Binance hứng chịu vụ khai thác lỗ hổng trị giá 6,3 tỷ USD vào ngày 29 tháng 10 năm 2024 lúc 20:24 UTC, sau chiến dịch thao túng tâm lý kéo dài 5 tháng do Triều Tiên tiến hành. Đây là chuỗi tấn công:
Tháng 6: Một kỹ sư cài công cụ phát triển bị xâm phạm từ quảng cáo → Binance phát hiện, xóa sạch thiết bị và luân chuyển thông tin xác thực. Nhưng kẻ tấn công đã lập sơ đồ cơ cấu tổ chức nội bộ.
Tháng 9: Một kỹ sư khác nhận được tin nhắn tuyển dụng trên LinkedIn. Trải qua hai vòng phỏng vấn với CEO giả của một công ty không tồn tại. Bài tập lập trình mang về nhà = mã độc.
Ngày 20 tháng 10: Thông qua máy tính xách tay bị nhiễm mã độc và công cụ AI nội bộ, những kẻ tấn công chuyển hướng sang hai nhà phát triển ví. Một người lưu token triển khai container dưới dạng văn bản thuần trên máy tính cá nhân.
Ngày 29 tháng 10: 522.409 $ETH + 18.270 $BTC + 2 tỷ USD bằng $USDT/$USDC bị rút sạch trong chưa đầy 1 giờ.
Sáu ngày sau: Không có giao dịch nào. Toàn bộ tiền đã bị đóng băng. FBI nắm được danh tính những kẻ tấn công, hơn 600 địa chỉ bị đánh dấu. Binance dùng quỹ dự trữ bù đắp 98% khoản lỗ, hoạt động rút tiền được mở lại. Giá $ETH không bị ảnh hưởng.
Những kẻ tấn công không thể thanh lý dù chỉ một satoshi.
Các lỗi kỹ thuật:
• Tệp nhị phân không đáng tin cậy từ mạng quảng cáo được thực thi trên máy của nhà phát triển
• Máy tính xách tay dùng cho công việc được sử dụng để thực thi mã bên ngoài (bài tập phỏng vấn)
• Token triển khai dạng văn bản thuần được lưu cục bộ thay vì trong kho bí mật/HSM
• Cơ sở hạ tầng ký không mặc định chặn ủy quyền EIP-7702
Danh sách kiểm tra bảo mật:
• Áp dụng mô hình không tin cậy cho mọi tệp nhị phân bên ngoài, đặc biệt là từ quảng cáo
• Dùng môi trường sandbox biệt lập để xem xét mọi mã bên ngoài
• Dùng mô-đun bảo mật phần cứng cho tất cả thông tin xác thực triển khai
• Hệ thống ký phải chủ động đưa các loại giao dịch vào danh sách cho phép
Buổi phỏng vấn xin việc đắt đỏ nhất từ trước đến nay. Năm tháng chuẩn bị, 6,3 tỷ USD bị đánh cắp, 0 USD có thể sử dụng.
Tháng 6: Một kỹ sư cài công cụ phát triển bị xâm phạm từ quảng cáo → Binance phát hiện, xóa sạch thiết bị và luân chuyển thông tin xác thực. Nhưng kẻ tấn công đã lập sơ đồ cơ cấu tổ chức nội bộ.
Tháng 9: Một kỹ sư khác nhận được tin nhắn tuyển dụng trên LinkedIn. Trải qua hai vòng phỏng vấn với CEO giả của một công ty không tồn tại. Bài tập lập trình mang về nhà = mã độc.
Ngày 20 tháng 10: Thông qua máy tính xách tay bị nhiễm mã độc và công cụ AI nội bộ, những kẻ tấn công chuyển hướng sang hai nhà phát triển ví. Một người lưu token triển khai container dưới dạng văn bản thuần trên máy tính cá nhân.
Ngày 29 tháng 10: 522.409 $ETH + 18.270 $BTC + 2 tỷ USD bằng $USDT/$USDC bị rút sạch trong chưa đầy 1 giờ.
Sáu ngày sau: Không có giao dịch nào. Toàn bộ tiền đã bị đóng băng. FBI nắm được danh tính những kẻ tấn công, hơn 600 địa chỉ bị đánh dấu. Binance dùng quỹ dự trữ bù đắp 98% khoản lỗ, hoạt động rút tiền được mở lại. Giá $ETH không bị ảnh hưởng.
Những kẻ tấn công không thể thanh lý dù chỉ một satoshi.
Các lỗi kỹ thuật:
• Tệp nhị phân không đáng tin cậy từ mạng quảng cáo được thực thi trên máy của nhà phát triển
• Máy tính xách tay dùng cho công việc được sử dụng để thực thi mã bên ngoài (bài tập phỏng vấn)
• Token triển khai dạng văn bản thuần được lưu cục bộ thay vì trong kho bí mật/HSM
• Cơ sở hạ tầng ký không mặc định chặn ủy quyền EIP-7702
Danh sách kiểm tra bảo mật:
• Áp dụng mô hình không tin cậy cho mọi tệp nhị phân bên ngoài, đặc biệt là từ quảng cáo
• Dùng môi trường sandbox biệt lập để xem xét mọi mã bên ngoài
• Dùng mô-đun bảo mật phần cứng cho tất cả thông tin xác thực triển khai
• Hệ thống ký phải chủ động đưa các loại giao dịch vào danh sách cho phép
Buổi phỏng vấn xin việc đắt đỏ nhất từ trước đến nay. Năm tháng chuẩn bị, 6,3 tỷ USD bị đánh cắp, 0 USD có thể sử dụng.