SEAL: gli hacker di Binance hanno avuto otto settimane di accesso prima dell'exploit da 6,3 miliardi di dollari
Punti chiave
- •SEAL stima che hacker legati alla Corea del Nord abbiano mantenuto circa otto settimane di accesso ai sistemi di Binance prima di eseguire l'exploit da 6,3 miliardi di dollari del 29 ottobre.
- •Binance afferma che le compromissioni iniziali dei dispositivi sono avvenute a giugno e settembre, ma che gli aggressori non hanno ottenuto l'accesso necessario per raggiungere le operazioni sui wallet fino al 20 ottobre.
- •La compromissione di giugno si è verificata quando un dipendente ha scaricato un'installazione di Homebrew manomessa nel tentativo di installare uno strumento di coding AI; gli aggressori hanno comunque ottenuto informazioni sui dipendenti dell'infrastruttura dei wallet nonostante la sostituzione del dispositivo e la rotazione delle credenziali da parte di Binance.
- •Il 20 ottobre gli aggressori hanno usato il computer compromesso di un ingegnere software preso di mira a settembre, insieme a uno strumento AI interno, per controllare i dispositivi di due ingegneri dell'infrastruttura dei wallet e trovare il token di autorizzazione al deployment usato nell'exploit.
- •SEAL ha identificato almeno quattro domini di società di facciata legati alle false campagne di reclutamento di TraderTraitor e ha riscontrato tempi di permanenza pluri-settimanali simili prima degli exploit di Bitget, Kelp DAO e AFX.
Hacker legati alla Corea del Nord hanno mantenuto l'accesso ai sistemi di Binance per circa otto settimane prima di eseguire l'exploit da 6,3 miliardi di dollari del 29 ottobre, secondo l'organizzazione no-profit per la cybersicurezza Security Alliance (SEAL). Binance afferma tuttavia che la campagna di attacco più ampia è iniziata a giugno e che gli hacker non hanno ottenuto l'accesso ad altri dispositivi dell'infrastruttura dei wallet fino al 20 ottobre.
In un rapporto di giovedì, SEAL ha scritto che il gruppo di hacker ha compromesso nel settembre il dispositivo di un ingegnere software di Binance tramite uno schema di falso reclutamento, aggiungendo che gli attaccanti possono muoversi nei sistemi compromessi con un «alto grado di furtività per periodi prolungati di tempo» dopo l'intrusione iniziale. La stima delle otto settimane di SEAL si riferisce alla finestra di intrusione settembre-ottobre, e non all'inizio della campagna più ampia descritta da Binance.
Cointelegraph ha contattato Binance per chiarimenti sulla cronologia. Un portavoce ha dichiarato che le compromissioni iniziali dei dispositivi sono avvenute a giugno e settembre, ma che gli aggressori non hanno ottenuto l'accesso necessario per raggiungere le operazioni sui wallet fino al 20 ottobre.
«Come indicato nel nostro annuncio, le compromissioni iniziali dei dispositivi sono avvenute a giugno e settembre, ma gli aggressori non hanno ottenuto l'accesso necessario per raggiungere le operazioni sui wallet fino al 20 ottobre, quando hanno usato quella posizione di partenza per spostarsi lateralmente e ottenere l'accesso ad altri dispositivi e credenziali», ha detto il portavoce.
SEAL ha identificato almeno quattro «società di facciata» associate alle false campagne di reclutamento di TraderTraitor nel 2026, tra cui citalab.net, citalab.com, bitfit.io e oddium.io — domini che presentavano queste organizzazioni come datori di lavoro legittimi ai loro obiettivi.
Binance ha fatto risalire la campagna di attacco a giugno, quando il dispositivo di un altro dipendente è stato compromesso dopo aver scaricato un'installazione di Homebrew manomessa (un gestore di pacchetti open source usato per installare software su macOS e Linux) nel tentativo di installare uno strumento di coding AI, come già riportato. L'exchange ha rilevato l'incidente e sostituito il dispositivo, ruotando le credenziali correlate. Gli aggressori avevano però già ottenuto informazioni sui dipendenti che lavoravano all'infrastruttura dei wallet di Binance, secondo un post su X di martedì.
Il 20 ottobre, secondo Binance, gli aggressori hanno usato il computer compromesso dell'ingegnere preso di mira a settembre, insieme a uno strumento AI interno, per prendere il controllo dei dispositivi di due ingegneri dell'infrastruttura dei wallet. Successivamente hanno scoperto un token di autorizzazione al deployment, utilizzato durante l'exploit del 29 ottobre.
L'analisi di SEAL ha evidenziato schemi di intrusione multi-fase simili in altre hack crittografiche di alto profilo. Ha stimato che gli aggressori hanno avuto circa sei settimane di accesso prima dell'hack da 388 milioni di dollari a Bitget, sei settimane di accesso a LayerZero prima della vulnerabilità che ha portato all'exploit da 293 milioni di dollari di Kelp DAO, e circa tre settimane prima di eseguire l'exploit da 24 milioni di dollari di AFX. Nel loro insieme, questi casi inquadrano i lunghi tempi di permanenza tra accesso iniziale ed esecuzione come una caratteristica ricorrente delle principali intrusioni crittografiche, anziché un'anomalia unica di Binance.
Il Federal Bureau of Investigation statunitense ha attribuito l'attacco a TraderTraitor della Corea del Nord in un rapporto di sabato. Kim Yo Jong, sorella del leader nordcoreano Kim Jong Un, ha respinto le accuse, lasciando la responsabilità dell'exploit pubblicamente contesa tra Washington e Pyongyang. Con i due governi che offrono versioni direttamente opposte, ulteriori rivelazioni da parte di Binance, SEAL o delle agenzie statunitensi potrebbero aggiungere dettagli su come l'intrusione si è svolta tra giugno e ottobre.
