Maailma suurima krüptobörsi Binance’i tabanud ajaloolise varguse taga oli mitu kuud kestnud häkkerite operatsioon, mille üks keskseid etappe nägi välja nagu täiesti tavaline tööintervjuu. Insenerile pakuti võimalust kandideerida teise ettevõttesse, kuid tööpakkumise tegelik eesmärk oli pääseda ligi tema tööarvutile.
Oktoobri lõpus Binance’ilt 6,34 miljardi dollari väärtuses krüptovara varastanud häkkerid tegutsesid märksa keerukama skeemi järgi, kui esialgu võis paista. FBI on omistanud rünnaku Põhja-Koreaga seotud häkkerirühmitusele, kuid Põhja-Korea on oma seotust eitanud.
Üks rünnaku võtmehetki leidis aset septembris, kui Binance’i tarkvarainsener sai tööpakkumise. Järgnes mitmevooruline värbamisprotsess, mille käigus suhtles insener nii väidetava personalitöötaja kui ka ettevõtte väidetava tegevjuhiga. Tegelikult oli kogu protsess lavastatud ning tööandjat, kelle juurde insener kandideeris, polnud olemas.
Häkkerid olid Binance’i sihikule võtnud juba mitu kuud varem. Ettevõtte esialgse uurimisraporti järgi ulatuvad rünnaku esimesed jäljed juunisse, mil üks teine insener laadis oma arvutisse pahavara sisaldanud tarkvara. Ettevõtte turvameeskond avastas intsidendi, vahetas töötaja arvuti välja ja uuendas ligipääsuandmeid. Selleks ajaks olid ründajad aga jõudnud koguda teavet inseneri ja tema kolleegide kohta.
Septembris võtsid häkkerid sihikule järgmise inseneri, kelle tööotsinguplatvormi profiilil oli märgitud ka tema töökogemus Binance’is. Temaga võttis ühendust inimene, kes esitles end projektijuhina ja kutsus ta tööintervjuule.
Esimene vestlus toimus videokõnes väidetava personalitöötajaga, kes jagas inseneriga oma sotsiaalmeediakontot, millel olid isiklikud fotod ja videod. Nii püüti võita tema usaldust. Teine intervjuu toimus suhtlusrakenduses ettevõtte väidetava tegevjuhiga.
Vestluse lõpus paluti inseneril oma tööarvutisse alla laadida koodirepositooriumit sisaldav programmeerimisülesanne. Selle seadistamisel käivitus pahatahtlik 0-päeva pahavara, mis asendas ühe seadusliku arendustööriista komponendi pahatahtliku versiooniga. See võimaldas ründajatel varjuda turvasüsteemide eest, luua ühendus oma serveriga ja võtta inseneri arvuti enda kontrolli alla.
Häkkerid kasutasid ära ka ettevõtte tehisarutööriista
Järgmiste nädalate jooksul kasutasid häkkerid nakatunud arvutit, et laiendada ligipääsu Binance’i sisemistele süsteemidele. 20. oktoobril kasutasid nad ettevõtte teatel selleks ka Binance’i sisemist tehisarutööriista, mille abil õnnestus neil saada kontroll veel kahe krüptorahakottide süsteemidega töötanud inseneri töökeskkonna üle.
Ühe inseneri arvutist leidsid ründajad ligipääsutunnuse, mida nad kasutasid 29. oktoobril teise inseneri arvuti kaudu pahatahtliku programmi käivitamiseks.
Selleks ajaks olid häkkerid saanud ligipääsu Binance’i krüptorahakottide tehingute allkirjastamise süsteemile. See võimaldas neil algatada ülekandeid väljaspool ettevõtte tavapärast väljamakseprotsessi.
Krüptobörsi rahakottidest viidi välja miljardite dollarite väärtuses krüptovara. Suurem osa sellest kadus ligikaudu 20 minuti jooksul. Ründajatel õnnestus ülekandeid teha ka pärast seda, kui Binance oli tavapärased väljamaksed peatanud. Ettevõtte selgitusel ei tühistanud väljamaksete peatamine automaatselt plokiahelas juba kehtinud tehinguvolitusi.
Binance’i avaldatud andmetel oli 6,34 miljardi dollari suurusest varastatud summast ligikaudu 2,85 miljardit dollarit külmutatud või kinni peetud. Ettevõte on lubanud katta klientide kahju oma vahenditest ning teatanud, et on selleks eraldanud piisavalt raha.
Plokiahela analüüsifirma Bitquery 5. novembri ülevaate kohaselt oli häkkerite valduses endiselt ligikaudu 3,2 miljardi dollari väärtuses krüptovara, millest suur osa seisis puutumatult nende rahakottides. Firma värskema analüüsi järgi olid ründajad 6. novembri seisuga jõudnud umbes 333 miljoni dollari väärtuses varastatud krüptovara edasi liigutada.
Tööintervjuust on saanud häkkerite relv
Kuigi Binance’i rünnaku ulatus oli erakordne, ei ole selle läbiviimiseks kasutatud meetod küberturbeekspertide jaoks uus. Küberturbeettevõtte DTEX teadur Michael Barnhart selgitas Reutersile, et eksperdid ja valitsusasutused on juba aastaid hoiatanud Põhja-Korea ja teiste häkkerite korraldatavate võltsitud tööintervjuude eest.
Binance’i enda andmetel oli ettevõte tänavu tuvastanud ja tõkestanud 57 võimalikku Põhja-Koreaga seotud küberohtu. Barnharti hinnangul näitab see, kui suure ründesurve all krüptobörs on.
Binance’i teatel on ettevõte ehitanud uuesti üles rünnakus mõjutatud krüptorahakottide süsteemi ja ettevõttesisese tehisarutööriista ning vahetanud välja mõjutatud seadmed. Lisaks on ettevõte alustanud sõltumatute küberturbeekspertide kaasamist, et juhtunu asjaolusid põhjalikumalt uurida ja seniseid uurimistulemusi kontrollida.
Ettevõte tunnistas oma esialgses raportis, et sellist rünnakut poleks tohtinud juhtuda, ning vabandas klientide ja koostööpartnerite ees.
