Monate bevor Binance 6,3 Milliarden US-Dollar durch den größten Hack einer Krypto-Börse der Geschichte verlor, beschrieb der Sicherheitschef des Unternehmens in einem Interview mit Cointelegraph genau, wie ein Fake-Jobinterview Angreifern einen Zugangspunkt innerhalb der Börse verschaffen könnte. Die von ihm geschilderte Taktik ähnelt stark einer der später gegen die Plattform eingesetzten Eintrittsmethoden. Der Vorfall zeigt, dass der Einstellungsprozess einer Börse selbst eine Angriffsfläche darstellen kann – neben dem Code und der Infrastruktur, die Sicherheitsteams üblicherweise verteidigen.

In einem Interview im Juli über Binaces Reaktion auf zunehmende Sicherheitsbedrohungen erklärte Chief Security Officer Jimmy Su, dass Fake-Jobinterviews "etwas seien, um das wir uns intern große Sorgen machen". Er erläuterte, dass Angreifer eine Stellenoffer auf einen bestimmten Mitarbeiter zuschneiden und ihn dann überzeugen könnten, im Rahmen einer technischen Bewertung Code auszuführen.

"Und sobald das ausgeführt wird, ist das Gerät kompromittiert, und dann können sie anfangen, Zugangsdaten abzugreifen", sagte Su und fügte hinzu, dass Angreifer diesen Zugriff nutzen könnten, um tiefer in das Netzwerk einzudringen.

Sus detaillierte Warnung vor bösartigen Programierbewertungen war nicht in Cointelegraphs Juli-Berichterstattung enthalten, erhielt aber nach dem Diebstahl im Oktober neue Bedeutung. Laut Binaces vorläufiger Untersuchung lud ein Softwareentwickler des Unternehmens im September während eines Fake-Jobinterviews eine bösartige Programieraufgabe auf seinen Arbeitscomputer herunter. Diese Kompromittierung wurde Teil eines mehrstufigen Angriffs, der in den Angriff im Oktober mündete.

Su hatte auch vorausgesehen, warum Sicherheitstools eine solche Falle übersehen könnten. Eine technische Bewertung könnte scheinbar legitime Schritte umfassen, etwa das Herunterladen eines Code-Repositorys von GitHub, erklärte er im Juli.

"Jeder Schritt ist für sich genommen tatsächlich legitim. Daher können viele Antiviren-Tools ihn möglicherweise nicht erkennen und markieren", sagte er.

Binaces Untersuchung beschrieb anschließend einen ähnlichen Erkennungsausfall: Der Einrichtungsprozess der Aufgabe führte Malware aus, die die Endpoint-Sicherheitstools der Börse durch Obfuskierung und andere Ausweichtechniken umging.

Binance sagte, die Verantwortung zur Erkennung von Angriffen liege beim Unternehmen

Su teilte Cointelegraph mit, dass es Binaces Verantwortung sei, das Risiko einzudämmen, wenn Mitarbeiter auf Arbeitsgeräten externe Karrierechancen verfolgten.

"Natürlich können Mitarbeiter externe Möglichkeiten erkunden. Was uns Sorgen macht, ist, dass sie dies auf dem Firmengerät tun", sagte er. Wenn ein Mitarbeiter auf ein Fake-Interview hereinfiele, liege "die Verantwortung bei uns, das zu erkennen" und "die tatsächliche Ausführung dieses Codes zu stoppen", fügte er hinzu.

Verwandt: Nordkoreanische Hacker erstellen Memecoins, um Gelder aus dem Binance-Hack zu waschen, wie das Blockchain-Analyseunternehmen Elliptic berichtet.

Binance testete seine Mitarbeiter bereits gegen Fake-Recruiter. Su sagte, das interne Red Team des Unternehmens führe seit drei bis vier Jahren monatlich Phishing-Simulationen durch, mit Nachschulungen für Mitarbeiter, die darauf hereinfelen.

"Anfangs ließ die Sicherheitshygiene viel zu wünschen übrig. Aber nach dieser Zeit hat sich das Unternehmen deutlich verbessert", sagte er.

Die Kompromittierung im September geschah trotz dieses mehrjährigen Simulationsprogramms – eine Erinnerung daran, dass Sensibilisierungsschulungen allein Ansätze nicht verhindern können, die auf einen bestimmten Mitarbeiter zugeschnitten sind – genau die Methode, die Su im Juli beschrieben hatte.

Die Bedrohung verändert auch, wie manche Krypto-Arbeitgeber potenzielle neue Mitarbeiter prüfen, so Kevin Gibson der Personalvermittlungsagentur Proof of Search gegenüber Cointelegraph: Kunden wollten zunehmend wissen, ob Kandidaten persönlich getroffen wurden.

"Eine Reihe unserer Kunden fragt uns inzwischen direkt, ob wir einen Kandidaten persönlich getroffen haben", sagte Gibson und fügte hinzu, dass Kandidaten, die von einem Drittanbieter-Recruiter persönlich getroffen wurden, im Vorteil seien.

Mitarbeiter können, wie im Fall von Binance, selbst zum Ziel werden. "In Krypto kann ein dubioses Stellenangebot oder ein 'kurzer Auffrischungsanruf' der erste Schritt eines mehrstufigen Angriffs im Wert von Millionen Dollar sein", sagte er.

Für Unternehmen, die Kundengelder verwalten, bedeutet das: Der Recruiting-Kanal wird effektiv Teil des Sicherheitsperimeters, wie Binaces eigene Darstellung des Angriffs beschreibt – ein einzelnes kompromittiertes Arbeitsgerät kann einen Weg zu tieferen internen Systemen eröffnen.

Binance blockiert alle fünf Tage eine nordkoreanische Cyber-Bedrohung

Binance sagte, es habe in diesem Jahr bisher 57 mutmaßlich mit Nordkorea verbundene Cyber-Bedrohungen blockiert, was etwa einem Angriff alle fünf Tage entspricht.

Dieses Tempo deutet zusammen mit Elliptics Bericht über das Waschen der gestohlenen Gelder über Memecoins auf anhaltende, mit Nordkorea verbundene Aktivitäten gegen die Börse hin, nicht auf einen isolierten Vorfall.

Nach dem Angriff im Oktober sagte Binance, es habe Gerätekontrollen verschärft, betroffene Wallet-Systeme und interne KI-Tools neu aufgebaut, Zugriffskontrollen gestärkt und kompromittierte Zugangsdaten widerrufen. Die Börse erhöhe zudem ihre Investitionen in Endpoint-Schutz und die Sicherheit der Entwicklerumgebung und habe unabhängige Cybersicherheitsexperten zur Prüfung des Vorfalls hinzugezogen. Einige technische Details und Sicherheitsmaßnahmen würden vertraulich bleiben, so das Unternehmen.

Da Binaces Erkenntnisse noch vorläufig sind und einige technische Details zurückgehalten werden, sind weitere Updates aus der Untersuchung und der Prüfung der unabhängigen Experten die Entwicklungen, auf die es zu achten gilt, um ein vollständigeres Bild davon zu erhalten, wie sich die Angreifer durch die Systeme der Börse bewegten und welche zusätzlichen Schutzmaßnahmen folgen.