De aanvallers die bij Binance 5,6 miljard euro aan cryptovaluta wisten te stelen kwamen binnen via een nepsollicitatie en supplychain-aanval, zo heeft de cryptobeurs via X bekendgemaakt. In juni zocht een engineer van Wallet DevOps via een zoekmachine naar Homebrew, een open source package manager voor macOS en Linux, waarmee software is te installeren. De engineer wilde via Homebrew een populaire AI-programmeertool op zijn systeem installeren, aldus Binance.

Via de resultaten van de zoekmachine downloadde de engineer een besmette versie. Binance wijst naar een artikel van het Internet Storm Center waarin wordt gewaarschuwd voor malafide Google-advertenties voor Homebrew. Deze advertenties leiden naar malafide Homebrew-versies die de MacSync Stealer-malware installeren. Volgens Binance ontdekte het securityteam de malware, verving het systeem van de engineer en wijzigde alle gerelateerde credentials.

Nepsollicitatie
De rol van de engineer en zijn collega's binnen de wallet-infrastructuur van Binance waren echter zichtbaar voor de aanvallers geworden, aldus de uitleg over het incident. In september werd vervolgens een tweede software-engineer van Binance via een legitiem vacatureplatform door de aanvallers benaderd. De engineer had een profiel op het platform waarin ook stond dat hij voor Binance werkte. De aanvallers deden zich voor als projectmanager van een fictief bedrijf. Uiteindelijk wisten de aanvallers de engineer een sollicitatiegesprek met een zogenaamde HR-medewerker te laten voeren, gevolgd door een tweede sollicitatiegesprek met de zogenaamde directeur van het fictieve bedrijf.

Tijdens het tweede gesprek werd de engineer gevraagd om een 'programmeeropdracht' te downloaden. Deze opdracht bevatte een malafide code repository die malware op het systeem plaatste. Deze malware verving onder andere een legitieme ontwikkeltool van de programmeur door een malafide versie om zo commando's van de aanvallers uit te voeren. De aanvallers gebruikten de gehackte computer van de tweede engineer en een interne AI-tool om het systeem van de eerste engineer en een derde engineer te compromitteren.

De eerste engineer had een token op zijn systeem voor het uitrollen van containers. Met inloggegevens die op het systeem van de eerste engineer waren gestolen logden de aanvallers in op de computer van de derde engineer, installeerden een container en voerden een script uit om de aanval mee te starten. Vervolgens gebruikten de aanvallers hun ongeautoriseerde toegang tot een interne wallet signing service van Binance om transacties buiten het normale opnameproces te starten en op grote schaal cryptovaluta uit de hot wallets van de cryptobeurs te stelen.

Binance zegt dat het de beveiliging gaat aanscherpen. Zo is inmiddels een aantal beveiligingsmaatregelen doorgevoerd en zullen een aantal andere maatregelen nog volgen. Wat die precies zijn wil de cryptobeurs niet zeggen. "Om te voorkomen dat aanvallers onze veiligheid compromitteren", aldus de uitleg. Het gebruik van nepsollicitaties is een techniek die al jaren door aanvallers wordt toegepast, maar nog altijd effectief is. In september waarschuwden opsporingsdiensten uit allerlei landen dat wereldwijd duizenden softwareontwikkelaars via nepsollicitaties zijn gehackt.