El FBI atribuyó el robo de 6.3 mil millones de dólares de Binance a hackers norcoreanos del grupo Lazarus. Los atacantes utilizaron ingeniería social, fingiendo entrevistas de trabajo para infectar computadoras de ingenieros con malware. Mediante el compromiso de herramientas internas de IA y credenciales robadas, lograron ejecutar el despliegue de scripts para sustraer los fondos.

Ladrones de criptomonedas norcoreanos engañaron a un ingeniero de software de Binance para que descargara malware en su ordenador de trabajo durante un proceso de entrevista de trabajo falso antes del robo récord de 6.300 millones de dólares de la semana pasada.

En un informe de incidentes publicado el martes, el exchange de criptomonedas afirmó que diversas técnicas —incluyendo la ingeniería social a través de entrevistas de trabajo falsas, descargas de malware, herramientas de IA internas comprometidas, toma de control de endpoints y un "método avanzado de autorización de transacciones"— condujeron a la brecha de seguridad del 29 de octubre.

"Nuestra investigación actual indica que se trató de una campaña sofisticada y multietapa", decía el informe de incidentes [enlace] . "No fue una brecha aislada ni un simple incidente de phishing".

Durante el fin de semana, el FBI atribuyó el robo a TraderTraitor, una operación de hacking norcoreana vinculada al Grupo Lazarus, conocida por combinar el espionaje con robos masivos de criptomonedas. El equipo respaldado por Pyongyang también es muy experto en estafas en el mercado laboral, tanto haciéndose pasar por trabajadores de TI que luego son contratados por empresas occidentales, como por empleadores potenciales para atraer a ingenieros de software a descargar malware e infectar dispositivos corporativos.

Con el reciente ataque a Binance, los norcoreanos utilizaron lo segundo.

La preparación del ataque comenzó en junio con un ataque a la cadena de suministro cuando uno de sus ingenieros descargó una instalación maliciosa de Homebrew [enlace] . Aunque el equipo de seguridad detectó el malware, el dispositivo fue reemplazado y todas las credenciales afectadas fueron rotadas, pero el informe señala que "el rol del Ingeniero A y sus colegas relacionados en nuestro equipo de infraestructura de billeteras quedó expuesto ante el hacker".

Tres meses después, ocurrió la parte de ingeniería social del ataque.

En septiembre, otro ingeniero de software fue contactado a través de una "plataforma de búsqueda de empleo legítima" por alguien que pretendía ser un director de proyecto, quien organizó una serie de entrevistas de trabajo para el ingeniero de Binance con la empresa falsa. Durante la primera ronda —una entrevista de vídeo en vivo— el entrevistador "compartió una cuenta de redes sociales con él, incluyendo fotos y vídeos personales publicados en la plataforma, para generar confianza", según el informe. "Esto fue más avanzado y engañoso que los enfoques de ingeniería social vistos anteriormente".

La segunda entrevista, con alguien que pretendía ser el CEO de la empresa ficticia, se llevó a cabo en una "aplicación de chat social popular", y hacia el final, el CEO instruyó al ingeniero a descargar una "tarea" que contenía un repositorio de código infectado con malware. El código se ejecutó en su ordenador de trabajo durante el proceso de configuración, lo que inició una serie de actividades no autorizadas.

Según Binance, el malware reemplazó un componente legítimo de una herramienta de desarrollo por una versión maliciosa, que ejecutaba comandos y establecía comunicación con un servidor externo controlado por el atacante. Los atacantes también tomaron medidas para ocultar el script malicioso y evadir la detección, y funcionó: las herramientas de seguridad de endpoints de Binance no detectaron el malware inmediatamente.

Este es el script:

CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_

MODIFY pyenv_ → 3,414 B

DELETE .../libexec/pyenv (3,344 B) ← eliminar el pyenv válido

RENAME pyenv_ → pyenv (3,414 B) ← reemplazarlo con una versión maliciosa

DELETE /opt/homebrew/bin/pyenv (3,414 B)

ln (crear un nuevo symlink) + spawn zsh

Luego, el 20 de octubre, los malhechores utilizaron el ordenador comprometido y una herramienta de IA interna para obtener acceso a los ordenadores del ingeniero de DevOps de billeteras A y de otro desarrollador de software de billeteras, el Ingeniero C.

El Ingeniero A tenía un token de permiso de despliegue de contenedores en su ordenador, lo cual los norcoreanos descubrieron pronto. El 29 de octubre, el atacante accedió al ordenador del Ingeniero C, utilizó las credenciales robadas del Ingeniero A para desplegar un contenedor y activó un script para lanzar el ataque de robo de criptomonedas.

Hasta el martes, Binance afirmó que ha reconstruido el sistema de billeteras comprometido y la herramienta de IA interna, y ha reemplazado todos los dispositivos afectados. También ha dado de baja todas las credenciales y tokens asignados a los ingenieros comprometidos, y está trabajando con las fuerzas del orden, firmas de inteligencia de blockchain e investigadores de seguridad para rastrear y congelar los activos.

El exchange de criptomonedas también ha contratado a expertos independientes en ciberseguridad para realizar una revisión del incidente y recomendar medidas protectoras adicionales. Binance señaló que también está trabajando para establecer un fondo de investigación de seguridad e iniciativas con empresas de IA y firmas de seguridad para centrarse en la seguridad de la IA en entornos de blockchain.

Fuente:
TheRegister