Theo Binance, vụ trộm tiền điện tử lớn nhất cho đến nay đã được thực hiện bằng cách kết hợp một số kỹ thuật hack nổi tiếng trong vài tháng. Kết quả khám nghiệm tử thi của công ty cho biết quá trình bắt đầu với việc một nhà phát triển tải xuống trình cài đặt giả mạo vào tháng 6 dường như đã được lan truyền bởi một quảng cáo độc hại của Google, tiết lộ thông tin chi tiết về các kỹ sư và cách họ làm việc. Sau đó, vào tháng 9, một kỹ sư khác bị ai đó giả vờ quan tâm đến việc thuê họ nhắm tới; người đó đã thiết lập một loạt cuộc gọi và nhiều vòng phỏng vấn, chia sẻ các trang mạng xã hội để tạo dựng lòng tin và cuối cùng nhắc họ tải xuống một bài tập phỏng vấn giả mà thực chất là phần mềm độc hại.

Binance cho biết tin tặc đã sử dụng các cuộc phỏng vấn việc làm giả và một công cụ AI nội bộ để thực hiện vụ trộm 6,3 tỷ USD

Một đơn vị hack của Triều Tiên được cho là đã bắt đầu cuộc đột nhập bằng một quảng cáo trên công cụ tìm kiếm cung cấp tải xuống phần mềm độc hại.

Binance tuyên bố rằng các nhóm bảo mật của họ đã phát hiện cài đặt phần mềm độc hại đầu tiên vào tháng 6 và thay thế thiết bị của nhân viên, nhưng các công cụ bảo mật của họ không phát hiện ra cuộc tấn công thứ hai đã xóa tệp thực thi pyenv và thay thế nó bằng một phiên bản độc hại cho phép họ truy cập cửa sau:

Phần mềm độc hại sử dụng các kỹ thuật che giấu và lẩn tránh phức tạp, bao gồm thay thế thành phần công cụ phát triển hợp pháp bằng phiên bản độc hại để thực thi lệnh và thiết lập liên lạc với máy chủ bên ngoài do kẻ tấn công kiểm soát. Phần mềm độc hại 0 ngày không được phát hiện bởi các công cụ bảo vệ bảo mật điểm cuối vào thời điểm đó. Kẻ tấn công cũng thực hiện các bước để che giấu hoạt động độc hại và xóa dấu vết của hành vi xâm phạm, khiến việc phát hiện và điều tra sau đó trở nên khó khăn hơn.

Câu chuyện kể rằng, đến ngày 20 tháng 10, những kẻ tấn công mà FBI đã xác định là một đơn vị của Triều Tiên có tên là “TraderTraitor”, đã sử dụng công cụ AI nội bộ của Binance để giành quyền kiểm soát ví của kỹ sư đầu tiên bị xâm phạm vào tháng 6, cũng như nhân viên thứ ba, trước khi đăng nhập vào máy tính của nhân viên thứ ba vào ngày 29 tháng 10 và tiến hành cuộc tấn công.

Khám nghiệm tử thi cũng giải thích lý do tại sao Binance không thể dừng các giao dịch xảy ra gần hai giờ sau lần chuyển tiền trái phép đầu tiên, họ nói rằng “Vì ví nóng sử dụng tính toán đa bên (MPC) nên không có khóa riêng nào có thể được sử dụng để thu hồi ngay lập tức ủy quyền EIP-7702 độc hại”. Binance cho biết họ đã ngăn chặn 57 trường hợp bị nghi ngờ là mối đe dọa mạng có liên quan đến Triều Tiên và Giám đốc điều hành Richard Teng viết rằng không có người dùng nào phải chịu tổn thất, với khoảng 2,85 tỷ USD tài sản bị đánh cắp đã bị đóng băng hoặc bị chặn: “Tại thời điểm này, 98% số token bị ảnh hưởng đã được bổ sung; chúng tôi đang hoàn thành 2% còn lại. Việc rút tiền trên diện rộng đã được tiếp tục.”

Điều chưa rõ ràng hơn là tại sao cuộc tấn công cụ thể này lại hiệu quả – mối nguy hiểm của các cuộc phỏng vấn việc làm yêu cầu mọi người tải xuống và thực thi mã trên các máy có quyền truy cập vào tài liệu của nhà tuyển dụng đã được cảnh báo trong nhiều năm và có rất ít thông tin chi tiết về “công cụ AI nội bộ” được những kẻ tấn công sử dụng và tại sao nó có thể giúp họ ngay từ đầu.