Kako je opljačkan Binance: 6,3 milijarde dolara preko lažnog razgovora za posao
Binance je objavio kako mu je ukradeno rekordnih 6,34 milijarde dolara. Nije bila u pitanju jedna provala nego kampanja duga pet meseci. U junu je inženjer iz tima koji održava kripto novčanike berze preuzeo zaraženu verziju instalacije razvojnog alata Homebrew. Binance je to otkrio, zamenio mu računar i promenio pristupne podatke. Napadač je, međutim, već saznao čime se taj inženjer bavi i s kim radi. U septembru se drugom inženjeru iste kompanije, preko legitimnog sajta za traženje posla, javlja kontakt koji se predstavlja kao vođa softverskog projekta, zainteresovan za saradnju. Usledila su dva razgovora. Na prvom video pozivu, lažna osoba iz kadrovske službe zainteresovanom inženjeru pokazuje svoj profil na društvenoj mreži, kako bi stekla poverenje. Drugi razgovor je vođen preko aplikacije za dopisivanje, sa „direktorom“ firme koja ne postoji, i završio se zadatkom koji inženjer Binance-a preuzima na službeni računar. Maliciozni kod se pokreće već pri podešavanju projekta, podmeće zaraženu verziju razvojnog alata i otvara vezu ka serveru napadača. Zaštita na računaru nije detektovala pretnju. Dvadesetog oktobra napadač sa tog računara, uz pomoć internog AI alata berze, preuzima kontrolu nad računarima dvojice inženjera. Kako je AI alat tačno iskorišćen, Binance ne objašnjava. Na računaru prvog inženjera ostala je dozvola za postavljanje programa na servere berze, i 29. oktobra uveče napadač sa njom stiže do internog servisa koji potpisuje isplate iz novčanika. Dodatno je iskoristio i jedan od mehanizama Ethereuma, koji mu je omogućio transakcije i nakon što je berza obustavila isplate. Prema Binance-u, oko 2,85 milijardi dolara je zamrznuto ili presretnuto, a 98 odsto ukradenih tokena berza je nadoknadila iz sopstvenih sredstava. FBI napad pripisuje severnokorejskoj grupi TraderTraitor. Severna Koreja to odbacuje, a Kim Jo Džong, sestra Kim Džong Una, optužbu je nazvala „teškom političkom provokacijom“.
Programeri na razgovorima za posao rutinski preuzimaju i pokreću tuđi programski kod, jer je tehnički zadatak dokaz znanja, pa se retko kad pretpostavlja da iza njega stoji nešto maliciozno. O tom obrascu smo pisali još u julu, a sada je pokazao koliko opasan može da bude. Chainalysis kaže da je za poslednjih 18 meseci otkrio desetine sličnih napada, sa gubicima od nekoliko desetina hiljada do nekoliko miliona dolara: napadači su metodu izbrusili na manjim metama pre nego što su krenuli na najveću. Junski incident otkriva još nešto. Binance je tada uradio sve kako treba, zamenio računar i promenio lozinke, ali ono što je napadač u međuvremenu saznao o ljudima i timu bilo je dovoljno da se pažljivo isplanira novi napad. Interni AI alat je na kraju poslužio kao prolaz kroz infrastrukturu. Binance kaže da je ove godine otkrio i zaustavio 57 sličnih pokušaja povezanih sa Severnom Korejom. Za gubitak od 6,3 milijarde bio je dovoljan samo jedan. Kod nas veliki deo programera radi za strane firme, često na daljinu, a ponude preko LinkedIna stižu redovno. Mnogi ih otvaraju na istom računaru na kojem rade. Na kraju, Binance je iz svog džepa nadoknadio štetu klijentima i opisao ceo tok napada. Taj opis vredi više od svih opštih upozorenja, jer dokazuje njihove tvrdnje. Za najveću kripto-pljačku u istoriji bio je dovoljan jedan razgovor i pokretanje projekta na pogrešnom računaru.
- Tehničke zadatke sa razgovora za posao radi na zasebnom računaru ili u virtuelnoj mašini, nikad na službenom
- Ako vodiš tim: zabrani pokretanje koda sa strane na računarima koji imaju pristup produkciji, i ne drži dozvole za postavljanje (deployment tokene) trajno na laptopovima, nego kratkotrajne i uz odobrenje drugog čoveka
- Razvojne alate instaliraj sa zvaničnih adresa (za Homebrew to je brew.sh), a ne preko prvog rezultata iz pretraživača
- Posle otkrivenog upada pretpostavi da napadač zna ko s kim radi, i pojačaj nadzor nad celim timom narednih meseci, ne samo nad zamenjenim uređajem
- Proveri do čega interni AI alati mogu da dođu, sa kojih računara i pod čijim ovlašćenjima, i da li se njihove radnje beleže