Mesi prima che Binance perdesse 6,3 miliardi di dollari nel peggiore hackeraggio della storia degli exchange di criptovalute, il responsabile della sicurezza dell'azienda aveva descritto, in un'intervista a Cointelegraph, esattamente come un falso colloquio di lavoro avrebbe potuto offrire agli attaccanti un punto d'appoggio all'interno dell'exchange. La tattica che aveva delineato somiglia molto a uno dei metodi di accesso utilizzati in seguito contro la piattaforma. L'episodio mostra come il processo di assunzione di un exchange possa constituire esso stesso una superficie d'attacco, accanto al codice e alle infrastrutture che i team di sicurezza difendono convenzionalmente.

Durante un'intervista di luglio sulla risposta di Binance alla crescita delle minacce alla sicurezza, il chief security officer Jimmy Su ha dichiarato che i falsi colloqui di lavoro erano "qualcosa di cui preoccupiamo molto internamente". Ha spiegato che gli attaccanti potevano adattare un'opportunità lavorativa a un dipendente specifico e poi persuaderlo a eseguire codice come parte di una valutazione tecnica.

"E una volta che viene eseguito, il dispositivo è compromesso e possono iniziare a raccogliere credenziali", ha detto Su, aggiungendo che gli attaccanti avrebbero quindi potuto utilizzare tale accesso per penetrare più a fondo nella rete.

L'avvertimento dettagliato di Su sulle valutazioni di programmazione malevole non era stato incluso nella copertura di luglio di Cointelegraph, ma ha assunto un nuovo significato dopo il furto di ottobre. Secondo l'indagine preliminare di Binance, un ingegnere software dell'exchange ha scaricato un compito di programmazione malevolo sul computer di lavoro durante un falso colloquio a settembre. Quella compromissione è diventata parte di un attacco multistadio culminato nella violazione di ottobre.

Su aveva anche anticipato il motivo per cui gli strumenti di sicurezza potevano non rilevare una simile trappola. Una valutazione tecnica poteva includere passaggi apparentemente legittimi, come scaricare un repository di codice da GitHub, ha spiegato a luglio.

"Ogni passaggio è di per sé legittimo. Quindi molti strumenti antivirus potrebbero non riuscire a rilevarlo e segnalarlo", ha detto.

L'indagine di Binance ha successivamente descritto un fallimento di rilevamento simile, affermando che il processo di configurazione del compito ha eseguito malware che ha eluso gli strumenti di sicurezza degli endpoint dell'exchange tramite offuscamento e altre tecniche di elusione.

Binance ha dichiarato che spetta all'azienda rilevare gli attacchi

Su ha detto a Cointelegraph che contenere il rischio legato ai dipendenti che perseguono opportunità esterne su computer di lavoro era responsabilità di Binance.

"Naturalmente i dipendenti possono esplorare opportunità esterne. Ciò che ci preoccupa è che lo facciano sul dispositivo aziendale", ha detto. Se un dipendente cadesse in un falso colloquio, ha aggiunto, "spetta a noi rilevarlo" e "impedire l'effettiva esecuzione di quel codice".

Correlato: gli hacker nordcoreani creano memecoin per riciclare i fondi dall'hackeraggio di Binance, secondo la società di analisi blockchain Elliptic.

Binance aveva già sottoposto i propri dipendenti a test con recruiter finti. Su ha detto che il red team interno dell'azienda conduceva simulazioni di phishing mensili da tre o quattro anni, con formazione correttiva per i dipendenti che fallivano.

“All'inizio, l'igiene della sicurezza lasciava molto a desiderare. Ma dopo tutto questo tempo, l'azienda è migliorata in modo significativo", ha detto.

La compromissione di settembre si è verificata nonostante quel programma pluriennale di simulazioni, un promemoria del fatto che la sola formazione sulla consapevolezza non chiude approcci calibrati su un dipendente specifico — il metodo esatto descritto da Su a luglio.

La minaccia sta anche cambiando il modo in cui alcuni datori di lavoro cripto valutano i candidati, secondo Kevin Gibson della società di reclutamento Proof of Search, che ha detto a Cointelegraph che i clienti vogliono sempre più sapere se i candidati siano stati incontrati di persona.

"Un certo numero di nostri clienti ci sta chiedendo direttamente se abbiamo incontrato un candidato di persona", ha detto Gibson, aggiungendo che i candidati incontrati personalmente da un recruiter terzo hanno un vantaggio.

Anche i dipendenti, come nel caso di Binance, possono diventare bersagli. "Nel cripto, un'offerta di lavoro losca o una 'chiamata veloce di aggiornamento' può essere il primo passo di un colpo da milioni di dollari", ha detto.

Per le aziende che custodiscono fondi dei clienti, ciò significa che il canale del reclutamento diventa di fatto parte del perimetro di sicurezza: un singolo dispositivo di lavoro compromesso può aprire un percorso verso i sistemi interni più profondi, come descrive lo stesso racconto di Binance sulla violazione.

Binance blocca una minaccia informatica nordcoreana ogni cinque giorni

Binance ha detto di aver bloccato 57 minacce informatiche sospettate di essere collegate alla Corea del Nord fino a quest'anno, ovvero circa un attacco ogni cinque giorni.

Quel ritmo, insieme al rapporto di Elliptic sul riciclaggio dei fondi rubati tramite memecoin, indica un'attività sostenuta collegata alla Corea del Nord mirata all'exchange, piuttosto che un incidente isolato.

Dopo l'attacco di ottobre, Binance ha detto di aver inasprito i controlli sui dispositivi, ricostruito i sistemi di wallet e gli strumenti interni di IA interessati, rafforzato i controlli di accesso e revocato le credenziali compromesse. L'exchange ha anche detto di stare aumentando gli investimenti nella protezione degli endpoint e nella sicurezza dell'ambiente di sviluppo e di aver incaricato esperti indipendenti di cybersecurity di esaminare l'incidente. Alcuni dettagli tecnici e misure di sicurezza rimarranno riservati, ha detto.

Con i risultati di Binance ancora preliminari e alcuni dettagli tecnici riservati, gli ulteriori aggiornamenti dell'indagine e la revisione degli esperti indipendenti sono gli sviluppi da seguire per un quadro più completo di come gli attaccanti si sono muoveri nei sistemi dell'exchange e su quali ulteriori protezioni seguiranno.