Binance: Hacker dùng phỏng vấn việc làm giả và AI nội bộ để thực hiện vụ trộm 6,3 tỷ USD

Vụ trộm tiền điện tử lớn nhất cho đến nay đã được thực hiện bằng cách kết hợp một số kỹ thuật hacking quen thuộc trong vài tháng, theo Binance. Một báo cáo tổng kết từ công ty cho biết quá trình bắt đầu từ một nhà phát triển tải xuống bộ cài bị can thiệp vào tháng 6, rõ ràng lây lan qua một quảng cáo độc hại trên Google, làm lộ chi tiết về các kỹ sư và cách họ làm việc. Sau đó, vào tháng 9, một kỹ sư khác đã bị nhắm mục tiêu bởi một kẻ mạo nhận quan tâm đến việc tuyển dụng họ; kẻ đó đã thiết lập một loạt cuộc gọi và nhiều vòng phỏng vấn, chia sẻ các trang mạng xã hội để tạo niềm tin, và cuối cùng thúc giục họ tải xuống một bài tập phỏng vấn giả thực chất là phần mềm độc hại.

Binance tuyên bố rằng các đội ngũ bảo mật của họ đã phát hiện lần cài đặt phần mềm độc hại đầu tiên vào tháng 6 và thay thế thiết bị của nhân viên đó, nhưng các công cụ bảo mật của họ lại không phát hiện ra cuộc tấn công thứ hai vốn đã xóa file thực thi pyenv và thay thế nó bằng một phiên bản độc hại cấp cho chúng quyền truy cập cửa hậu (backdoor):

Phần mềm độc hại này sử dụng các kỹ thuật che giấu và né tránh tinh vi, bao gồm việc thay thế một thành phần công cụ phát triển hợp pháp bằng một phiên bản độc hại để thực thi các lệnh và thiết lập kết nối với máy chủ bên ngoài do kẻ tấn công kiểm soát. Phần mềm độc hại dạng 0-day không bị phát hiện bởi các công cụ bảo vệ an ninh điểm cuối vào thời điểm đó. Kẻ tấn công cũng thực hiện các bước để che giấu hoạt động độc hại và xóa dấu vết thỏa hiệp, khiến việc phát hiện và điều tra sau đó trở nên khó khăn hơn.

Vào ngày 20 tháng 10, câu chuyện tiếp diễn, những kẻ tấn công mà FBI xác định là một đơn vị của Triều Tiên có tên "TraderTraitor", đã sử dụng chính công cụ AI nội bộ của Binance để giành quyền kiểm soát các ví đối với kỹ sư đầu tiên bị xâm phạm vào tháng 6, cũng như một nhân viên thứ ba, trước khi đăng nhập vào máy tính của nhân viên thứ ba đó vào ngày 29 tháng 10 và phát động cuộc tấn công của chúng.

Báo cáo cũng đi sâu vào lý do tại sao Binance không thể ngăn chặn các giao dịch diễn ra gần hai giờ sau cácφ giao dịch trái phép đầu tiên, cho biết rằng "Vì ví nóng sử dụng tính năng Tính toán đa bên (MPC), nên không có một khóa riêng tư đơn lẻ nào có thể được sử dụng để thu hồi ngay lập tức các ủy quyền EIP-7702 độc hại." Binance cho biết họ đã ngăn chặn 57 trường hợp đe dọa mạng nghi ngờ liên quan đến Triều Tiên, và CEO Richard Teng viết rằng không có người dùng nào phải gánh chịu tổn thất, với khoảng 2,85 tỷ USD tài sản bị đánh cắp đã được đóng băng hoặc chặn lại: "Vào thời điểm này, 98% số token bị ảnh hưởng đã được bổ sung; chúng tôi đang hoàn thành 2% còn lại. Các lệnh rút tiền đã được mở lại trên diện rộng."

Điều ít rõ ràng hơn là tại sao cuộc tấn công cụ thể này lại thành công — sự nguy hiểm của các cuộc phỏng vấn việc làm yêu cầu mọi người tải xuống và thực thi mã trên các máy có quyền truy cập vào tài liệu của nhà tuyển dụng đã được cảnh báo trong nhiều năm, và có rất ít chi tiết về "công cụ AI nội bộ" đã bị kẻ tấn công sử dụng và tại sao nó lại có thể giúp ích cho chúng từ ban đầu.