Binance informó el martes que el robo récord de 6.430 millones de dólares en activos de la mayor casa de cambio de criptomonedas del mundo fue el resultado de una "campaña sofisticada y multifase" que incluyó una instalación manipulada de Homebrew y un ataque de ingeniería social con temática de reclutamiento dirigido a dos de sus ingenieros.
"No fue una única brecha aislada ni un simple incidente de phishing. Los atacantes combinaron diversas técnicas, como ingeniería social mediante entrevistas de trabajo falsas, descargas de software malicioso, herramientas internas de IA comprometidas, compromiso de endpoints y un método avanzado de autorización de transacciones".
El punto de partida se remonta a un ataque de cadena de suministro dirigido a uno de sus ingenieros del equipo de DevOps de Wallet (denominado "Ingeniero A"), quien descargó un instalador de Homebrew troyanizado para instalar una popular herramienta de inteligencia artificial (IA) después de buscarla en un motor de búsqueda. El incidente ocurrió en junio de 2026.
Aunque Binance dijo que detectó el ataque y rotó todas las credenciales relacionadas como medida de precaución, la compañía señaló que la información sobre "el rol del Ingeniero A y sus colegas relacionados en nuestro equipo de infraestructura de wallet quedó expuesta al hacker".
La segunda parte del ataque ocurrió en septiembre de 2026, cuando el actor de amenazas contactó a otro ingeniero (denominado "Ingeniero B") a través de una plataforma legítima de búsqueda de empleo haciéndose pasar por un Director de Proyectos.
La identidad falsa del Director de Proyectos organizó una entrevista de primera ronda con un representante de recursos humanos (RR. HH.), seguida de una entrevista de segunda ronda con un individuo que afirmaba ser el CEO de una empresa inexistente. Binance no reveló detalles de la empresa falsa.
Durante la entrevista virtual de primera ronda, el representante de RR. HH. compartió una cuenta de redes sociales, incluidas fotos y videos personales publicados en la plataforma, en un intento de generar credibilidad y establecer confianza. La segunda ronda, en cambio, se llevó a cabo en una popular aplicación de chat social.
"Cerca del final de la entrevista, se instruyó al Ingeniero B a descargar una 'tarea' que contenía un repositorio de código malicioso en su computadora de trabajo. El repositorio contenía código malicioso que se ejecutó durante el proceso de configuración, iniciando una serie de actividades no autorizadas".
El malware no detectado utilizó técnicas avanzadas de ofuscación y evasión, incluida la sustitución de un componente legítimo de herramienta de desarrollo por una versión envenenada para ejecutar comandos y establecer comunicación con un servidor externo controlado por el atacante. Además, el actor de amenazas tomó medidas para borrar rastros eliminando artefactos forenses relacionados con el compromiso.
La intrusión pasó a la siguiente etapa el 20 de octubre de 2026, cuando el adversario aprovechó la computadora comprometida del Ingeniero B y abusó de una herramienta interna de IA para tomar el control del Ingeniero A y de otro Ingeniero de Software de Wallet C.
"El atacante pronto descubrió que el Ingeniero A de DevOps de Wallet tenía un token de permiso de despliegue de contenedores en su computadora. El 29 de octubre, entre las 17:15 y las 19:56, el atacante inició sesión en la computadora del Ingeniero de Software C, utilizó las credenciales robadas del Ingeniero A de DevOps de Wallet, desplegó un contenedor y activó un script malicioso para lanzar el ataque".
El ataque finalmente explotó su acceso no autorizado a un servicio interno de firma de wallet para iniciar transacciones fuera del proceso normal de retiro.
En respuesta al incidente, Binance ha reconstruido el sistema de wallet afectado en un nuevo entorno, así como reconstruido la herramienta interna de IA y los controles de acceso. Otras medidas tomadas hasta el 3 de noviembre se enumeran a continuación:
- Reemplazo de los dispositivos afectados.
- Desmantelamiento de credenciales y tokens relacionados con los ingenieros afectados.
- Finalización de escaneos de seguridad mejorados en todos los dispositivos de los empleados.
- Mejora de la detección de anomalías de comportamiento basada en IA.
- Reforzamiento de los controles de riesgo del servicio de wallet.
- Colaboración con las fuerzas del orden, empresas de inteligencia blockchain y socios del sector para rastrear y congelar los activos afectados.
"Los puntos de entrada identificados como utilizados en el ataque han sido cerrados. Los sistemas afectados en la ruta del ataque han sido reconstruidos o reemplazados. También hemos implementado controles de dispositivos más estrictos, controles de riesgo del servicio de wallet mejorados y una detección ampliada de anomalías de comportamiento basada en IA".
"Estamos aumentando la inversión en detección habilitada por IA, protección de endpoints, seguridad del entorno de desarrollo y monitoreo de anomalías de comportamiento".
Desde el comienzo del año, se estima que Binance ha frustrado 57 casos sospechosos de ciberamenazas vinculadas a Corea del Norte, lo que subraya la naturaleza persistente de los ataques dirigidos a la industria de las criptomonedas.
"Las técnicas incluyen entrevistas de trabajo fraudulentas, software malicioso disfrazado de herramientas de desarrollo populares, paquetes de software y extensiones de navegador comprometidos, aplicaciones falsas de videoconferencia y campañas de ingeniería social diseñadas para robar credenciales o desplegar malware de acceso remoto".
Deja una respuesta