Na miesiące przed tym, jak Binance stracił 6,3 mld dolarów w największym włamaniu na giełdę kryptowalut w historii, szef bezpieczeństwa firmy opisał w wywiadzie dla Cointelegraph dokładnie, w jaki sposób fałszywa rozmowa kwalifikacyjna może dać atakującym punkt zaczepienia wewnątrz giełdy. Opisana przez niego taktyka ściśle przypomina jedną z metod wejścia później wykorzystanych przeciwko platformie. Ten przypadek pokazuje, że proces rekrutacji giełdy może sam w sobie stanowić powierzchnię ataku — obok kodu i infrastruktury, które tradycyjnie bronią zespoły bezpieczeństwa.

Podczas lipcowego wywiadu o reakcji Binance na rosnące zagrożenia bezpieczeństwa szef bezpieczeństwa Jimmy Su powiedział, że fałszywe rozmowy kwalifikacyjne to „coś, co wewnętrznie bardzo nas niepokoi”. Wyjaśnił, że atakujący mogą dostosować ofertę pracy do konkretnego pracownika, a następnie przekonać go do uruchomienia kodu w ramach testu technicznego.

„A gdy tylko to zostanie uruchomione, urządzenie jest skompromitowane i wtedy mogą zacząć pozyskiwać dane uwierzytelniające” — powiedział Su, dodając, że atakujący mogą następnie wykorzystać taki dostęp do dalszej penetracji sieci.

Szczegółowe ostrzeżenie Su dotyczące złośliwych testów programistycznych nie zostało uwzględnione w lipcowych materiałach Cointelegraph, ale zyskało nowe znaczenie po październikowej kradzieży. Według wstępnego śledztwa Binance inżynier oprogramowania giełdy pobrał złośliwe zadanie programistyczne na służbowy komputer podczas fałszywej rozmowy kwalifikacyjnej we wrześniu. Ten kompromitacja stała się częścią wieloetapowego ataku, który zakończył się październikowym włamaniem.

Su przewidział również, dlaczego narzędzia bezpieczeństwa mogą nie wykryć takiej pułapki. Test techniczny może obejmować pozornie legalne kroki, takie jak pobranie repozytorium kodu z GitHub — wyjaśnił w lipcu.

„Każdy krok sam w sobie jest faktycznie legalny. Dlatego wiele programów antywirusowych może nie być w stanie tego wykryć i oznaczyć” — powiedział.

Śledztwo Binance później opisało podobny błąd detekcji, wskazując, że proces instalacji zadania uruchomił złośliwe oprogramowanie, które ominęło narzędzia bezpieczeństwa końcowego giełdy dzięki obfuskacji i innym technikom unikania wykrywania.

Binance powiedział, że odpowiedzialność za wykrycie ataków spoczywa na firmie

Su powiedział Cointelegraph, że ograniczanie ryzyka związanego z poszukiwaniem przez pracowników zewnętrznych okazji na służbowych komputerach należy do odpowiedzialności Binance.

„Oczywiście pracownicy mogą szukać okazji na zewnątrz. Niepokoi nas to, że robią to na służbowym urządzeniu” — powiedział. Jeśli pracownik da się nabrać na fałszywą rozmowę, dodał, „odpowiedzialność za jej wykrycie spoczywa na nas” oraz na „zatrzymaniu faktycznego uruchomienia tego kodu”.

Powiązane: hakierzy z Korei Północnej tworzą memecoiny, by praniać środki z włamania na Binance — według firmy analitycznej Elliptic.

Binance już wcześniej testował swoich pracowników wobec fałszywych rekruterów. Su powiedział, że wewnętrzny red team firmy od trzech do czterech lat przeprowadza comiesięczne symulacje phishingowe, z szkoleniami naprawczymi dla pracowników, którzy się nie sprawdzili.

„Na początku higiena bezpieczeństwa pozostawiała wiele do życzenia. Ale po tym czasie firma znacząco się poprawiła” — powiedział.

Septembrowa kompromitacja wydarzyła się mimo tego wieloletniego programu symulacji — to przypomnienie, że samo szkolenie z zakresu świadomości nie zamyka dróg ataków dostosowanych do konkretnego pracownika, czyli dokładnie metody, którą Su opisał w lipcu.

Zagrożenie zmienia również sposób, w jaki niektórzy pracodawcy w krypto oceniają potencjalnych kandydatów — według Kevina Gibsona z firmy rekrutacyjnej Proof of Search, który powiedział Cointelegraph, że klienci coraz częściej chcą wiedzieć, czy kandydaci zostali osobiście spotykani.

„Wielu naszych klientów pyta nas wprost, czy spotykaliśmy kandydata osobiście” — powiedział Gibson, dodając, że kandydaci osobiście poznani przez zewnętrznego rekrutera mają przewagę.

Pracownicy, jak w przypadku Binance, również mogą stać się celem. „W krypto podejrzana oferta pracy albo „szybka rozmowa nadrabiająca” może być pierwszym krokiem do ataku wartego miliony dolarów” — powiedział.

Dla firm przechowujących środki klientów oznacza to, że kanał rekrutacyjny faktycznie staje się częścią obwodu bezpieczeństwa: jedno skompromitowane służbowe urządzenie może otworzyć drogę do głębszych systemów wewnętrznych, jak opisuje samo sprawozdanie Binance dotyczące włamania.

Binance blokuje północnokoreańskie zagrożenie cybernetyczne co pięć dni

Binance powiedział, że zablokował w tym roku 57 podejrzanych zagrożeń cybernetycznych powiązanych z Koreą Północną, co odpowiada mniej więcej jednemu atakowi co pięć dni.

To tempo, wraz z raportem Elliptic o praniu skradzionych środków za pomocą memecoinów, wskazuje na trwałą działalność powiązaną z Koreą Północną wymierzoną w giełdę, a nie na odosobniony incydent.

Po październikowym ataku Binance powiedział, że zaostrzył kontrolę urządzeń, odbudował dotknięte systemy portfeli i wewnętrzne narzędzia AI, wzmocnił kontrolę dostępu i unieważnił skompromitowane dane uwierzytelniające. Giełda powiedziała również, że zwiększa inwestycje w ochronę punktów końcowych i bezpieczeństwo środowiska deweloperskiego oraz zaangażowała niezależnych ekspertów ds. cyberbezpieczeństwa do zbadania incydentu. Niektóre szczegóły techniczne i środki bezpieczeństwa pozostaną poufne — powiedziano.

Ponieważ ustalenia Binance są nadal wstępne, a niektóre szczegóły techniczne zostały wstrzymane, dalsze informacje ze śledztwa i przeglądu niezależnych ekspertów będą kluczowymi wydarzeniami dla pełniejszego obrazu tego, jak atakujący poruszali się po systemach giełdy i jakie dodatkowe zabezpieczenia zostaną wprowadzone.