Binance: aanvallers kwamen binnen via nepsollicitatie en supplychain-aanval

In dit artikel:

Aanvallers wisten bij cryptobeurs Binance 5,6 miljard euro aan cryptovaluta te stelen nadat ze via twee software-engineers toegang hadden gekregen tot de wallet-infrastructuur. De eerste besmetting vond in juni plaats. Een engineer van Wallet DevOps downloadde via een zoekmachine een malafide versie van Homebrew, waarschijnlijk na het aanklikken van een valse advertentie. Die installeerde de MacSync Stealer-malware. Binance ontdekte de besmetting, verving de computer en wijzigde de bijbehorende inloggegevens, maar de aanvallers hadden inmiddels informatie over de functie en collega’s van de engineer verzameld.

In september benaderden de aanvallers een tweede engineer via een legitiem vacatureplatform. Ze deden zich voor als medewerkers van een fictief bedrijf en lieten hem tijdens een sollicitatieprocedure een programmeeropdracht downloaden. De bijbehorende code bevatte malware die onder meer een ontwikkeltool verving door een kwaadaardige variant. Via de gehackte computer en een interne AI-tool kregen de aanvallers vervolgens toegang tot de systemen van de eerste en een derde engineer.

Op het systeem van de eerste engineer vonden ze een token waarmee containers konden worden uitgerold. Daarmee logden ze in op de computer van de derde engineer, installeerden software en startten de aanval. Vervolgens misbruikten ze een interne wallet-signingservice om transacties buiten het normale opnameproces uit te voeren en grote hoeveelheden cryptovaluta uit Binance-hot wallets te halen. Binance heeft al extra beveiligingsmaatregelen ingevoerd en kondigt verdere aanscherpingen aan, maar maakt de details niet bekend. Nepsollicitaties worden al jaren gebruikt bij aanvallen; opsporingsdiensten waarschuwden in september dat wereldwijd duizenden softwareontwikkelaars zo zijn gehackt.