A Binance sofreu um ataque de US$ 6,3 bilhões em 29 de outubro de 2024, às 20:24 UTC, após uma campanha de engenharia social norte-coreana de 5 meses. Veja a cadeia do ataque:
Junho: Um engenheiro instala uma ferramenta de desenvolvimento comprometida, baixada de um anúncio → a Binance detecta o problema, apaga o dispositivo e troca as credenciais. Mas o atacante já havia mapeado a estrutura organizacional interna.
Setembro: Um segundo engenheiro recebe uma mensagem direta no LinkedIn de um recrutador. Duas rodadas de entrevista com o falso CEO de uma empresa inexistente. A tarefa de programação para fazer em casa era uma carga útil de malware.
20 de outubro: Por meio de um laptop infectado e de uma ferramenta interna de IA, os atacantes avançam até dois desenvolvedores de carteiras. Um deles tinha um token de implantação de contêiner armazenado em texto simples na máquina local.
29 de outubro: 522,409 $ETH + 18,270 $BTC + US$ 2B em $USDT/$USDC foram drenados em menos de 1 hora.
Seis dias depois: Nenhuma movimentação. Todos os fundos congelados. O FBI tem as identidades dos atacantes, e mais de 600 endereços foram sinalizados. A Binance cobriu 98% das perdas com suas reservas e reabriu os saques. O preço do $ETH não foi afetado.
Os atacantes não conseguem liquidar nem um único satoshi.
Falhas técnicas:
• Binário não confiável, vindo de uma rede de anúncios, foi executado em uma máquina de desenvolvimento
• Laptop de trabalho usado para executar código externo (tarefa de entrevista)
• Token de implantação armazenado localmente em texto simples, em vez de em um cofre/HSM
• A infraestrutura de assinatura não bloqueava por padrão autorizações EIP-7702
Lista de verificação de defesa:
• Aplicar confiança zero a todos os binários externos, especialmente os provenientes de anúncios
• Usar um ambiente isolado para analisar qualquer código externo
• Usar módulos de segurança de hardware para todas as credenciais de implantação
• O assinador deve permitir explicitamente os tipos de transação
A entrevista de emprego mais cara de todos os tempos. Cinco meses de trabalho, US$ 6,3B roubados, US$ 0 disponíveis para gastar.
Junho: Um engenheiro instala uma ferramenta de desenvolvimento comprometida, baixada de um anúncio → a Binance detecta o problema, apaga o dispositivo e troca as credenciais. Mas o atacante já havia mapeado a estrutura organizacional interna.
Setembro: Um segundo engenheiro recebe uma mensagem direta no LinkedIn de um recrutador. Duas rodadas de entrevista com o falso CEO de uma empresa inexistente. A tarefa de programação para fazer em casa era uma carga útil de malware.
20 de outubro: Por meio de um laptop infectado e de uma ferramenta interna de IA, os atacantes avançam até dois desenvolvedores de carteiras. Um deles tinha um token de implantação de contêiner armazenado em texto simples na máquina local.
29 de outubro: 522,409 $ETH + 18,270 $BTC + US$ 2B em $USDT/$USDC foram drenados em menos de 1 hora.
Seis dias depois: Nenhuma movimentação. Todos os fundos congelados. O FBI tem as identidades dos atacantes, e mais de 600 endereços foram sinalizados. A Binance cobriu 98% das perdas com suas reservas e reabriu os saques. O preço do $ETH não foi afetado.
Os atacantes não conseguem liquidar nem um único satoshi.
Falhas técnicas:
• Binário não confiável, vindo de uma rede de anúncios, foi executado em uma máquina de desenvolvimento
• Laptop de trabalho usado para executar código externo (tarefa de entrevista)
• Token de implantação armazenado localmente em texto simples, em vez de em um cofre/HSM
• A infraestrutura de assinatura não bloqueava por padrão autorizações EIP-7702
Lista de verificação de defesa:
• Aplicar confiança zero a todos os binários externos, especialmente os provenientes de anúncios
• Usar um ambiente isolado para analisar qualquer código externo
• Usar módulos de segurança de hardware para todas as credenciais de implantação
• O assinador deve permitir explicitamente os tipos de transação
A entrevista de emprego mais cara de todos os tempos. Cinco meses de trabalho, US$ 6,3B roubados, US$ 0 disponíveis para gastar.