Nordkoreanske hackere brukte falske profiler på sosiale medier og et mulig jobbtilbud i et måneds langt forsøk på å lure en Binance-ansatt til å laste ned skadevare. Angrepet ga hackerne tilgang til kryptobørsens systemer og førte til det største kryptotyveriet i historien.

Binance bekreftet beløpet på 6,3 milliarder dollar i en oppdatert uttalelse publisert på X tirsdag. Tyveriet førte også til at verdens største kryptobørs stanset kundeuttak i nettverket sitt.

Slik skal angrepet ha foregått

FBI og etterforskere innen blokkjede-teknologi har knyttet innbruddet til Nord-Korea. Landet har i flere år blitt anklaget for omfattende kryptotyverier som skal bidra til å finansiere det internasjonalt sanksjonerte atomvåpenprogrammet.

Binance opplyser at hackerne utga seg for å være rekrutterere på jakt etter ansatte. De tok kontakt med en programvareingeniør som arbeidet med lommebøker i selskapet. Etter to intervjuer med det som fremsto som et annet selskap, fikk ingeniøren beskjed om å laste ned en kodeoppgave som del av prosessen.

Da oppgaven ble åpnet, inneholdt den skadevare som kompromitterte den jobb-utstedte PC-en. Binance sier sikkerhetsverktøyene deres ikke oppdaget skadevaren.

Tilgangen gjorde det mulig å bruke et internt verktøy til å ta over arbeidsmaskinene til to andre ingeniører på lommebokteamet. Den ene hadde flere måneder tidligere, etter et søk i en søkemotor, lastet ned en manipulert app med skadevare som stjal passord.

Binance byttet ut den kompromitterte ingeniørens PC, men hackerne kunne bruke de stjålne innloggingsopplysningene til å bryte seg inn på datamaskinen til en tredje ingeniør. Denne medarbeideren hadde tilgang til systemer som kunne kontrollere kryptovaluta verdt milliarder av dollar.

Advarslene kom før innbruddet

Binance har sagt at angrepet «should not have happened», og at selskapet har styrket nettverkssikkerheten etter tyveriet.

Metoden er likevel ikke ny. Forskere har i flere år advart mot langvarige sosialmanipuleringsangrep der hackere utgir seg for å være risikokapitalister, investorer eller rekrutterere. De skal ha brukt samlinger av stjålne amerikanske identiteter for å få ansatte til å gi tilgang til interne systemer.

Angrepene er godt kjent i kryptobransjen og har flere ganger vært omtalt i advarsler fra amerikanske myndigheter og store cybersikkerhetsselskaper. Rundt halvparten av alle innbrudd hos amerikanske teknologiselskaper i fjor ble knyttet til nordkoreanere som utga seg for å være fjernarbeidere og falske rekrutterere.

Ifølge Binances egen redegjørelse hadde selskapet vært utsatt for minst 57 mistenkte angrep fra Nord-Korea. Binance sier hendelsene viser den «persistent threat posed by state-sponsored actors targeting the cryptocurrency industry».

Skal granske sikkerheten

Hvordan hackerne kunne overtale ingeniøren til å installere skadevaren til tross for de mange offentlige advarslene, og hvordan de kunne utnytte svakheter i Binances nettverk, vil trolig stå sentralt i etterforskningen.

Saken viser hvordan jobbtilbud og annen sosial manipulering kan brukes for å få ansatte til å gi fra seg systemtilgang. Samtidig er det selskapets ansvar å sørge for at systemene ikke kan kjøre uautorisert eller upålitelig programvare som kan føre til et sikkerhetsbrudd.

En talsperson for Binance viste til selskapets offentlige uttalelse, men ville ikke svare offentlig på spørsmål om hendelsen. Spørsmålene gjaldt blant annet hvordan selskapet hindrer at uautorisert eller skadelig kode kjører på de ansattes PC-er, og om eksterne aktører hadde gjennomført sikkerhetsrevisjoner av nettverket før angrepet.

Binance har sagt at selskapet vil hente inn cybersikkerhetseksperter for å gjennomgå hendelsen. Nye sikkerhetstiltak skal også være innført for å hindre at noe lignende skjer igjen.