Resumo:
Os últimos detalhes da investigação divulgados pela Binance, a maior bolsa de criptomoedas do mundo, mostram que o ataque cibernético que resultou no roubo de US$ 6,3 bilhões em ativos criptográficos não foi uma operação repentina, mas uma operação de penetração de engenharia social cuidadosamente planejada que durou vários meses. Na verdade, os pesquisadores de segurança vêm alertando a indústria sobre ataques semelhantes há anos, mas esse incidente, que estabeleceu o recorde do maior roubo da história da indústria de criptomoedas, ainda aconteceu.
De acordo com a última descrição divulgada pela Binance em 3 de novembro, hackers norte-coreanos se passaram por recrutadores e contataram um engenheiro de software responsável pelo negócio de carteiras por meio de uma identidade falsa nas redes sociais. Após duas rodadas de processos de entrevista aparentemente normais, a outra parte pediu ao engenheiro para baixar a chamada tarefa de teste de programação. No entanto, havia código malicioso oculto neste documento, que uma vez executado com sucesso, invadiu os computadores da empresa usados pelos funcionários, e as ferramentas de segurança existentes da Binance não conseguiram detectar o malware relacionado.
Depois que os hackers obtiveram acesso inicial, eles usaram ainda mais os sistemas internos da empresa para expandir seus resultados. Eles obtiveram acesso a um conjunto interno de ferramentas que lhes permitiu controlar remotamente os computadores de outros funcionários e, ao fazê-lo, assumiram o controle dos dispositivos de outros dois engenheiros da equipe da carteira.
A investigação revelou que um dos engenheiros baixou por engano um aplicativo adulterado enquanto procurava software há vários meses, resultando na implantação de malware para roubo de senhas no dispositivo. Embora a Binance tenha posteriormente substituído o computador infectado, os hackers continuaram suas atividades usando as credenciais anteriormente roubadas e eventualmente comprometeram o dispositivo de um terceiro engenheiro. O trabalho do funcionário tinha acesso a sistemas críticos que gerenciavam bilhões de dólares em ativos criptográficos, preparando o terreno para um eventual roubo.
A Binance admitiu em comunicado que o incidente “não deveria ter acontecido” e disse que a empresa reforçou as medidas de segurança de rede após o incidente. Afetada pelo ataque, a Binance suspendeu temporariamente os serviços de saque para clientes da plataforma na semana passada.
O FBI e a agência de investigação de blockchain atribuíram o ataque à Coreia do Norte. Nos últimos anos, a Coreia do Norte tem sido acusada de roubar repetidamente ativos criptográficos em grande escala para financiar o seu programa de armas nucleares, que está sujeito a sanções internacionais.
Este incidente destaca mais uma vez as táticas usadas pelos hackers norte-coreanos há muito tempo. Os investigadores de segurança cibernética têm alertado há anos que os grupos de ataque norte-coreanos muitas vezes se fazem passar por empresas de capital de risco, investidores, consultores de recrutamento e trabalhadores remotos de TI, usando informações roubadas de identidade de cidadãos dos EUA para estabelecer uma imagem credível e enganar os alvos para que abram permissões do sistema.
Na verdade, esse tipo de método de ataque é conhecido há muito tempo na indústria de criptomoedas. O governo dos EUA e muitas grandes empresas de segurança cibernética emitiram vários avisos nos últimos anos. Dados relevantes mostram que quase metade das intrusões de rede que ocorreram na indústria tecnológica dos EUA só no ano passado foram atribuídas a hackers norte-coreanos que se faziam passar por funcionários remotos de TI ou falsos recrutadores.
De acordo com dados divulgados pela Binance, a empresa já registrou pelo menos 57 tentativas de ataque suspeitas de virem da Coreia do Norte. Binance disse que isso ilustra totalmente a ameaça contínua representada por grupos de ataque de estados-nação contra a indústria de criptomoedas.
No entanto, os investigadores ainda poderão se concentrar em duas questões-chave no futuro: como os hackers conseguiram convencer os funcionários a baixar programas maliciosos quando tais métodos de ataque foram amplamente expostos; e por que a rede interna da Binance não conseguiu impedir efetivamente que os invasores penetrassem mais lateralmente e obtivessem privilégios mais elevados.
Os analistas salientaram que, embora o caso tenha demonstrado mais uma vez que os hackers norte-coreanos são bons a utilizar oportunidades de recrutamento e tentações de desenvolvimento de carreira para realizar ataques de engenharia social, as empresas também têm responsabilidades importantes. As empresas não só precisam de melhorar a sensibilização dos funcionários para a segurança, mas também de garantir que os sistemas internos não possam executar software não autorizado ou não confiável à vontade e reduzir tecnicamente o risco de um único ponto de falha se transformar num grande incidente de segurança.
Com relação aos detalhes específicos do incidente, o porta-voz da Binance, Ross O'Leary, recusou-se a responder às perguntas da mídia sobre mecanismos de proteção de terminal de funcionários, restrições de execução de código malicioso e se uma auditoria de segurança de rede de terceiros foi realizada antes do incidente. Ele apenas afirmou que a empresa convidará especialistas externos em segurança para participarem da investigação e implantou novas medidas de proteção para evitar que incidentes semelhantes voltem a acontecer.
Atualmente, esse roubo de US$ 6,3 bilhões continua sendo o maior roubo na história da criptomoeda.
Comentários