Bij de cyberaanval op Binance van 29 oktober konden hackers cryptovaluta blijven wegsluizen. Dit lukte zelfs nadat de beurs de opnamemogelijkheden had geblokkeerd. De criminelen kregen ongeautoriseerde toegang tot een interne dienst waarmee wallettransacties worden ondertekend. Vervolgens maakten ze misbruik van een Ethereum-mechanisme om buiten de systemen van Binance om geld over te boeken.
Dat blijkt uit een voorlopig onderzoeksrapport dat Binance op 3 november publiceerde. Uit de rapportage blijkt dat het bij de aanval ging om circa 6,34 miljard dollar aan digitale activa. Daarvan heeft Binance naar eigen zeggen inmiddels 2,85 miljard dollar kunnen bevriezen of onderscheppen.
De criminelen waren in staat om tussen 20.05 en 20.09 uur UTC vanuit vijf wallets in totaal 233,46 miljoen XRP over te maken naar een eigen adres. Ook verdwenen ongeveer 970.500 SOL en 44,2 miljoen OP. Los daarvan werd 18.270 bitcoin overgeboekt.
Misbruik van Ethereum-autorisaties
Bij de aanval gebruikten de criminelen onder meer EIP-7702. Dit mechanisme stelde hen in staat bepaalde uitvoeringsrechten van een Ethereum-account over te dragen aan een smart contract. Dit was mogelijk zonder de privésleutel te delen. De hackers gebruikten dit mechanisme om een eigen smart contract rechten te geven over een wallet van Binance.
Toen Binance de ongeautoriseerde overschrijvingen ontdekte, blokkeerde het de opnames. Die maatregel had echter geen impact op de machtigingen die de hackers al op de blockchain hadden vastgelegd. Die bleven geldig.
De aanvallers dienden in totaal vijftig ondertekeningstransacties in om de account-nonce te manipuleren en de machtigingen vast te leggen, blijkt uit het onderzoeksrapport. Binance kon die machtigingen echter niet onmiddellijk intrekken. De betreffende wallet maakte gebruik van Multi-Party Computation (MPC), waardoor er geen afzonderlijke privésleutel beschikbaar was om de autorisaties direct te herroepen. Het beveiligingsteam van de organisatie moest een aparte procedure ontwikkelen.
De laatste ongeautoriseerde overboeking van de hackers, van 2.961,9 ETH, werd om 23.56 uur UTC op de blockchain bevestigd. Deze transactie was eerder ingediend. Om 00.10 uur op 30 oktober wist Binance de EIP-7702-delegatie te verwijderen.
Malware via sollicitatiegesprek
Uit het onderzoek van Binance blijkt ook hoe de hackers toegang kregen tot de interne systemen. De eerste aanval vond al maanden geleden plaats, namelijk in juni. Toen downloadde een medewerker een gemanipuleerde Homebrew-installatie voor een AI-codeertool. Binance ontdekte de malware op tijd en verving de computer. De aanvallers hadden op dat moment echter wel informatie gekregen over de functies van medewerkers binnen het wallet-team.
In september benaderden de hackers een andere ontwikkelaar via een bestaand vacatureplatform. Ze deden zich voor als medewerkers van een bedrijf dat nieuw personeel zocht. Nadat deze ontwikkelaar een videogesprek voerde met een zogenaamde HR-medewerker, volgde een tweede sollicitatiegesprek. Nu met de vermeende directeur. Die gaf de ontwikkelaar een opdracht waarvoor hij een repository moest downloaden.
De repository bevatte kwaadaardige code die direct werd geïnstalleerd. De malware verving een legitiem onderdeel van een ontwikkeltool door een aangepaste versie. Hiermee konden de hackers opdrachten uitvoeren en contact leggen met een externe server. De endpointbeveiliging van Binance detecteerde de malware niet.
Op 20 oktober gebruikten de hackers de besmette computer en een interne AI-tool om toegang te krijgen tot twee andere ontwikkelaars. Op een van hun computers vonden ze een token met rechten om containers uit te rollen. Op 29 oktober gebruikten de aanvallers vervolgens gestolen inloggegevens om een container te implementeren en een kwaadaardig script te starten. Daarmee werd de aanval op de wallets uitgevoerd.
Binance heeft de betrokken systemen opnieuw opgebouwd en de gecompromitteerde inloggegevens ingetrokken. Het bedrijf laat de aanval verder onderzoeken door externe beveiligingsspecialisten. Volgens de FBI zit Noord-Korea achter de diefstal.