בורסת הקריפטו Binance פרסמה ב-3 בנובמבר את דוח האירוע הראשון על הפריצה שספגה ב-29 באוקטובר. לפי החברה, נגנבו נכסים דיגיטליים בשווי של כ-6.34 מיליארד דולר. עד 3 בנובמבר הוקפאו או יורטו כ-2.85 מיליארד דולר מתוכם. ה-FBI מייחס את המתקפה לקבוצה הצפון-קוריאנית TraderTraitor, המוכרת גם בשם Lazarus.

איך זה התחיל: הצעת עבודה

הכול התחיל בספטמבר, כשמגייס מזויף פנה למהנדס תוכנה של Binance דרך פלטפורמה לחיפוש עבודה. אחרי ראיון וידאו עם "נציגת משאבי אנוש" וראיון שני עם "המנכ"ל", המהנדס התבקש להוריד מטלת קוד ממאגר קוד ברשת. המטלה הכילה נוזקה חדשה שהאנטי-וירוס לא זיהה. היא החליפה רכיב של כלי פיתוח במחשב ה-Mac שלו בגרסה זדונית.

מהמחשב של עובד אחד ועד ארנקי החברה

מהמחשב הפרוץ, התוקפים השתמשו גם בכלי AI פנימי של החברה כדי לפרוץ לחשבונות של שני עובדים נוספים בצוות תשתיות הארנקים. כך הם השיגו פרטי התחברות ואסימון לפריסת קוד. ב-29 באוקטובר הם פרסו סקריפט זדוני, קיבלו גישה לשירות החתימה של הארנקים והעבירו כספים בין כמה רשתות בלוקצ'יין.

מה ארגונים יכולים ללמוד

  • הצעות עבודה ומטלות קוד הן וקטור תקיפה. צפון קוריאה משתמשת בשיטה הזו כבר שנים, בקמפיינים כמו "Contagious Interview". מטלה מגורם לא מוכר מריצים רק בסביבה מבודדת, לא על מחשב העבודה.
  • אנטי-וירוס מבוסס חתימות לא מספיק מול נוזקה חדשה. צריך גם זיהוי התנהגותי, וניטור של שינויים בכלי פיתוח.
  • הפרדת הרשאות: אסימונים ופרטי התחברות לתשתיות קריטיות לא צריכים להיות נגישים ממחשב אחד שנפרץ.

מקורות