Binance: Diebstahl über 6,34 Mrd. US-Dollar begann mit einem fingierten Vorstellungsgespräch und einem mit Schadsoftware präparierten Programmiertest für einen Ingenieur im September

Binance hat am Dienstag seine ersten Ergebnisse zum Diebstahl vom 29. Oktober veröffentlicht, und sie führen den Angriff auf ein fingiertes Jobangebot zurück. Im September wurde ein Softwareingenieur von Binance über eine seriöse Jobplattform von jemandem kontaktiert, der sich als Projektleiter ausgab, teilte die Börse mit. Nach Gesprächen mit einer angeblichen Personalverantwortlichen und einem angeblichen CEO sollte der Ingenieur eine Programmieraufgabe herunterladen, die eine Zero-Day-Variante von Schadsoftware installierte, die die Endpoint-Tools des Unternehmens nicht erkannten.

Es war nicht der erste Versuch. Im Juni installierte ein Ingenieur aus dem Wallet-DevOps-Team von Binance auf der Suche nach einem KI-Programmierwerkzeug ein manipuliertes Homebrew-Paket; Binance ersetzte das Gerät und tauschte die Zugangsdaten aus. Zu diesem Zeitpunkt hatten die Angreifer laut Fortune bereits von der Rolle dieses Ingenieurs und von anderen erfahren, die Wallets des Unternehmens verwalteten.

Am 20. Oktober nutzte der Angreifer laut Binance den infizierten Computer und ein internes KI-Tool, um die Kontrolle über die Rechner zweier weiterer Wallet-Ingenieure zu erlangen, und fand ein Token für Container-Deployments. Am 29. Oktober startete er damit den Angriff. Zwischen 20:05 und 20:09 Uhr UTC schickten fünf Hot Wallets 233,46 Millionen XRP an eine vom Angreifer kontrollierte Adresse, andere Hot Wallets schickten rund 970.500 SOL, 44,2 Millionen OP und 18.270 BTC; die letzte Überweisung, rund 2.962 ETH, wurde um 23:56 Uhr UTC abgeschlossen. Der Angreifer hatte über den Ethereum-Mechanismus EIP-7702 seinem eigenen Smart Contract teilweise Ausführungsrechte über eine Hot Wallet verschafft, und weil die Wallet Multi-Party Computation nutzte, konnte kein einzelner Schlüssel diese Rechte sofort widerrufen, so Binance. Die schädliche Delegation wurde am 30. Oktober um 00:10 Uhr UTC entfernt.

„Das hätte nicht passieren dürfen, und wir entschuldigen uns für die Sorge, die Störungen und die Unsicherheit, die es bei unseren Nutzern verursacht hat“, schrieb Binance. Nach eigenen Angaben sind rund 2,85 Mrd. US-Dollar eingefroren oder abgefangen, bis zum 31. Oktober waren 98 Prozent der betroffenen Token ersetzt, und in diesem Jahr hat die Börse 57 mutmaßlich mit Nordkorea verbundene Cyberbedrohungen erkannt und abgewehrt. Das FBI hat den Diebstahl Nordkorea zugeschrieben, das dies bestreitet.