Binance trình bày chi tiết cách một cuộc phỏng vấn xin việc giả dẫn đến vụ trộm $6.34B

Binance cho biết hôm thứ Ba rằng vụ trộm $6.34 tỷ có điểm khởi đầu là một cuộc phỏng vấn xin việc giả, với năm tháng trôi qua trước khi bất kỳ khoản tiền nào được di chuyển. Đây là lần đầu tiên sàn này công bố tường thuật công khai về vụ tấn công ngày 29 tháng 10.

Binance cũng phát hành một báo cáo sự cố ban đầu, cùng với một buổi họp báo của đồng CEO Richard Teng và giám đốc an ninh Jimmy Su, mô tả một chiến dịch bao gồm việc tải xuống phần mềm bị đầu độc, một quy trình tuyển dụng được dàn dựng, mã độc vượt qua được phát hiện tại điểm cuối và một công cụ AI nội bộ được dùng để chống lại chính các kỹ sư ví của công ty.

Khoảng $2.85 tỷ trong số tài sản bị đánh cắp đã bị đóng băng hoặc chặn giữ, Binance cho biết, và 98% số token bị ảnh hưởng đã được bổ sung từ quỹ của chính sàn, phần còn lại được mua trên thị trường mở.

“Đây không phải là một sai lầm hay một vụ xâm phạm — mà là một chiến dịch kéo dài nhiều tháng,” Teng viết trên X. “Chúng tôi công bố toàn bộ báo cáo vì những bài học vượt xa Binance.”

FBI đã gắn vụ tấn công với Triều Tiên. Báo cáo của Binance ghi chú phát hiện đó mà không tiếp nhận nó. Hôm thứ Hai, Bình Nhưỡng bác bỏ cáo buộc, với Kim Yo Jong, em gái của lãnh đạo Kim Jong Un, gọi đó là “sự khiêu khích chính trị nghiêm trọng” trên truyền thông nhà nước.

Năm tháng chuẩn bị trước vụ trộm Binance

Bước chân đầu tiên, theo Binance, đến vào tháng Sáu. Một kỹ sư DevOps của ví đã tìm một công cụ lập trình AI phổ biến và cài đặt một trình cài đặt Homebrew bị can thiệp.

Đội an ninh của Binance phát hiện bất thường, đổi thiết bị và luân chuyển thông tin đăng nhập. Tuy nhiên, sự việc vẫn làm lộ vai trò của kỹ sư này và tên của các đồng nghiệp trong nhóm hạ tầng ví.

In tháng Chín, một kỹ sư khác được liên hệ trên một nền tảng tuyển dụng thật bởi một người tự giới thiệu là giám đốc dự án. Tiếp theo là một cuộc phỏng vấn video với một người được cho là đại diện nhân sự, trong đó người phỏng vấn chia sẻ một tài khoản mạng xã hội cá nhân để tạo uy tín. Một cuộc trò chuyện thứ hai với một người được cho là CEO kết thúc bằng một “bài tập”: một kho mã mà kỹ sư được chỉ dẫn cài đặt trên máy làm việc của mình.

Kho mã đó đã thay thế một thành phần pyenv hợp pháp bằng một phiên bản độc hại và tạo một liên kết đến một máy chủ do những kẻ tấn công kiểm soát. Binance cho biết các công cụ điểm cuối của sàn đã không phát hiện mã độc zero-day vào thời điểm đó.

Vào ngày 20 tháng 10, những kẻ xâm nhập đã sử dụng máy đó và một công cụ AI nội bộ để tiếp cận thêm hai kỹ sư ví, một trong số họ có token triển khai container. Vào ngày 29 tháng 10, từ 17:15 đến 19:56 UTC, chúng đã xâm nhập máy tính của một kỹ sư thứ ba, dùng thông tin đăng nhập bị đánh cắp để triển khai một container và bắt đầu rút tiền. Binance cho biết sàn đã chặn 57 nỗ lực bị nghi liên quan đến Triều Tiên khác sử dụng các mồi nhử tương tự trong năm nay.

Việc kiểm soát mất bốn giờ

Các tài sản được di chuyển nhanh chóng. Từ 20:05 đến 20:09 UTC, năm ví nóng đã gửi 233.46 triệu XRP đến một địa chỉ của kẻ tấn công. Các ví Solana và Optimism sau đó đã di chuyển khoảng 970,500 SOL và 44.2 triệu OP, và một ví nóng của Binance đã gửi 18,270 BTC.

Kẻ tấn công đã sử dụng dịch vụ ký bị xâm phạm để kích hoạt EIP-7702 của Ethereum, cho phép một tài khoản ủy quyền quyền thực thi cho một hợp đồng thông minh mà không làm lộ khóa của nó, và trao cho một hợp đồng do kẻ tấn công kiểm soát quyền kiểm soát một phần đối với một ví nóng của Binance.

Việc tạm dừng rút tiền đã không đóng tuyến cuối cùng đó. Những kẻ tấn công đã gửi 50 giao dịch ký để thiết lập các ủy quyền trên chuỗi hoạt động bên ngoài hạ tầng rút tiền của Binance. Vì ví sử dụng tính toán đa bên, không có khóa đơn lẻ nào tồn tại để thu hồi chúng, buộc nhóm phải tạo một quy trình tại chỗ. Giao dịch trái phép cuối cùng, 2,961.9 ETH, được thanh toán lúc 23:56 UTC.

Ủy quyền đã được Binance xóa bỏ lúc 00:10 UTC ngày 30 tháng 10.

Báo cáo thừa nhận vấn đề. “Những thách thức này đã kéo dài thời gian cần thiết để kiểm soát hoàn toàn các động thái tài sản trái phép,” báo cáo viết, và tiếp tục nói rằng công ty đang xem xét phạm vi chính sách ký và các biện pháp kiểm soát ví nóng của mình.

Khách hàng đã rút $10.97 tỷ trong 46 giờ sau khi lệnh rút tiền mở lại vào Chủ nhật, để lại dòng tiền ròng chảy ra $5.28 tỷ, theo dữ liệu Teng chia sẻ hôm thứ Ba. Đến 03:00 UTC, tiền gửi theo giờ đã vượt qua tiền rút, một sự thay đổi mà Teng gọi là dấu hiệu ổn định. Vào thứ Ba, Binance đã khôi phục rút tiền cho hàng chục tài sản khác trên chín mạng lưới.

Vụ xâm phạm đã trở thành chủ đề tranh luận ở Washington. Chủ tịch CFTC Michael Selig nói rằng vụ hack “chứng minh chính xác quan điểm của chúng tôi” về nhu cầu có một con đường đăng ký liên bang cho các sàn giao dịch nước ngoài, và cơ quan này hôm thứ Ba đã phê duyệt hợp đồng tương lai vĩnh viễn cổ phiếu cho các địa điểm được quản lý tại Mỹ, mở rộng nỗ lực đưa hoạt động về trong nước bắt đầu với hợp đồng vĩnh viễn bitcoin của Kalshi vào tháng Năm.

Hệ thống ví và công cụ AI nội bộ đã được xây dựng lại trong các môi trường mới, Binance cho biết; các thiết bị bị ảnh hưởng đã được thay thế, thông tin đăng nhập của các kỹ sư bị thu hồi, và phát hiện bất thường hành vi được mở rộng.

Một cuộc đánh giá độc lập đang được đặt hàng, chi tiêu cho an ninh điểm cuối và môi trường nhà phát triển đang được tăng lên, và các công ty bên ngoài đang được đưa vào một quỹ nghiên cứu dự kiến cho an ninh AI. Một số chi tiết kỹ thuật nhất định sẽ được giữ kín, báo cáo cho biết.