Die Handelsplattform Binance erklärte, dass der jüngste Hack, bei dem Vermögenswerte im Wert von 6,34 Milliarden Dollar entwendet wurden, das Ergebnis einer monatelangen, komplexen Kampagne war. Diese zielte auf die Computer von drei Ingenieuren ab, die für die Wallet-Infrastruktur zuständig sind. Die Kampagne umfasste einen Angriff über ein gefälschtes Vorstellungsgespräch, eine präparierte Programmieraufgabe sowie die Ausnutzung eines internen KI-Tools.
Laut dem vorläufigen Bericht der Plattform konnten Behörden und Reaktionsteams bisher etwa 2,85 Milliarden Dollar der gestohlenen Vermögenswerte einfrieren und zurückgewinnen. Das FBI ordnete den Angriff der Hackergruppe TraderTraitor zu, die mit Nordkorea in Verbindung steht.
Details zur Infiltration durch Social Engineering
Die Infiltration begann im Juni, als ein Wallet-DevOps-Ingenieur versuchte, ein KI-basiertes Programmiertool über eine Suchmaschine herunterzuladen, was zur Installation einer modifizierten, bösartigen Version von Homebrew führte. Obwohl das Cybersicherheitsteam der Plattform die Bedrohung erkannte, das Gerät des Ingenieurs austauschte und seine Anmeldedaten zurücksetzte, konnten die Angreifer wertvolle Informationen über seine Arbeit und sein Team sammeln.
Im September zielten die Angreifer auf einen zweiten Ingenieur durch eine vorgetäuschte Einstellung ab. Es wurden zwei Gespräche geführt: das erste mit einem gefälschten Personalvermittler, der verifizierte soziale Konten mit persönlichen Fotos nutzte, um Vertrauen aufzubauen, und das zweite mit einer Person, die vorgab, der CEO eines Scheinunternehmens zu sein. Das Gespräch endete mit der Aufforderung, eine Programmieraufgabe zur Überprüfung seiner Fähigkeiten herunterzuladen, die ein Repository mit bösartigem Code enthielt, der sofort nach der Einrichtung ausgeführt wurde. Die Schadsoftware ersetzte eine Schlüsselkomponente der Entwicklungstools und öffnete einen Kommunikationskanal zum Kontrollserver der Angreifer, ohne von den Endpoint-Detection-and-Response-Systemen (EDR) erkannt zu werden, da sie eine Zero-Day-Lücke ausnutzte.
Ausnutzung des KI-Tools und Protokollschwachstellen
Am 20. Oktober nutzten die Angreifer den infizierten Computer sowie ein internes KI-Tool, um auf das System des ersten Ingenieurs und das eines dritten Ingenieurs aus dem Wallet-Team zuzugreifen. Am 29. Oktober verschafften sie sich Zugriff auf den Computer des dritten Ingenieurs, richteten unter Verwendung der Anmeldedaten des ersten Ingenieurs eine Container-Umgebung ein und führten ein bösartiges Skript aus, um die Vermögenswerte zu transferieren.
Die Angreifer nutzten den unbefugten Zugriff auf den Hot-Wallet-Signaturdienst, um Währungen wie XRP, SOL, OP und BTC zu transferieren. Zudem nutzten sie den EIP-7702-Mechanismus im Ethereum-Netzwerk, um einem bestimmten Smart Contract teilweise Ausführungsbefugnisse für die Hot Wallet zu erteilen. Da die Wallet durch Multi-Party-Computation-Technologie (MPC) geschützt war, gab es keine einzelnen Schlüssel, um die Autorisierung sofort zu widerrufen, und die Überweisungen dauerten an, bis die Autorisierung nach Mitternacht aufgehoben wurde.
Warum ist diese Nachricht für den Technologie- und Cybersicherheitssektor wichtig?
Dieser Vorfall verdeutlicht den qualitativen Wandel bei Social-Engineering-Methoden. Die Bedrohung beschränkt sich nicht mehr nur auf traditionelle Phishing-Nachrichten, sondern umfasst nun auch vollständig geplante Vorstellungsgespräche und die Manipulation täglicher Entwicklungstools. Zudem unterstreicht er die doppelte Herausforderung, die sich aus der Integration von KI-Tools in Unternehmensumgebungen ohne strenge Zugriffsbeschränkungen ergibt, da diese als Brücke für den Zugriff auf sensible Systeme und für die laterale Bewegung zwischen autorisierten Geräten genutzt werden können.
Wiederherstellung und ergriffene Sicherheitsmaßnahmen
Binance bestätigte, dass das Wallet-System und das betroffene KI-Tool von Grund auf neu aufgebaut, die Hardware ausgetauscht und alle vorherigen Token und Anmeldedaten widerrufen wurden. Zudem wurden unabhängige Sicherheitsfirmen mit der Überprüfung des Vorfalls beauftragt, und es wurde die Einrichtung eines Forschungsfonds angekündigt, der sich auf KI-Sicherheit in Blockchain-Umgebungen spezialisiert.
Der Co-CEO Richard Teng erklärte, dass 98 % der betroffenen Vermögenswerte kompensiert und die Stabilität wiederhergestellt wurde. Zudem wurden die Auszahlungen schrittweise für die Nutzer freigegeben, parallel zur Veröffentlichung von Zero-Knowledge-Proofs, um die vollständige Deckung der Reserven der Plattform zu bestätigen.