Riassunto:
Gli ultimi dettagli dell'indagine divulgati da Binance, il più grande scambio di criptovalute al mondo, mostrano che l'attacco informatico che ha portato al furto di 6,3 miliardi di dollari in criptovalute non è stata un'operazione improvvisa, ma un'operazione di penetrazione di ingegneria sociale attentamente pianificata durata diversi mesi. In effetti, i ricercatori di sicurezza avvertono da anni il settore di attacchi simili, ma questo incidente, che ha stabilito il record per il più grande furto nella storia del settore delle criptovalute, è comunque avvenuto.
Secondo l'ultima descrizione rilasciata da Binance il 3 novembre, gli hacker nordcoreani si sono finti reclutatori e hanno contattato un ingegnere informatico responsabile del business dei portafogli attraverso una falsa identità sui social media. Dopo due cicli di colloqui apparentemente normali, l'altra parte ha chiesto all'ingegnere di scaricare un cosiddetto compito di test di programmazione. Tuttavia, in questo documento era nascosto un codice dannoso che, una volta eseguito con successo, invadeva i computer aziendali utilizzati dai dipendenti e gli strumenti di sicurezza esistenti di Binance non sono riusciti a rilevare il relativo malware.
Dopo aver ottenuto l'accesso iniziale, gli hacker hanno utilizzato ulteriormente i sistemi interni dell'azienda per espandere i propri risultati. Hanno ottenuto l'accesso a una serie interna di strumenti che hanno permesso loro di controllare da remoto i computer di altri dipendenti e, così facendo, hanno preso il controllo dei dispositivi di altri due ingegneri del team del portafoglio.
L'indagine ha rivelato che diversi mesi fa uno degli ingegneri ha scaricato per errore un'applicazione manomessa durante la ricerca di software, provocando l'impianto di malware in grado di rubare password nel dispositivo. Sebbene Binance abbia successivamente sostituito il computer infetto, gli hacker hanno continuato le loro attività utilizzando le credenziali precedentemente rubate e alla fine hanno compromesso il dispositivo di un terzo ingegnere. Il lavoro del dipendente aveva accesso a sistemi critici che gestivano miliardi di dollari in criptovalute, ponendo le basi per l'eventuale furto.
Binance ha ammesso in una dichiarazione che l'incidente "non sarebbe dovuto accadere" e ha affermato che la società aveva rafforzato le misure di sicurezza della rete dopo l'incidente. Colpito dall'attacco, la scorsa settimana Binance ha temporaneamente sospeso i servizi di prelievo per i clienti della piattaforma.
L'FBI e l'agenzia investigativa blockchain hanno attribuito l'attacco alla Corea del Nord. Negli ultimi anni, la Corea del Nord è stata accusata di aver rubato ripetutamente criptovalute su larga scala per finanziare il suo programma di armi nucleari, soggetto a sanzioni internazionali.
Questo incidente evidenzia ancora una volta le tattiche utilizzate da molto tempo dagli hacker nordcoreani. I ricercatori di sicurezza informatica avvertono da anni che i gruppi di attacco nordcoreani spesso si fingono società di venture capital, investitori, consulenti di reclutamento e lavoratori IT remoti, utilizzando informazioni sull’identità dei cittadini statunitensi rubate per creare un’immagine credibile e indurre gli obiettivi ad aprire le autorizzazioni di sistema.
In effetti, questo tipo di metodo di attacco è noto da tempo nel settore delle criptovalute. Negli ultimi anni il governo degli Stati Uniti e molte grandi aziende di sicurezza informatica hanno emesso numerosi avvertimenti. I dati rilevanti mostrano che quasi la metà delle intrusioni di rete avvenute nel settore tecnologico statunitense solo lo scorso anno sono state attribuite a hacker nordcoreani che si spacciavano per dipendenti IT remoti o falsi reclutatori.
Secondo i dati divulgati da Binance, la società ha precedentemente registrato almeno 57 tentativi di attacco sospettati di provenire dalla Corea del Nord. Binance ha affermato che ciò illustra pienamente la continua minaccia posta dai gruppi di attacco degli stati-nazione contro l’industria delle criptovalute.
Tuttavia, in futuro gli investigatori potrebbero ancora concentrarsi su due questioni chiave: come gli hacker sono riusciti a convincere i dipendenti a scaricare programmi dannosi quando tali metodi di attacco sono stati ampiamente smascherati; e perché la rete interna di Binance non è riuscita a impedire efficacemente agli aggressori un'ulteriore penetrazione laterale e l'ottenimento di privilegi più elevati.
Gli analisti hanno sottolineato che, sebbene il caso abbia dimostrato ancora una volta che gli hacker nordcoreani sono bravi a sfruttare le opportunità di reclutamento e le tentazioni di sviluppo professionale per sferrare attacchi di ingegneria sociale, anche le aziende hanno importanti responsabilità. Le aziende non solo devono migliorare la consapevolezza della sicurezza dei dipendenti, ma devono anche garantire che i sistemi interni non possano eseguire software non autorizzati o non affidabili a piacimento e ridurre tecnicamente il rischio che un singolo punto di errore si trasformi in un grave incidente di sicurezza.
Per quanto riguarda i dettagli specifici dell'incidente, il portavoce di Binance Ross O'Leary ha rifiutato di rispondere ulteriormente alle domande dei media sui meccanismi di protezione dei terminali dei dipendenti, sulle restrizioni sull'esecuzione di codice dannoso e se prima dell'incidente fosse stato condotto un controllo di sicurezza della rete di terze parti. Ha solo affermato che la società inviterà esperti di sicurezza esterni a partecipare alle indagini e ha adottato nuove misure di protezione per evitare che incidenti simili si ripetano.
Attualmente, questo furto da 6,3 miliardi di dollari rimane il più grande furto nella storia della criptovaluta.
Commenti