币安 @binancezh が63億ドルを盗まれた事件の初期報告が出た。またしてもソーシャルエンジニアリングによる侵入。
発端は、エンジニアBが転職面接で会社のPCを使い、さらにはサードパーティーのコードまでダウンロードしたこと。これじゃ、どれだけ人事評価を下げても足りないんじゃない？🤡

盗難の詳細：
6月、ウォレット運用エンジニアAがAIコーディングツールを検索し、改ざんされたHomebrewをダウンロード。チームの情報が漏れてしまった。

9月、エンジニアBが偽のヘッドハンターから面接に誘われた。人事担当者とのビデオ面接は本物、偽CEOとの二次面接まで一通り済ませ、最後に仕事用PCで「コーディング問題」を解くよう指示された。トロイの木馬がこっそりpyenvをすり替えた。

10月20日、ハッカーはBのPCを足がかりに、バイナンス社内のAIツールを使って、ウォレットエンジニアAとCのPCを乗っ取った。

10月29日、ハッカーはCのPCにログインし、Aのデプロイ権限を使って署名サービスを操作。ホットウォレットの暗号資産がそのまま送金されてしまった。

北朝鮮のハッカー、本当にどこにでも入り込んでくるな。
これから取引所の社員が面接を受けるときは、面接官にまず「金将軍は**」と言わせるべき？🤣