ראיונות עבודה מזויפים ופריצה לכלי AI: כך בוצע שוד הקריפטו הגדול בהיסטוריה
נקודות עיקריות.כלכליסט AI
- בורסת בייננס חשפה כי שוד הקריפטו הגדול בהיסטוריה, בהיקף 6.34 מיליארד דולר, בוצע על ידי האקרים מצפון קוריאה באמצעות קמפיין מתוחכם.
- המתקפה שילבה הנדסה חברתית מורכבת, כולל ראיונות עבודה פיקטיביים והורדת תוכנות זדוניות, שאפשרו לתוקפים להשתלט על מחשבי מהנדסי החברה.
- החברה הצליחה להקפיא כ-2.85 מיליארד דולר מהכספים הגנובים והתחייבה לכסות את מלוא הנזק שנגרם ללקוחותיה בעקבות האירוע.
שוד הקריפטו הגדול בבייננס (Binance) היה מבצע מורכב שהתנהל על פני חודשים, וכלל ראיונות עבודה פיקטיביים ושימוש בכלי AI פנימי של החברה – כך חשפה אתמול (ג') בורסת הקריפטו, בניתוח נרחב ראשון של המתקפה שהובילה לגניבת מטבעות קריפטו בהיקף 6.34 מיליארד דולר.
"החקירה שלנו מעלה שזה היה קמפיין רב-שלבי מתוחכם", מסרה בייננס. "זו לא היתה פרצה נקודתית או תקרית פישינג פשוטה. התוקפים שילבו מגוון טכניקות, כולל הנדסה חברתית באמצעות ראיונות גיוס מזויפים, הורדת תוכנה זדונית, פרצה בכלי AI פנימי, פרצה לנקודת קצה ושיטת אישור עסקאות מתוחכמת".
השוד, שהתגלה ביום חמישי, נחשב לגדול מסוגו בהיסטוריה. לפי ה-FBI, הוא בוצע על ידי האקרים שפעלו בשירות צפון קוריאה . בייננס התחייבה לכסות את מלוא הנזק ללקוחותיה, וכבר החליפה 98% מהמטבעות הגנובים. בנוסף, 2.85 מיליארד דולר מהכספים שנגנבו הוקפאו או יורטו, וצפויים לחזור לידי החברה.
עד עתה, פרטים על איך בוצעה המתקפה עצמה היו מוגבלים. פוסט נרחב שפרסמה בייננס ב-X (לשעבר טוויטר), חושף מידע משמעותי על ההערכות ותכנון המתקפה והוצאתה לפועל.
תחילת המתקפה נמצאת ביוני האחרון, כאשר מהנדס בצוות פיתוח הארנק של בייננס (שמכונה מהנדס A) הוריד חבילת התקנה מזויפת של Homebrew (כלי פופולרי למק לניהול התקנה, עדכון והסרה של תוכנות, ספריות קוד וכלים אחרים), כדי להתקין כלי AI פופולרי אחרי חיפוש במנוע חיפוש. "צוות האבטחה שלנו זיהה את האנומליה, החליף את המכשיר ושינה את הרשאות הגישה כאמצעי הגנה פרואקטיבי", הסבירה בייננס. "עם זאת, התפקיד של מהנדס A ועמיתיו בצוות תשתיות הארנק שלנו נחשף להאקר".
בספטמבר, מהנדס תוכנה אחר בחברה, מהנדס B, קיבל פנייה מפלטפורמת גיוס עובדים לגיטימית, מצד אדם שהתחזה למנהל פרויקט. "למהנדס B היה פרופיל בפלטפורמה שהזכיר ניסיון בבייננס. מנהל הפרויקט המתחזה ארגן ראיון עבודה עם נציג משאבי אנוש, ולאחר מכן עם אדם שהתחזה למנכ"ל חברה פיקטיבית. בראיון הראשון, המתחזה לעובד משאבי אנוש ניהל ראיון וידיאו עם מהנדס B. המראיין שיתף חשבון מדיה חברתית, כולל תמונות אישיות וסרטונים, על מנת לבנות אמון. מדובר בגישת הנדסה חברתית מתקדמת ומטעה יותר מכפי שנראה קודם לכן. הראיון השני נוהל באפליקציית צ'ט פופולרית. לקראת סוף הראיון, מהנדס B הונחה להוריד למחשבו 'מטלה' שכללה קוד זדוני. הקוד הופעל בשלב ההתקנה, והוציא לפועל שורה של פעולות לא מורשות".
פעולות אלו כללו החלפת רכיב של כלי פיתוח לגיטימי בגרסה זדונית שהתחברה לשרת בשליטת התוקפים, ואפשר להם לגשת ולשלוט במחשב הנגוע. מכיוון שהיתה זו תוכנה זדונית לא מוכרת (זירו-דיי) היא לא זוהתה על ידי תוכנות האבטחה. התוקפים גם נקטו בצעדים שנועדו להסתיר את מהלכיהם, באמצעות הסרת עדויות להם, דבר שהקשה על גילוי בזמן אמת ועל החקירה בדיעבד.
ב-20 באוקטובר, התוקף ניצל את המחשב הפרוץ של מהנדס B ועשה שימוש בכלי AI פנימי כדי להשתלט על המחשב של מהנדס A ושל מהנדס C, עובד נוסף בצוות הנדסת הארנק בבייננס. התוקף גילה בתוך זמן קצר שלמהנדס A יש הרשאות גישה לניהול טוקנים.
ביום המתקפה, ה-29 באוקטובר, בין 17:15 ל-19:56, התוקף התחבר למחשב של מהנדס C, והשתמש בהרשאות גישה שגנב ממהנדס A על מנת להפעיל קוד זדוני שהוציא לפועל את המתקפה. מרגע זה, המתקפה התבצעה מהר על פני מספר רשתות. "התוקף ניצל גישה לא מאושרת לשירות אימות ארנק פנימי כדי לבצע עסקאות מחוץ להליך המשיכה הנורמלי", תיארה בייננס. "בין 20:05 ל-20:09, ארנקים של בייננס שלחו 233.46 מיליון ריפל, 970.5 אלף סולאנה, ו-44.2 מיליון אופטימיזם לכתובת בשליטת התוקף".
בשלב זה, בייננס קיבלה התרעה פנימית על העברות בקנה מידה גדול ופתחה בחקירה. תוך כדי, ארנק נוסף של בייננס שלח 18.27 אלף ביטקוין לכתובת בשליטת התוקף. במקביל, התוקף ניצל פרצה על מנת להשתמש במנגנון אימות של את'ריום כדי לקבל שליטה בכמה ארנקים של בייננס.
פעולות מיידיות שנקטה בייננס, ובהן הקפאת משיכות, עבודה עם שותפים להקפאת טוקנים שנשדדו וביטול הרשאות גישה, אפשרו להקפיא 2.85 מיליארד דולר בנכסים. ואולם, פעולות אלו לא היה בהן כדי לעצור את כל ההעברות הלא מורשות. החולשה במנגנון את'ריום פעלה על בסיס תשתית עצמאית שלא בשליטת בייננס, והתוקפים הגישו 50 העברות חתומות על מנת לבצע מניפולציה בחשבון ולקבל הרשאות לפעולות. "מרגע שהתקבלו, הרשאות אלו אפשרו לתוקפים להמשיך להעביר נכסים בלי תלות בתשתית המשיכות של בייננס. הצוות שלנו פיתוח והוציא לפועל הליכים מיוחדים כדי לבטל הרשאות אלו, דבר שדרש זמן נוסף".
העסקה הלא-מורשית האחרונה, העברה של 2,961.9 את'ריום, בוצעה ב-23:56. ב-00:10 ב-30 באוקטובר, המתקפה נבלמה סופית כשבייננס הפעילה קוד שביטל את ההרשאות האחרונות שהיו לתוקפים.
