מהנדס תוכנה בבינאנס קיבל פנייה בפלטפורמת דרושים לגיטימית. בצד השני מישהו שהציג את עצמו כמנהל פרויקטים בחברה שלא קיימת, והפרופיל של המהנדס ציין את הניסיון שלו בבינאנס. שני ראיונות אחר כך הוא הוריד משימת קוד ממאגר באינטרנט והריץ אותה. מהרגע הזה ועד להעברת כ-6.34 מיליארד דולר מהבורסה עבר חודש וחצי.

מה קרה

בינאנס פרסמה היום דוח אירוע שמפרט את השרשרת, אחרי שה-FBI ייחס את הגניבה לקבוצה הצפון-קוריאנית TraderTraitor, מוכרת גם בשם Lazarus (על הייחוס כתבנו כאן). לפי הדוח, הפנייה הגיעה בספטמבר. בראיון הראשון "נציגת משאבי אנוש" ניהלה שיחת וידאו חיה ושיתפה חשבון רשת חברתית עם תמונות וסרטונים אישיים, כדי לבנות אמון. הראיון השני נערך באפליקציית צ'אט, ושם התבקש המהנדס להוריד את משימת הקוד ממאגר מקוון.

המאגר הכיל קוד זדוני. בינאנס אומרת שההרצה שלו התקינה נוזקה מותאמת שלא נראתה קודם, וכלי הגנת ה-endpoint של החברה לא זיהו אותה. הדרך שבה היא השתלבה במחשב מעניינת דווקא בגלל שהיא פשוטה: הסקריפט יצר בתיקיית ההתקנה של Homebrew ב-macOS קובץ בשם pyenv_, מחק את ה-pyenv האמיתי, שינה את שם הקובץ הזדוני ל-pyenv ועדכן את הקישור הסימבולי אליו. כלי פיתוח שהמהנדס מריץ כל יום הפך לדרך שבה התוקף מריץ פקודות מהשרת שלו.

עד ה-20 באוקטובר, אומרת בינאנס, התוקפים השתמשו במחשב של המהנדס ובכלי AI פנימי של החברה כדי להגיע לשני עובדים נוספים בתשתית הארנקים, ומשם לפרטי אימות ול-token לפריסת קונטיינרים. ב-29 באוקטובר הם הריצו סקריפט זדוני, הגיעו לשירות שחותם על העסקאות, והוציאו את הכספים על פני כמה בלוקצ'יינים. הם גם ניצלו לרעה מנגנון הרשאות של את'ריום שנקרא EIP-7702, וכך המשיכו לגנוב גם אחרי שהבורסה השביתה את המשיכות.

כל המספרים האלה מגיעים מבינאנס עצמה, שהכניסה חברות אבטחה חיצוניות לבדוק את המסקנות. לפי הדוח, עד 3 בנובמבר הוקפאו או נעצרו כ-2.85 מיליארד דולר, ועד 31 באוקטובר הושלמו מחדש 98% מנכסי ה-token שנפגעו. החברה בנתה מחדש את המערכות שנפגעו, החליפה מכשירים וביטלה פרטי אימות שנגנבו.

למה זה חשוב לכם

אפשר לקרוא את זה כסיפור על בורסה אחת, אבל הצד שנוגע לקורא הישראלי הוא הכניסה. לא נוצלה חולשה בשרת ולא נשברה סיסמה: מישהו שלח למהנדס משימת קוד, והמהנדס הריץ אותה. השיטה מכוונת בדיוק לאנשים שלגיטימי לבקש מהם להריץ קוד זר, כלומר למפתחים, ובישראל יש מהם לא מעט. הודעה ממגייסת בלינקדאין עם "תרגיל בית קטן" היא לא תמיד הודעה ממגייסת. והנוזקה עצמה, לפי הדוח, לא זוהתה: תוכנות אבטחה עובדות טוב מול קוד מוכר, ופחות טוב מול קוד שנכתב למטרה אחת.

מה עושים?

אם אתם מפתחים, אל תריצו קוד ממשימת ראיון על המחשב שאתם עובדים בו. מכונה וירטואלית או מחשב נפרד, בלי חשבונות מחוברים ובלי ארנק קריפטו, הם ההבדל בין משימה מוזרה לפריצה.

אמתו את המגייס דרך החברה ולא דרך מי שפנה: חפשו את החברה ואת האדם באתר הרשמי, והתקשרו למספר שמופיע שם. פרופיל משכנע וסרטונים אישיים לא מוכיחים כלום.

אם יש לכם חשבון בבינאנס, בדקו אותו דרך האפליקציה או האתר הרשמי בלבד. אחרי אירוע כזה מגיעים גלי הודעות שמתחזות לבורסה, ומערך הסייבר הלאומי כבר הזהיר מכך באוקטובר.

בינאנס לא קישרה את הפריצה לקמפיין מסוים, אבל מגייס מזויף, שני ראיונות ומשימת קוד זדונית הם בדיוק המתכון שתועד בקמפיינים שמיוחסים לצפון קוריאה בשמות Contagious Interview ו-Operation Dream Job. המתכון לא השתנה, רק הסכום.