בהמשך לדיווחים על מתקפת הסייבר נגד Binance, החברה פרסמה הערב תחקיר ראשוני ומפורט של שרשרת התקיפה, שהחלה למעשה חודשים לפני הגניבה...
ביוני 2026, אחד המהנדסים בצוות הארנקים של Binance הוריד גרסה זדונית של Homebrew בעת שניסה להתקין כלי AI לפיתוח תוכנה.
צוות האבטחה זיהה את הפעילות, החליף את המחשב וביטל את פרטי הגישה הרלוונטיים, אבל התוקפים כבר הצליחו ללמוד על תפקידו ועל עובדים נוספים בצוות.
בספטמבר, התוקפים פנו למהנדס אחר בצוות והציעו לו משרה בחברה פיקטיבית.
הם ערכו איתו ראיון וידאו, הציגו חשבונות ברשתות חברתיות כדי לבסס אמינות, ובהמשך ביקשו ממנו להוריד למחשב רפוסיטורי כחלק ממטלת בית.
הרפוסיטורי הכיל נוזקה שהופעלה במהלך ההתקנה, החליפה רכיב של כלי הפיתוח pyenv ברכיב זדוני ויצרה חיבור לשרת התוקפים.
לפי Binance, כלי ההגנה בתחנת הקצה לא זיהו את הנוזקה בזמן אמת.
ב-20 באוקטובר, התוקפים ניצלו את המחשב שנפרץ ואת הגישה לכלי AI פנימי של Binance כדי להתקדם למחשבים של שני מהנדסים נוספים. שם הם מצאו בין היתר טוקן שמאפשר להם פריסת קונטיינרים בתשתיות של הארנקים.
ב-29 באוקטובר, באמצעות פרטי הגישה שנגנבו, התוקפים פרסו קונטיינר זדוני והשיגו גישה לשירות פנימי האחראי על חתימת עסקאות קריפטו.
משם הצליחו להוציא מובעות מארנקים חמים של Binance, תוך עקיפת תהליך המשיכות הרגיל.
כאן מגיע החלק שהזכרתי בפוסט הקודם עם ה-Nonce ומנגנון EIP-7702 של Ethereum.
המנגנון הזה מאפשר לחשבון להעניק לחוזה חכם הרשאות לבצע פעולות בשמו, ללא חשיפת המפתח הפרטי.
התוקפים ניצלו את שירות החתימה כדי לשלוח 50 עסקאות חתומות על מנת שאחת מהן תתפוס. ואחת מהן אחת תפסה וכספים התחילו לעבור מהארנק של בינאנס לארנק של התוקפים.
התוקפים יכלו להמשיך להעביר מטבעות גם אחרי ש-Binance השביתה את שירות המשיכות. בנוסף, מכיוון שהארנק השתמש בטכנולוגיית MPC, שבה מפתח החתימה מחולק בין כמה גורמים, לא היה מפתח פרטי יחיד שבאמצעותו ניתן היה לבטל מיד את ההרשאות. מה שגרם לתהליך להתארך ונדרשו כמעט ארבע שעות לעצירה מוחלטת של כל ההעברות שביצעו התוקפים.
בינאנס מדווחת כי הצליחה להקפיא כ-2.85 מיליארד דולר. והיא התחייבה לספוג את כל ההפסדים.
אגב, בינאנס מדווחת כי מתחילת השנה הם זיהו ומנעו 57 ניסיונות תקיפה שהגיעו מצפון קוריאה, שכללו בין היתר ראיונות עבודה מזויפים, כלי פיתוח זדוניים ועוד....
המאמר המלא של בינאנס - כאן
