I dettagli preliminari dell'indagine interna di Binance sul massiccio attacco informatico, che ha causato una perdita di 6,3 miliardi di dollari (5,65 miliardi di euro), indicano che i colpevoli hanno pianificato l'operazione nel corso di diversi mesi. La cronologia fornita dalla piattaforma di scambio mostra che l'intrusione ha avuto origine a giugno, quando un ingegnere del team dell'infrastruttura dei portafogli ha scaricato un'installazione manipolata mentre cercava uno strumento di programmazione AI. Sebbene il team di sicurezza abbia rilevato questa anomalia, sostituito il dispositivo e ruotato le credenziali, l'attaccante aveva già ottenuto visibilità sui ruoli dell'ingegnere preso di mira e dei suoi colleghi.
La campagna si è intensificata a settembre quando un secondo ingegnere è stato contattato su una piattaforma ufficiale di ricerca di lavoro da un individuo che si spacciava per direttore di progetto. Questo sforzo di ingegneria sociale includeva due colloqui: una videoconferenza con un falso responsabile delle risorse umane e una sessione di chat con un presunto CEO di un'azienda fittizia. Al termine del colloquio finale, all'ingegnere è stato istruito di scaricare un "compito" sul proprio computer di lavoro, il quale ha eseguito codice malevolo durante l'installazione.
Questo malware zero-day ha sostituito un componente legittimo di uno strumento di sviluppo con una versione malevola in grado di eseguire comandi e connettersi a un server controllato dall'attaccante, cancellando al contempo le proprie tracce. Gli strumenti di protezione standard sui dispositivi non sono riusciti a rilevare l'intrusione. Il 20 ottobre, l'attaccante ha utilizzato il computer compromesso e uno strumento AI interno per prendere il controllo del computer di un ingegnere DevOps e del sistema di un altro ingegnere software, individuando infine un token con permessi di distribuzione dei contenitori.
L'attacco vero e proprio si è verificato il 29 ottobre tra le 17:15 e le 19:56. Durante questa finestra temporale, l'intruso ha acceduto al computer del secondo ingegnere utilizzando credenziali rubate, ha distribuito un contenitore e ha attivato uno script malevolo per prendere di mira le operazioni di firma dei portafogli. Binance ha dichiarato di aver successivamente ricostruito il sistema dei portafogli interessato e lo strumento AI, sostituito i dispositivi, revocato tutte le credenziali e i token compromessi e rafforzato la propria analisi della sicurezza, il rilevamento delle anomalie e i controlli del rischio.
La piattaforma di scambio ha inoltre riferito di aver rilevato e neutralizzato 57 tentativi di attacco informatico presumibilmente collegati alla Corea del Nord nel corso del 2026. Sebbene Binance abbia implementato contro-misure estese, l'azienda ha notato che manterrà alcune azioni specifiche riservate per evitare di aiutare potenziali futuri attaccanti. L'indagine sull'incidente rimane aperta.
Fonti: elDiario.es.