ja ne tulee mahdollisuuksien mukaan myöntää hallituille käyttöönottoprosesseille. Lompakoiden allekirjoitusavaimet tai avainosuudet tulee suojata erillään kehittäjien työasemista, ja allekirjoituskäytäntöjen tulee rajoittaa, mitkä tapahtumat ja valtuutukset voidaan hyväksyä. Lompakkoihin, maksujärjestelmiin tai tuotantojärjestelmiin vaikuttavat toimet tulee vaatia hyväksyttäväksi toisen henkilön toimesta eri laitteella. Sisäisten tekoälytyökalujen tulee toimia mahdollisimman vähin käyttöoikeuksin ja kirjata toimintansa.

Havaitsemisen on toimittava myös silloin, kun tunnistetiedot ovat laillisia. Käyttäytymisen seuranta, joka ilmoittaa odottamattomalta koneelta tai epätavalliseen aikaan tehdystä käyttöönotosta, antaa tiimille mahdollisuuden puuttua tilanteeseen, vaikka kaikki tunnistetiedot vaikuttaisivat olevan kunnossa. Binance kertoo laajentaneensa tällaisen toiminnan havaitsemista tapauksen jälkeen.

Uhkatiedustelun rooli

Varoitus julkaistiin kuusi viikkoa ennen varkautta. Contagious Interview -kampanjaa koskevassa yhteisessä varoituksessa kerrottiin toimijoista, jotka esiintyivät tekoäly-, kryptovaluutta- ja NFT-yritysten rekrytoijina kohdistaakseen toimintansa IT-alan ammattilaisiin ja varastaakseen kryptovaluuttaa. Binanceen kohdistuneessa tapauksessa noudatettiin samaa toimintamallia.

Uhkatiedustelulla on konkreettinen tehtävä tämänkaltaisissa kampanjoissa. Toimijat voivat vaihtua, mutta niiden taktiikat tunnetaan. Niitä seuraavat tiimit voivat estää tunnetun infrastruktuurin käytön ja varoittaa insinöörejä juuri nyt käytössä olevista verukkeista.

Tiedustelu kertoo tiimille myös, ketkä tarvitsevat lisäsuojaa. Kun välikohtaus paljastaa, kenellä on pääsy arkaluonteisiin tietoihin tai järjestelmiin, kuten Binancen kesäkuisessa tietomurrossa kävi, näitä ihmisiä tulisi pitää todennäköisinä kohteina kuukausien ajan. Heidän laitteitaan ja heihin kohdistuvia yhteydenottoja tulisi seurata tavallista tarkemmin.

Mitä tämä tarkoittaa kryptovaluuttojen ulkopuolella

Kryptovaluuttapörssit ovat ilmeinen kohde, sillä varastetut varat siirtyvät nopeasti ja niitä on vaikea saada takaisin. Sama toimintamalli voi toteutua kaikkialla, missä kehittäjän työasema on vain muutaman verkkohypyn päässä kriittisistä järjestelmistä – olipa kyse pankin maksuliikennejärjestelmästä tai ohjelmistotoimittajan koonti- ja julkaisuprosessista. Rekrytointiverukkeet tehoavat kaikkien näiden alojen insinööreihin.

Turvallisuusjohtajien, jotka tarkistavat tällä viikolla omia ympäristöjään, kannattaa keskittyä kahteen tarkistukseen. Ensinnäkin on kartoitettava, mihin kaikkeen yksi kaapattu kehittäjän kannettava tietokone voisi tällä hetkellä päästä käsiksi, mukaan lukien tallennetut tunnisteet, SSH-avaimet, pilvipalveluiden tunnistetiedot ja sisäiset tekoälytyökalut. Toiseksi on varmistettava, että tuotantoon tehtävät käyttöönotot ja arvokkaat maksutapahtumat edellyttävät riippumatonta hyväksyntää, jota yhden kaapatun käyttäjätilin haltija ei voi antaa.

Binance on rakentanut vaikutuksen kohteena olleet järjestelmät uudelleen ja ottanut mukaan riippumattomia arvioijia; päätökset tehtiin vasta menetyksen jälkeen. Organisaatiot, jotka toteuttavat saman harjoituksen nyt, voivat tehdä päätökset omassa aikataulussaan.