Binance detalla un robo de criptomonedas de 6.300 millones de dólares que incluyó entrevistas falsas y una herramienta de inteligencia artificial interna vulnerada

El exchange de criptomonedas Binance ha publicado un informe detallado que explica cómo los piratas informáticos llevaron a cabo el mayor robo de criptomonedas hasta la fecha: un asalto de varios meses que ascendió a 6.300 millones de dólares. Según la empresa, el ataque combinó programas maliciosos en buscadores, una sofisticada estafa de ingeniería social disfrazada de proceso de contratación y acceso no autorizado a la propia herramienta de inteligencia artificial interna de Binance.

Las autoridades federales, incluido el FBI, han atribuido la brecha a una unidad cibernética norcoreana conocida como "TraderTraitor".

Un plan de ataque en múltiples fases

Según Binance, la brecha se desarrolló a lo largo de varios meses, comenzando en junio. El compromiso inicial ocurrió cuando un desarrollador descargó un instalador modificado a través de un anuncio malicioso de Google. Aunque los equipos de seguridad de Binance detectaron el programa malicioso inicial y reemplazaron el dispositivo del empleado afectado, los atacantes lograron recopilar información crucial sobre los ingenieros internos y los flujos de trabajo técnicos.

En septiembre, los actores maliciosos iniciaron una segunda fase dirigida a otro ingeniero bajo la apariencia de un proceso de contratación. Haciéndose pasar por un empleador potencial, el atacante programó múltiples rondas de entrevistas, realizó llamadas y compartió enlaces de redes sociales para generar confianza. Con el tiempo, el falso empleador persuadió al ingeniero para que descargara una prueba técnica, la cual contenía un programa malicioso de día cero.

Las herramientas de seguridad no lograron detectar la segunda carga útil, que reemplazó el archivo ejecutable estándar pyenv por una versión modificada y maliciosa. Este componente otorgó a los atacantes acceso de puerta trasera y les permitió establecer comunicación con un servidor de comandos externo mientras ocultaban sus rastros.

Sistema de inteligencia artificial interno explotado

Para el 20 de octubre, los atacantes aprovecharon la herramienta de inteligencia artificial interna de Binance para obtener el control de las carteras pertenecientes al ingeniero comprometido en junio, así como a un tercer empleado. El 29 de octubre, los piratas informáticos iniciaron sesión directamente en la estación de trabajo del tercer empleado para lanzar el ataque principal.

El robo continuó durante casi dos horas después de que se detectaran las primeras transferencias no autorizadas. Binance explicó que el retraso en detener las transacciones se debió a su arquitectura de cartera caliente, que utiliza computación multipartita (MPC). Debido a que la tecnología MPC distribuye la autorización, no había una sola clave privada disponible para revocar inmediatamente las autorizaciones EIP-7702 no autorizadas de los atacantes.

Esfuerzos de recuperación e impacto

El director ejecutivo de Binance, Richard Teng, declaró que los usuarios no asumirán las pérdidas financieras de la brecha. Aproximadamente 2.850 millones de dólares en activos robados han sido congelados o interceptados por los equipos de seguridad y socios.

Teng confirmó que el 98 por ciento de los tokens afectados ya han sido reabastecidos, y se sigue trabajando para completar el 2 por ciento restante, lo que permitirá reanudar las retiradas de fondos de manera generalizada. Binance también señaló que sus defensas han frustrado con éxito otros 57 casos de amenazas cibernéticas sospechosas vinculadas a Corea del Norte en el pasado.

A pesar de los hallazgos publicados, quedan dudas sobre cómo se diseñó la herramienta de inteligencia artificial interna y cómo otorgó a los atacantes la influencia suficiente para comprometer los controles internos de las carteras.