Le piratage de Binance du 29 octobre est passé notamment par un faux entretien d’embauche avec un développeur logiciel de la plateforme crypto. Celui-ci a ainsi introduit un malware zero-day sur son ordinateur de travail.
Binance a publié les premiers résultats de son enquête sur l’attaque. Celle-ci a entraîné la disparition d’environ 6,34 milliards de dollars en crypto. Le FBI avait déjà attribué le vol à la Corée du Nord et nomme le groupe responsable TraderTraitor. Selon Binance, il s’agissait d’une campagne en plusieurs phases. Grâce à l’entretien d’embauche de septembre, les assaillants ont obtenu l’accès à un ordinateur de travail de l’entreprise.
Deux tours d’entretien
Un développeur logiciel de Binance a été approché, via une plateforme d’emploi légitime, par une personne se faisant passer pour un directeur de projet. Le profil du développeur mentionnait son expérience chez Binance. Le prétendu directeur de projet a organisé deux entretiens.
Lors du premier tour, un soi-disant collaborateur RH a mené un entretien en visioconférence en direct. Pour gagner la confiance du développeur, il a partagé un compte de réseau social contenant des photos et des vidéos personnelles. Binance juge cette méthode plus sophistiquée que l’ingénierie sociale observée jusque-là.
Le deuxième tour s’est déroulé via une application de messagerie populaire, avec une personne se présentant comme le CEO d’une entreprise inexistante. À la fin, le développeur devait télécharger un exercice sur son ordinateur de travail. Ce dépôt de code contenait du code malveillant qui s’exécutait pendant l’installation.
Outil de développement falsifié
Le malware a remplacé un composant de pyenv, un outil de gestion des versions de Python, par une version malveillante. Il a ensuite contacté un serveur des assaillants. La protection des terminaux de Binance n’a alors pas reconnu le malware, et les assaillants ont effacé leurs traces.
L’équipe wallet n’était pas inconnue des assaillants. En juin, un ingénieur DevOps de cette équipe avait téléchargé une installation manipulée de Homebrew en cherchant un outil de codage IA via un moteur de recherche. Binance a remplacé son appareil et ses identifiants, mais son rôle et celui de ses collègues étaient déjà connus des assaillants.
Outil IA interne
Le 20 octobre, les assaillants ont utilisé l’ordinateur infecté du développeur et un outil IA interne pour prendre le contrôle des ordinateurs de l’ingénieur DevOps et d’un troisième ingénieur. Chez l’ingénieur DevOps, ils ont trouvé un jeton permettant de déployer des conteneurs.
Le 29 octobre, ils se sont connectés à l’ordinateur du troisième ingénieur, ont déployé un conteneur et lancé un script malveillant. Ensuite, des hot wallets de Binance ont commencé à envoyer des crypto vers des adresses des assaillants.
Binance affirme avoir déjà repoussé cette année 57 tentatives d’attaque présumées nord-coréennes. Il s’agissait notamment de faux entretiens d’embauche, de malwares déguisés en outils de développement et de fausses applications de visioconférence.
La plateforme a reconstruit le système de wallets et l’outil IA interne, remplacé les appareils concernés et analysé tous les appareils des employés. Des sociétés de sécurité indépendantes doivent encore vérifier les conclusions. Binance affirme assumer elle-même la perte et rachète encore les derniers actifs, moins liquides.