Il CSO di Binance aveva preannunciato inavvertitamente la tattica dell'hack da 6,3 miliardi di dollari mesi prima dell'attacco

Intervista con Jimmy Su di Binance

In un'intervista di luglio, il Chief Security Officer di Binance, Jimmy Su, ha spiegato come le valutazioni di codifica false potessero compromettere i dispositivi dei dipendenti, una tattica successivamente utilizzata nell'hack record della borsa. Mesi prima che Binance perdesse 6,3 miliardi di dollari a causa di un attacco informatico, Su aveva descritto a Cointelegraph come un colloquio di lavoro falso potesse fornire agli attaccanti un accesso interno all'exchange, somigliando da vicino a uno dei metodi di accesso utilizzati successivamente contro di esso.

Rischi delle valutazioni di codifica

Durante l'intervista di luglio, Su ha affermato che i colloqui di lavoro falsi erano "un tema di grande preoccupazione per noi internamente", spiegando come gli attaccanti potessero sfruttare un'opportunità di lavoro per persuadere un dipendente a eseguire codice come parte di una valutazione tecnica. "Una volta eseguito, il dispositivo è compromesso e possono iniziare a raccogliere credenziali," ha dichiarato Su, aggiungendo che gli attaccanti potrebbero quindi utilizzarle per penetrare ulteriormente nella rete.

L'avvertimento dettagliato di Su riguardo alle valutazioni di codifica malevole non è stato incluso nella copertura di Cointelegraph di luglio, ma assume un nuovo significato dopo il più grande hack di exchange di criptovalute della storia.

Compromissione e attacco a più fasi

A settembre, un ingegnere del software di Binance ha scaricato un incarico di codifica malevola sul suo computer di lavoro durante un colloquio di lavoro falso. Questa compromissione è diventata parte dell'attacco a più fasi che ha culminato nel furto di ottobre, secondo l'indagine preliminare di Binance.

Durante l'intervista con Cointelegraph, Su aveva anche anticipato perché gli strumenti di sicurezza potessero non rilevare una trappola del genere. "Una valutazione tecnica potrebbe comportare passaggi apparentemente legittimi, come scaricare un repository di codice da GitHub," ha spiegato a luglio. "Ogni passaggio è effettivamente legittimo di per sé. Pertanto, molti strumenti antivirus potrebbero non essere in grado di rilevarlo e segnalarlo," ha affermato.

Responsabilità e prevenzione

L'indagine di Binance ha successivamente descritto un fallimento di rilevamento simile, affermando che il processo di configurazione dell'incarico ha eseguito malware che ha eluso i suoi strumenti di sicurezza degli endpoint attraverso offuscamento e altre tecniche di evasione. Su ha dichiarato a Cointelegraph che era responsabilità di Binance contenere il rischio quando i dipendenti cercavano opportunità esterne sui computer aziendali. "Certo, i dipendenti possono esplorare opportunità esterne. Ciò di cui ci preoccupiamo è che lo facciano sui dispositivi aziendali," ha detto. Se un dipendente fosse caduto per un colloquio falso, ha aggiunto, "la responsabilità è nostra per rilevarlo" e per "fermare l'esecuzione effettiva di quel codice."

Simulazioni di phishing e cambiamenti nel reclutamento

Binance stava già testando i dipendenti contro reclutatori falsi. Su ha detto che il suo team interno di sicurezza rossa stava conducendo simulazioni di phishing mensili da tre a quattro anni, con formazione correttiva per i dipendenti che fallivano. "All'inizio, l'igiene della sicurezza lasciava molto a desiderare. Ma dopo questo periodo di tempo, l'azienda è migliorata significativamente," ha affermato.

Kevin Gibson della società di reclutamento Proof of Search ha dichiarato a Cointelegraph che la minaccia sta anche cambiando il modo in cui alcuni datori di lavoro nel settore delle criptovalute valutano i potenziali assunti, con i clienti che vogliono sempre più sapere se i candidati sono stati incontrati di persona. "Un certo numero dei nostri clienti ci sta ora chiedendo direttamente se abbiamo incontrato un candidato di persona," ha detto Gibson, aggiungendo che i candidati incontrati di persona da un reclutatore di terze parti hanno un vantaggio.

Minacce informatiche e misure di sicurezza

I dipendenti, come nel caso di Binance, possono anche diventare obiettivi. "Nel settore delle criptovalute, un'offerta di lavoro sospetta o una 'chiamata di aggiornamento veloce' possono essere il primo passo in un colpo multimilionario," ha affermato. Binance ha dichiarato di aver bloccato 57 minacce informatiche sospette legate alla Corea del Nord finora quest'anno, che corrisponde a circa un attacco ogni cinque giorni.

Dopo l'attacco di ottobre, Binance ha dichiarato di aver inasprito i controlli sui dispositivi, ricostruito i sistemi di portafoglio interessati e gli strumenti interni di intelligenza artificiale, rafforzato i controlli di accesso e revocato le credenziali compromesse. Ha anche dichiarato di aumentare gli investimenti nella protezione degli endpoint e nella sicurezza dell'ambiente di sviluppo, e di coinvolgere esperti di cybersecurity indipendenti per esaminare l'incidente. Alcuni dettagli tecnici e misure di sicurezza rimarranno riservati, ha affermato.