Monate bevor Binance durch einen Hack 6,3 Milliarden Dollar verlor, schilderte der Sicherheitschef der Kryptobörse gegenüber Cointelegraph, wie ein fingiertes Vorstellungsgespräch Angreifern einen ersten Zugang zur Börse verschaffen könnte – und ähnelte damit stark einer der Einstiegsmethoden, die später gegen die Börse eingesetzt wurden.
Bei einem Interview im Juli über Binances Reaktion auf zunehmende Sicherheitsbedrohungen sagte Jimmy Su gegenüber Cointelegraph, fingierte Vorstellungsgespräche seien „etwas, worüber wir uns intern viele Gedanken machen“. Er erklärte, wie Angreifer einem Mitarbeiter ein maßgeschneidertes Jobangebot machen und ihn anschließend dazu bringen könnten, im Rahmen einer technischen Prüfung Code auszuführen.
„Und sobald das ausgeführt wird, ist das Gerät kompromittiert, und dann können sie damit beginnen, Zugangsdaten abzugreifen“, sagte Su. Angreifer könnten diese anschließend nutzen, um tiefer in das Netzwerk einzudringen.
Sus ausführliche Warnung vor bösartigen Programmieraufgaben war in Cointelegraphs Berichterstattung im Juli nicht enthalten, erhält aber nach dem größten Hack einer Kryptobörse in der Geschichte eine neue Bedeutung.
Im September lud ein Softwareentwickler von Binance während eines gefälschten Vorstellungsgesprächs eine bösartige Programmieraufgabe auf seinen Arbeitscomputer herunter. Laut der vorläufigen Untersuchung von Binance wurde dieser Sicherheitsvorfall Teil des mehrstufigen Angriffs, der im Oktober im Diebstahl gipfelte.
Im Gespräch mit Cointelegraph hatte Su auch vorausgesehen, warum Sicherheitstools eine solche Falle möglicherweise nicht erkennen würden. Eine technische Prüfung könne scheinbar legitime Schritte beinhalten, etwa das Herunterladen eines Code-Repositorys von GitHub, erklärte er im Juli.
„Jeder einzelne Schritt ist für sich genommen legitim. Deshalb können viele Antivirenprogramme das möglicherweise nicht erkennen und als Bedrohung einstufen“, sagte er.
In seiner anschließenden Untersuchung beschrieb Binance ein ähnliches Versagen bei der Erkennung. Das Einrichten der Aufgabe habe Malware ausgeführt, die mithilfe von Verschleierung und anderen Umgehungstechniken den Endpoint-Sicherheitstools entgangen sei.
Binance sagt, das Unternehmen müsse Angriffe erkennen
Su sagte gegenüber Cointelegraph, Binance sei dafür verantwortlich gewesen, das Risiko einzudämmen, wenn Mitarbeiter auf Arbeitscomputern externen Möglichkeiten nachgingen.
„Natürlich können sich Mitarbeiter nach externen Möglichkeiten umsehen. Was uns Sorgen bereitet, ist, wenn sie das auf einem Unternehmensgerät tun“, sagte er. Wenn ein Mitarbeiter auf ein gefälschtes Vorstellungsgespräch hereinfalle, fügte er hinzu, „liegt es an uns, das zu erkennen“ und „die tatsächliche Ausführung dieses Codes zu stoppen“.
Binance testete seine Mitarbeiter bereits auf gefälschte Personalvermittler. Su sagte, das interne Red Team führe seit drei bis vier Jahren monatliche Phishing-Simulationen durch und Mitarbeiter, die dabei durchfielen, erhielten Nachschulungen.
„Anfangs ließ die Sicherheitsdisziplin sehr zu wünschen übrig. Aber inzwischen hat sich das Unternehmen deutlich verbessert“, sagte er.
Kevin Gibson von der Personalvermittlungsfirma Proof of Search sagte gegenüber Cointelegraph, die Bedrohung beeinflusse auch, wie manche Krypto-Arbeitgeber potenzielle Neueinstellungen beurteilen. Ihre Kunden wollten zunehmend wissen, ob sie Bewerber persönlich getroffen hätten.
„Einige unserer Kunden fragen uns inzwischen ganz direkt, ob wir einen Bewerber persönlich getroffen haben“, sagte Gibson. Bewerber, die ein Personalvermittler persönlich kennengelernt habe, seien dabei im Vorteil.
Auch Mitarbeiter können, wie im Fall von Binance, zu Zielen werden.
„In der Kryptobranche kann ein dubioses Jobangebot oder ein ‚kurzes Gespräch‘ der erste Schritt zu einem Beutezug im Wert von mehreren Millionen sein“, sagte er.
Binance wehrt alle fünf Tage eine nordkoreanische Cyberbedrohung ab
Binance erklärte, das Unternehmen habe in diesem Jahr bislang 57 mutmaßlich mit Nordkorea verbundene Cyberbedrohungen abgewehrt – ungefähr einen Angriff alle fünf Tage.
Nach dem Angriff im Oktober erklärte Binance, das Unternehmen habe die Gerätekontrollen verschärft, betroffene Wallet-Systeme und interne KI-Tools neu aufgebaut, Zugriffskontrollen verstärkt und kompromittierte Zugangsdaten widerrufen.
Das Unternehmen erklärte außerdem, die Investitionen in Endpoint-Schutz und die Sicherheit von Entwicklungsumgebungen zu erhöhen und unabhängige Cybersicherheitsexperten mit der Überprüfung des Vorfalls zu beauftragen. Einige technische Details und Sicherheitsmaßnahmen würden vertraulich bleiben.
Magazin: Die „beste Kaufgelegenheit aller Zeiten“ für Bitcoin ist gekommen: Mark Moss