Un colloquio di lavoro fasullo e la pubblicità truccata: così è stato violato Binance
Un falso colloquio di lavoro e un programma infetto nascosto in un annuncio pubblicitario. Così sono iniziati, secondo la ricostruzione pubblicata martedì da Binance, i mesi di preparazione della sottrazione da 6,3 miliardi di dollari in criptovalute che ha colpito la piattaforma giovedì scorso e che è stato definito da più parti «il furto finanziario del secolo».
Da giugno a ottobre
Secondo il rapporto, tutto è iniziato a giugno. Un dipendente del gruppo che sviluppa i portafogli digitali (wallet) aveva scaricato da Internet uno strumento manomesso dagli hacker (che si presume siano nordcoreani). Una fonte a conoscenza dei fatti, citata da Reuters, spiega che la versione infetta compariva in un annuncio pubblicitario e per questo era più in alto nei risultati del motore di ricerca rispetto a quella autentica. Binance se n’era accorta e aveva sostituito il dispositivo e cambiato le credenziali. Ormai però il ruolo di quel dipendente e quelli dei suoi colleghi erano stati scoperti. Secondo la stessa fonte, solo un numero ristretto di ingegneri di Binance ha accesso diretto ai wallet.
A settembre è arrivato il secondo passo. Un altro ingegnere in cerca di un nuovo impiego ha sostenuto un colloquio per una posizione che credeva autentica, con tanto di incontro virtuale con l’amministratore delegato di un’azienda di fatto inesistente. Alla fine ha scaricato sul proprio computer del codice malevolo. Il 20 ottobre gli aggressori hanno usato quel computer, insieme a uno strumento interno di intelligenza artificiale, per prendere il controllo dei sistemi di due sviluppatori di wallet. Nove giorni dopo hanno sferrato il colpo.
Quattro minuti, quattro ore
Il 29 ottobre scorso, in appena quattro minuti, 233,46 milioni di XRP -la criptovaluta legata alla società statunitense Ripple - sono stati trasferiti da cinque wallet «caldi» (cioè collegati a Internet) verso un indirizzo controllato dagli hacker. Subito dopo sono stati prelevati anche bitcoin e altre criptovalute. Un allarme interno ha segnalato i grossi trasferimenti e Binance ha sospeso i prelievi, congelato i token coinvolti e revocato le autorizzazioni non concesse. Così sono stati bloccati beni per circa 2,85 miliardi di dollari. Sospendere i prelievi però non è bastato. Gli aggressori hanno usato una cinquantina di transazioni firmate per manipolare il conto, mentre la piattaforma ha dovuto creare da zero le procedure per revocare le autorizzazioni. L’ultimo trasferimento è avvenuto alle 23.56 GMT (le 00.56 ora svizzera), quasi quattro ore dopo l’inizio dell’attacco.
Una tecnica nota
I falsi colloqui di lavoro sono una tecnica di pirateria informatica nota da anni, ha ricordato a Reuters Michael Barnhart, ricercatore della società di cibersicurezza DTEX. Governi ed esperti mettono in guardia da tempo contro il loro uso da parte di hacker nordcoreani e non solo. Binance afferma di aver individuato e respinto quest’anno 57 minacce sospettate di avere legami con la Corea del Nord. Per Barnhart è il segno che la piattaforma è «letteralmente bersagliata».
«Non sarebbe dovuto accadere», ha ammesso l’exchange, scusandosi con utenti e partner. Binance annuncia più investimenti nei sistemi di rilevamento basati sull’IA, un fondo per la ricerca sulla sicurezza e iniziative mirate con le principali aziende di intelligenza artificiale.
