Binance dice que el robo de 6340 millones de dólares empezó con una entrevista de trabajo falsa y una prueba de programación con malware enviada a un ingeniero en septiembre

Binance publicó el martes sus primeras conclusiones sobre el robo del 29 de octubre, que sitúan el origen del ataque en una oferta de trabajo falsa. En septiembre, un ingeniero de software de Binance fue contactado a través de una plataforma de empleo legítima por alguien que se hacía pasar por director de proyecto, dijo el exchange. Tras entrevistas con una supuesta responsable de recursos humanos y un supuesto director ejecutivo, se le pidió al ingeniero que descargara una tarea de programación que instaló una variante de malware de día cero que las herramientas de seguridad de los equipos de la empresa no detectaron.

No era el primer intento. En junio, un ingeniero del equipo Wallet DevOps de Binance instaló un paquete de Homebrew manipulado mientras buscaba una herramienta de programación con IA; Binance reemplazó el dispositivo y cambió las credenciales. Para entonces, según Fortune, los atacantes ya conocían el puesto de ese ingeniero y a otras personas que gestionaban billeteras de la empresa.

El 20 de octubre, según Binance, el atacante usó la computadora infectada y una herramienta interna de IA para tomar el control de los equipos de otros dos ingenieros de billeteras y encontró un token de despliegue de contenedores. El 29 de octubre lo utilizó para lanzar el ataque. Entre las 20:05 y las 20:09 UTC, cinco billeteras calientes enviaron 233,46 millones de XRP a una dirección controlada por el atacante, y otras billeteras calientes enviaron unos 970.500 SOL, 44,2 millones de OP y 18.270 BTC; la última transferencia, de unos 2962 ETH, se completó a las 23:56 UTC. El atacante había usado el mecanismo EIP-7702 de Ethereum para dar a su propio contrato inteligente derechos parciales de ejecución sobre una billetera caliente y, como la billetera usaba computación multipartita, ninguna clave por sí sola podía revocarlos de inmediato, explicó Binance. La delegación maliciosa se eliminó a las 00:10 UTC del 30 de octubre.

«Esto no debió ocurrir, y pedimos disculpas por la preocupación, las interrupciones y la incertidumbre que causó a nuestros usuarios», escribió Binance. La empresa dice que unos 2850 millones de dólares están congelados o interceptados, que había repuesto el 98 % de los tokens afectados al 31 de octubre y que este año detectó y frenó 57 presuntas amenazas cibernéticas vinculadas a Corea del Norte. El FBI ha atribuido el robo a Corea del Norte, que lo niega.