Meses antes de que Binance perdiera $6.300 millones en lo que se convirtió en el mayor hackeo de un exchange de criptomonedas de la historia, el jefe de seguridad de la compañía describió, en una entrevista con Cointelegraph, exactamente cómo una entrevista de trabajo falsa podía entregar a los atacantes un punto de apoyo dentro del exchange. La táctica que describió se parece mucho a uno de los métodos de entrada utilizados posteriormente contra la plataforma. El episodio ilustra cómo el proceso de contratación de un exchange puede servir en sí mismo como una superficie de ataque, además del código y la infraestructura que los equipos de seguridad defienden convencionalmente.

Durante una entrevista en julio sobre la respuesta de Binance a las crecientes amenazas de seguridad, el jefe de seguridad Jimmy Su dijo que las entrevistas de trabajo falsas eran "algo que nos preocupa mucho internamente". Explicó que los atacantes podían adaptar una oportunidad laboral a un empleado específico y luego persuadirlo de ejecutar código como parte de una evaluación técnica.

"Y una vez que se ejecuta, el dispositivo queda comprometido y entonces pueden empezar a recolectar credenciales", dijo Su, añadiendo que los atacantes podían luego usar ese acceso para penetrar más profundamente en la red.

La detallada advertencia de Su sobre las evaluaciones de programación maliciosas no fue incluida en la cobertura de julio de Cointelegraph, pero ha adquirido una nueva relevancia tras el robo de octubre. Según la investigación preliminar de Binance, un ingeniero de software de la compañía descargó una tarea de programación maliciosa en su computadora de trabajo durante una entrevista de trabajo falsa en septiembre. Ese compromiso se convirtió en parte de un ataque de múltiples etapas que culminó en el breach de octubre.

Su también había anticipado por qué las herramientas de seguridad podrían no detectar una trampa así. Una evaluación técnica puede involucrar pasos aparentemente legítimos, como descargar un repositorio de código de GitHub, explicó en julio.

"Cada paso en sí mismo es legítimo. Así que muchas herramientas antivirus quizás no puedan detectarlo ni señalarlo", afirmó.

La investigación de Binance describió posteriormente una falla de detección similar, señalando que el proceso de configuración de la tarea ejecutó malware que eludió las herramientas de seguridad de endpoints del exchange mediante ofuscación y otras técnicas de evasión.

Binance dijo que la responsabilidad de detectar los ataques recae en la empresa

Su dijo a Cointelegraph que contener el riesgo de que los empleados buscaran oportunidades externas en computadoras de trabajo era responsabilidad de Binance.

"Por supuesto que los empleados pueden explorar oportunidades externas. Lo que sí nos preocupa es que lo hagan en el dispositivo de la empresa", dijo. Si un empleado cae en una entrevista falsa, añadió, "la responsabilidad de detectarlo es nuestra" y de "detener la ejecución efectiva de ese código".

Relacionado: Hacker norcoreanos crean memecoins para lavar fondos del hackeo de Binance, según la firma de análisis de blockchain Elliptic.

Binance ya estaba probando a sus empleados con reclutadores falsos. Su dijo que el equipo red interno de la compañía había estado realizando simulaciones mensuales de phishing durante tres o cuatro años, con capacitación correctiva para los empleados que fallaban.

"Al principio, la higiene de seguridad dejaba mucho que desear. Pero después de este tiempo, la empresa ha mejorado significativamente", dijo.

El compromiso de septiembre ocurrió a pesar de ese programa de simulación de varios años, un recordatorio de que la capacitación de concientización por sí sola no cierra el paso a enfoques adaptados a un empleado específico, el método exacto que Su describió en julio.

La amenaza también está cambiando la forma en que algunos empleadores de cripto evalúan a los candidatos, según Kevin Gibson, de la firma de reclutamiento Proof of Search, quien dijo a Cointelegraph que los clientes quieren cada vez más saber si los candidatos han sido entrevistados en persona.

"Varios de nuestros clientes nos preguntan directamente si hemos visto a un candidato en persona", dijo Gibson, añadiendo que los candidatos entrevistados personalmente por un reclutador externo tienen una ventaja.

Los empleados, como en el caso de Binance, también pueden convertirse en objetivos. "En cripto, una oferta de trabajo dudosa o una 'llamada rápida de puesta al día' puede ser el primer paso de un golpe de millones de dólares", afirmó.

Para las empresas que custodian fondos de clientes, esto significa que el canal de reclutamiento se convierte efectivamente en parte del perímetro de seguridad: un solo dispositivo de trabajo comprometido puede abrir un camino hacia sistemas internos más profundos, como lo describe la propia versión de Binance sobre el breach.

Binance bloquea una amenaza cibernética norcoreana cada cinco días

Binance dijo que ha bloqueado 57 amenazas cibernéticas sospechosas de estar vinculadas a Corea del Norte hasta ahora este año, lo que equivale aproximadamente a un ataque cada cinco días.

Ese ritmo, junto con el informe de Elliptic sobre el lavado de los fondos robados mediante memecoins, apunta a una actividad sostenida vinculada a Corea del Norte dirigida contra el exchange, en lugar de un incidente aislado.

Tras el ataque de octubre, Binance dijo que había reforzado los controles de dispositivos, reconstruido los sistemas de billeteras afectados y las herramientas internas de IA, fortalecido los controles de acceso y revocado las credenciales comprometidas. El exchange también dijo que estaba aumentando la inversión en protección de endpoints y seguridad del entorno de desarrollo, y que había contratado a expertos independientes en ciberseguridad para revisar el incidente. Algunos detalles técnicos y medidas de seguridad permanecerán confidenciales, indicó.

Con los hallazgos de Binance aún preliminares y algunos detalles técnicos reservados, las próximas actualizaciones de la investigación y la revisión de los expertos independientes son los desarrollos a seguir para obtener un panorama más completo de cómo se movieron los atacantes por los sistemas del exchange y qué protecciones adicionales seguirán.