Il CSO di Binance aveva inconsapevolmente anticipato la tattica dell’hack da 6,3 miliardi di dollari mesi prima dell’attacco

Mesi prima che Binance perdesse 6,3 miliardi di dollari in un hack, il suo responsabile della sicurezza aveva descritto a Cointelegraph come un falso colloquio di lavoro potesse offrire agli aggressori un punto d’appoggio all’interno dell’exchange, in modo molto simile a uno dei metodi d’ingresso usati in seguito contro la piattaforma.

Durante un’intervista di luglio sulla risposta di Binance alle crescenti minacce alla sicurezza, Jimmy Su ha detto a Cointelegraph che i falsi colloqui di lavoro erano «qualcosa che ci preoccupa molto internamente», spiegando come gli aggressori potessero adattare un’opportunità di lavoro a un dipendente prima di convincerlo a eseguire del codice nell’ambito di un test tecnico. 

«E una volta eseguito, il dispositivo è compromesso e gli aggressori possono iniziare a raccogliere le credenziali», ha detto Su, aggiungendo che avrebbero potuto usarle per penetrare ulteriormente nella rete.

L’avvertimento dettagliato di Su sui test di programmazione malevoli non era incluso nella copertura di luglio di Cointelegraph, ma assume un nuovo significato dopo il più grande hack nella storia dell’exchange di criptovalute.

A settembre, un ingegnere del software di Binance ha scaricato un incarico di programmazione malevolo sul computer di lavoro durante un falso colloquio di lavoro. La compromissione è diventata parte dell’attacco in più fasi culminato nel furto di ottobre, secondo l’indagine preliminare di Binance.

Durante l’intervista con Cointelegraph, Su aveva anche anticipato perché gli strumenti di sicurezza potessero non rilevare una simile trappola. Un test tecnico poteva includere passaggi apparentemente legittimi, come il download di un repository di codice da GitHub, ha spiegato a luglio.

«Ogni passaggio è in realtà legittimo di per sé. Perciò molti strumenti antivirus potrebbero non riuscire a rilevarlo e segnalarlo», ha detto.

L’indagine di Binance ha successivamente descritto un simile fallimento del rilevamento, affermando che il processo di configurazione dell’incarico eseguiva malware in grado di eludere gli strumenti di sicurezza degli endpoint attraverso l’offuscamento e altre tecniche di evasione.

Binance afferma che spetta all’azienda rilevare gli attacchi

Su ha detto a Cointelegraph che spettava a Binance contenere il rischio quando i dipendenti cercavano opportunità esterne usando i computer di lavoro.

«Naturalmente i dipendenti possono esplorare opportunità esterne. Ciò che ci preoccupa è che lo facciano usando il dispositivo aziendale», ha detto. Se un dipendente fosse caduto nella trappola di un falso colloquio, ha aggiunto, «spetta a noi rilevarlo» e «bloccare l’effettiva esecuzione di quel codice».

Correlato: Gli hacker nordcoreani creano memecoin per riciclare i fondi dell’hack di Binance: Elliptic

Binance stava già sottoponendo i dipendenti a test contro falsi recruiter. Su ha detto che il suo team rosso interno conduceva simulazioni di phishing mensili da tre o quattro anni, con formazione correttiva per i dipendenti che non le superavano.

«All’inizio, l’igiene della sicurezza lasciava molto a desiderare. Ma dopo tutto questo tempo, l’azienda è migliorata in modo significativo», ha detto.

Kevin Gibson della società di recruiting Proof of Search ha detto a Cointelegraph che la minaccia sta anche cambiando il modo in cui alcuni datori di lavoro nel settore crypto valutano i potenziali assunti, con clienti sempre più interessati a sapere se i candidati siano stati incontrati di persona.

«Alcuni dei nostri clienti ora ci chiedono direttamente se abbiamo incontrato di persona un candidato», ha detto Gibson, aggiungendo che i candidati incontrati personalmente da un recruiter di terze parti hanno un vantaggio.

Anche i dipendenti, come nel caso di Binance, possono diventare bersagli.

«Nel settore crypto, una proposta di lavoro sospetta o una “breve chiamata di aggiornamento” può essere il primo passo di un colpo da svariati milioni di dollari», ha detto.

Binance blocca una minaccia informatica nordcoreana ogni cinque giorni

Binance ha detto di aver bloccato finora quest’anno 57 minacce informatiche sospettate di essere collegate alla Corea del Nord, ovvero circa un attacco ogni cinque giorni. 

Dopo l’attacco di ottobre, Binance ha detto di aver rafforzato i controlli sui dispositivi, ricostruito i sistemi dei wallet interessati e i propri strumenti interni di IA, rafforzato i controlli degli accessi e revocato le credenziali compromesse.

Ha inoltre detto di stare aumentando gli investimenti nella protezione degli endpoint e nella sicurezza degli ambienti di sviluppo, e di aver incaricato esperti indipendenti di cybersicurezza di esaminare l’incidente. Alcuni dettagli tecnici e misure di sicurezza sarebbero rimasti riservati, ha detto.

Rivista: È arrivata la “migliore opportunità di acquisto di sempre” di Bitcoin: Mark Moss