Meses antes de a Binance perder US$ 6,3 bilhões em um ataque hacker, seu diretor de segurança descreveu ao Cointelegraph como uma falsa entrevista de emprego poderia dar aos invasores uma porta de entrada na corretora — algo muito semelhante a um dos métodos de acesso usados posteriormente contra a plataforma.
Durante uma entrevista em julho sobre a resposta da Binance ao aumento das ameaças à segurança, Jimmy Su disse ao Cointelegraph que as falsas entrevistas de emprego eram “algo com que nos preocupamos muito internamente”, explicando como os invasores poderiam adaptar uma oferta de emprego a um funcionário antes de convencê-lo a executar código como parte de uma avaliação técnica.
“E, assim que isso é executado, o dispositivo fica comprometido e então eles podem começar a coletar credenciais”, disse Su, acrescentando que os invasores poderiam usá-las para avançar ainda mais pela rede.
O alerta detalhado de Su sobre avaliações de programação maliciosas não foi incluído na cobertura de julho da Cointelegraph, mas ganha nova relevância após o maior ataque hacker a uma exchange de criptomoedas da história.
Em setembro, um engenheiro de software da Binance baixou uma tarefa de programação maliciosa em seu computador de trabalho durante uma falsa entrevista de emprego. Segundo a investigação preliminar da Binance, essa invasão fez parte do ataque em várias etapas que culminou no roubo de outubro.
Durante a entrevista à Cointelegraph, Su também antecipou por que ferramentas de segurança poderiam não detectar uma armadilha desse tipo. Uma avaliação técnica poderia envolver etapas aparentemente legítimas, como baixar um repositório de código do GitHub, explicou ele em julho.
“Cada etapa é, na verdade, legítima por si só. Por isso, muitas ferramentas antivírus talvez não consigam detectá-la e sinalizá-la”, disse ele.
Posteriormente, a investigação da Binance descreveu uma falha de detecção semelhante, afirmando que o processo de instalação da tarefa executou um malware que escapou das ferramentas de segurança de endpoint por meio de ofuscação e outras técnicas de evasão.
Binance diz que cabe à empresa detectar ataques
Su disse à Cointelegraph que era responsabilidade da Binance conter o risco quando funcionários buscassem oportunidades externas usando computadores de trabalho.
“É claro que os funcionários podem explorar oportunidades externas. O que nos preocupa é que façam isso usando o dispositivo da empresa”, disse ele. Se um funcionário caísse em uma entrevista falsa, acrescentou, “caberia a nós detectar” e “impedir a execução efetiva desse código”.
A Binance já estava testando os funcionários contra recrutadores falsos. Su disse que a equipe interna de segurança ofensiva vinha realizando simulações mensais de phishing havia três a quatro anos, com treinamento corretivo para os funcionários que não passassem nos testes.
“No início, os hábitos de segurança deixavam muito a desejar. Mas, depois de todo esse tempo, a empresa melhorou significativamente”, disse ele.
Kevin Gibson, da empresa de recrutamento Proof of Search, disse à Cointelegraph que a ameaça também está mudando a forma como alguns empregadores do setor cripto avaliam possíveis contratações, com clientes querendo cada vez mais saber se já se encontraram pessoalmente com os candidatos.
“Vários dos nossos clientes agora nos perguntam diretamente se já nos encontramos pessoalmente com um candidato”, disse Gibson, acrescentando que candidatos entrevistados pessoalmente por um recrutador terceirizado têm uma vantagem.
Os funcionários, como no caso da Binance, também podem se tornar alvos.
“No setor cripto, uma oferta de emprego suspeita ou uma ‘conversa rápida’ pode ser o primeiro passo para um ataque que gere milhões em prejuízos”, disse ele.
Binance bloqueia uma ameaça cibernética norte-coreana a cada cinco dias
A Binance disse que bloqueou 57 ameaças cibernéticas suspeitas de ligação com a Coreia do Norte até agora neste ano, o equivalente a cerca de um ataque a cada cinco dias.
Após o ataque de outubro, a Binance disse ter reforçado os controles de dispositivos, reconstruído os sistemas de carteira afetados e as ferramentas internas de IA, fortalecido os controles de acesso e revogado credenciais comprometidas.
A empresa também disse que estava aumentando os investimentos em proteção de endpoints e segurança dos ambientes de desenvolvimento, além de contratar especialistas independentes em cibersegurança para analisar o incidente. Alguns detalhes técnicos e medidas de segurança permaneceriam confidenciais, afirmou.
Revista: A ‘melhor oportunidade de compra de todos os tempos’ do Bitcoin chegou: Mark Moss