Tin tặc Triều Tiên dùng chiêu phỏng vấn giả và Homebrew độc hại để đánh cắp 6,34 tỷ USD từ Binance

Binance đã tiết lộ cách các tin tặc Triều Tiên dành nhiều tháng chuẩn bị để đánh cắp khoảng 6,34 tỷ USD tiền mã hóa vào tuần trước. Theo báo cáo bảo mật ngày 3 tháng 11 từ sàn giao dịch, những kẻ tấn công đã sử dụng một bản cài đặt Homebrew độc hại để xâm phạm một kỹ sư và một quy trình tuyển dụng giả mạo để đánh lừa một kỹ sư khác cài đặt phần mềm độc hại ngụy trang dưới dạng một trợ lý mã hóa. "Cuộc điều tra hiện tại của chúng tôi chỉ ra rằng đây là một chiến dịch đa giai đoạn tinh vi. Đây không phải là một vụ vi phạm đơn lẻ hay một sự cố lừa đảo đơn giản", sàn giao dịch cho biết.

Binance cho biết vụ xâm phạm đầu tiên được ghi nhận vào tháng 6, khi một kỹ sư trong đội ngũ Wallet DevOps của Binance tìm kiếm trực tuyến một công cụ mã hóa AI phổ biến và tải xuống một bản cài đặt Homebrew đã bị sửa đổi độc hại. Homebrew là một trình quản lý gói, được các nhà phát triển sử dụng để cài đặt và quản lý các công cụ phần mềm khác nhau trên macOS.

Binance cho biết họ đã phát hiện ra hoạt động bất thường này, thay thế thiết bị của kỹ sư đó và xoay vòng thông tin đăng nhập liên quan của họ. Tuy nhiên, các động thái đó tỏ ra là quá muộn và không đủ, vì những kẻ tấn công đã tìm hiểu về vai trò của nhân viên này và xác định được các đồng nghiệp đang làm việc trên cơ sở hạ tầng ví của sàn giao dịch.

Sự cố này tiếp nối vụ xâm phạm một kỹ sư phần mềm khác của Binance, người đã bị liên hệ vào tháng 9 thông qua một nền tảng tìm việc hợp pháp bởi một kẻ độc hại đóng giả làm giám đốc dự án. Nhà tuyển dụng giả mạo đã sắp xếp hai cuộc phỏng vấn. Một cuộc liên quan đến một người tự nhận là đại diện nhân sự thực hiện cuộc gọi điện video trực tiếp và chia sẻ tài khoản mạng xã hội chứa ảnh và video cá nhân để tạo độ tin cậy, trong khi cuộc thứ hai liên quan đến một người đóng giả làm CEO của một công ty hư cấu.

Gần cuối cuộc phỏng vấn, kỹ sư được yêu cầu tải xuống một bài tập mã hóa chứa một kho lưu trữ phần mềm độc hại vào máy tính làm việc của mình—một chiêu trò xã hội phổ biến. Mã độc đó thực thi trong quá trình thiết lập. Vào thời điểm đó, Binance cho biết phần mềm độc hại đã thay thế một thành phần hợp pháp của công cụ quản lý phiên bản Python "pvenv" bằng một phiên bản độc hại có khả năng thực thi các lệnh và giao tiếp với máy chủ do kẻ tấn công kiểm soát. Các công cụ bảo mật điểm cuối của sàn giao dịch đã không phát hiện ra phần mềm độc hại vào thời điểm đó.

Những vụ xâm phạm đó bắt đầu mang lại kết quả vào ngày 20 tháng 10, khi những kẻ tấn công sử dụng các máy tính bị xâm phạm liên quan đến cuộc phỏng vấn giả và một công cụ AI nội bộ để giành quyền kiểm soát các thiết bị của hai kỹ sư ví. Họ cũng phát hiện ra một mã thông báo quyền triển khai vùng chứa (container deployment permission token) được lưu trữ trên máy tính của kỹ sư nhắm mục tiêu ban đầu vào tháng 6.

Sau đó, vào ngày 29 tháng 10, những kẻ tấn công đã sử dụng thông tin đăng nhập bị đánh cắp để truy cập máy tính của một kỹ sư khác, triển khai một vùng chứa và thực thi một tập lệnh độc hại. Điều này đã cho phép họ truy cập vào dịch vụ ký ví nội bộ của Binance, cho phép thực hiện các giao dịch từ năm ví nóng bên ngoài quy trình rút tiền thông thường của sàn giao dịch.

FBI Hoa Kỳ đã quy trách nhiệm trực tiếp vụ trộm cho Triều Tiên vào ngày 1 tháng 11. "FBI đang đưa ra thông tin khuyến cáo rằng Cộng hòa Dân chủ Nhân dân Triều Tiên (Triều Tiên) chịu trách nhiệm về vụ trộm hơn 6 tỷ USD tài sản ảo từ sàn giao dịch tiền mã hóa Binance, vào hoặc khoảng ngày 29 tháng 10 năm 2026. FBI gọi hoạt động mạng độc hại cụ thể này của Triều Tiên là "TraderTraitor", cơ quan này đăng trên Twitter. Bình Nhưỡng đã giữ khoảng cách với vụ hack, mô tả các cáo buộc của Mỹ là "nhảm nhí vô lý".

Binance cho biết kể từ đó họ đã đóng băng hoặc chặn khoảng 2,85 tỷ USD tài sản bị xâm phạm, trong khi 98% số quỹ bị ảnh hưởng đã được bù đắp.

Các chiến thuật này giống với các chiến dịch trước đây có liên quan đến Triều Tiên. Những kẻ tấn công WaterPlum trước đây đã sử dụng các bài đăng tuyển dụng giả và bài kiểm tra mã hóa để lây nhiễm cho hơn 30.000 thiết bị trên 100 quốc gia, làm tổn hại hơn 7.000 ví tiền điện tử vào tháng 9. Một chiến dịch năm 2024 nhắm vào các nhà phát triển Python bằng các lời mời làm việc giả mạo và phần mềm độc hại ẩn trong mã đã được quy cho nhóm Lazarus, nhóm này cũng có liên quan đến vụ hack Bybit trị giá 1,5 tỷ USD vào năm 2025. Những kẻ tấn công đóng giả là nhà tuyển dụng tiềm năng và gửi các bài kiểm tra mã hóa chứa phần mềm độc hại bị làm mờ Base64. Chạy các bài kiểm tra có thể làm lây nhiễm máy tính của các nhà phát triển, mang lại cho kẻ tấn công quyền truy cập từ xa.