Valse vacature was start van miljardendiefstal op Binance

Dit meldt Binance in een update op X. De ontwikkelaar dacht deel te nemen aan twee sollicitatierondes. Tijdens een live videogesprek deelde de aanvallers die zich voordeed als HR-medewerker een social-mediaaccount met persoonlijke foto’s en video’s om vertrouwen te wekken. Het tweede gesprek, met iemand die zich voordeed als directeur van een fictief bedrijf, liep via een chatapp.

Aan het einde moest de ontwikkelaar de opdracht op zijn werkcomputer downloaden. De code in die repository werd tijdens de installatie uitgevoerd, verving een onderdeel van de ontwikkeltool pyenv door een schadelijke versie en legde contact met een externe server. De malware was nieuw en werd door de endpointbeveiliging niet opgemerkt. Op 20 oktober gebruikte de aanvaller de gehackte computer en een interne AI-tool om controle te krijgen over accounts van een DevOps-engineer en een tweede softwareontwikkelaar van het walletteam.

Diverse transacties binnen enkele minuten

De aanvaller logde op 29 oktober tussen 17.15 en 19.56 uur in op de computer van de tweede ontwikkelaar. Met een token van de engineer rolde hij een container uit en startte een script. Daarmee kreeg hij ongeautoriseerde toegang tot de interne service die wallettransacties ondertekent, en kon hij geld verplaatsen buiten het normale opnameproces om. Tussen 20.05 en 20.09 uur UTC stuurden vijf hotwallets 233,46 miljoen XRP naar een adres van de aanvaller. Ook werden op deze manier ongeveer 970.500 SOL, 44,2 miljoen OP en 18.270 bitcoin gestolen.

Binance schortte kortte tijd later opnames op, liet tokens bevriezen en probeerde de machtigingen in te trekken. Dat stopte de diefstal echter niet direct, omdat de machtigingen op de blockchain stonden en los van de opname-infrastructuur werkten. Omdat de hotwallet met Multi-Party Computation werkt, bestond er geen enkele privésleutel om de machtigingen meteen te laten vervallen, en moest het team een aparte procedure starten. De laatste onrechtmatige overboeking, van 2.961,9 ether, werd om 23.56 uur UTC uitgevoerd. Om 00.10 uur op 30 oktober wiste Binance de delegatiecode van de hotwallet Binance14. In totaal werd hierdoor zo'n 2,85 miljard dollar bevroren of onderschept.

Verlies en maatregelen

Binance zegt het verlies zelf te dragen en niet door te belasten aan gebruikers. Op 31 oktober was 98 procent van de getroffen tokens aangevuld, wat volgens het bedrijf is na te gaan op zijn Proof of Reserves-pagina. De overgebleven, minder liquide activa worden nog aangekocht. Het bedrijf meldt het walletsysteem en de interne AI-tool opnieuw te hebben opgebouwd, betrokken apparaten te hebben vervangen, inloggegevens te hebben ingetrokken en alle apparaten van medewerkers te hebben gescand. Ook kondigt het bedrijf strengere risicocontroles op wallets en meer AI-gestuurde detectie van afwijkend gedrag aan.