Binance, l'attacco da 6 miliardi partito da falsi colloqui di lavoro e malware

Binance ha reso pubblica un'indagine dettagliata sull'attacco informatico da 6 miliardi di dollari subito dalla sua piattaforma di criptovalute. Il documento ricostruisce come gli aggressori siano arrivati ai fondi: non con un assalto frontale, ma attraverso falsi colloqui di lavoro e un codice malevolo consegnato a persone in carne e ossa, gli ingegneri dell'azienda.

Secondo l'exchange, la preparazione è cominciata già a giugno. Il primo bersaglio è stato un ingegnere della piattaforma, indotto a scaricare una versione infetta di «Homebrew», un software di programmazione molto diffuso. I team di sicurezza di Binance hanno individuato il malware e lo hanno rimosso. Ma, stando alla ricostruzione, gli hacker avevano già fatto in tempo a raccogliere informazioni sull'ingegnere e sui suoi colleghi.

A settembre gli aggressori sono tornati alla carica, questa volta contattando un altro ingegnere di Binance tramite una piattaforma legittima di ricerca di lavoro. Gli hanno proposto un colloquio per una posizione presso un'azienda che in realtà non esisteva. Per conquistare la fiducia della vittima hanno condiviso foto e video sulle reti sociali, costruendo un'apparenza credibile.

Poi è arrivata la richiesta decisiva: scaricare un esercizio di prova, presentato come parte del processo di selezione. Era il veicolo del malware. Secondo Binance, il codice impiegava «sofisticate tecniche di offuscamento ed elusione», tra cui la sostituzione di un componente legittimo di uno strumento di sviluppo con una versione malevola.

L'exchange definisce questo malware determinante per l'esito dell'attacco. È stato infatti lo strumento che ha permesso agli hacker di stabilire una connessione con i sistemi interni di Binance, aprendo la porta che fino a quel momento era rimasta chiusa.

Il passo successivo è datato 20 ottobre. Gli aggressori hanno sfruttato l'accesso già ottenuto, insieme a uno strumento di intelligenza artificiale interno, per prendere il controllo del software usato da altri due ingegneri. L'attacco si è quindi allargato da un singolo dipendente a più persone dell'azienda.

Nove giorni dopo, il 29 ottobre, gli hacker hanno attivato un codice malevolo che ha dato il via all'attacco vero e proprio, quello che ha portato alla sottrazione dei fondi per 6 miliardi di dollari. Dall'inizio della preparazione erano passati circa quattro mesi.

Il quadro che emerge dall'indagine è quello di un'operazione paziente, costruita su più tentativi e sull'ingegneria sociale. Resta da vedere quali ulteriori dettagli Binance renderà noti su come i fondi siano stati sottratti e su quali misure intenda adottare per proteggere i propri ingegneri.