Sasha✔
Writer
Theo Binance, vụ trộm tiền điện tử lớn nhất từ trước đến nay được thực hiện bằng cách kết hợp một số kỹ thuật tấn công mạng phổ biến trong suốt vài tháng.
Báo cáo phân tích sự cố từ công ty cho biết, quá trình này bắt đầu vào tháng 6 khi một lập trình viên tải xuống một trình cài đặt đã bị can thiệp – được phát tán thông qua một quảng cáo độc hại trên Google – qua đó làm lộ thông tin về các kỹ sư và quy trình làm việc của họ. Sau đó, vào tháng 9, một kỹ sư khác trở thành mục tiêu của kẻ tấn công giả danh nhà tuyển dụng. Kẻ này đã sắp xếp nhiều cuộc gọi và các vòng phỏng vấn, chia sẻ các trang mạng xã hội để tạo lòng tin, rồi cuối cùng dụ dỗ nạn nhân tải xuống một bài tập phỏng vấn giả mạo, thực chất là phần mềm độc hại.
Binance khẳng định rằng đội ngũ bảo mật của họ đã phát hiện phần mềm độc hại đầu tiên vào tháng 6 và thay thế thiết bị của nhân viên đó. Tuy nhiên, các công cụ bảo mật lại không phát hiện được cuộc tấn công thứ hai. Trong đó, tệp thực thi `pyenv` đã bị xóa và thay thế bằng một phiên bản độc hại, tạo ra "cửa sau" (backdoor) cho phép kẻ tấn công truy cập vào hệ thống:
Phần mềm độc hại này sử dụng các kỹ thuật che giấu và né tránh tinh vi, bao gồm việc thay thế một thành phần công cụ phát triển hợp lệ bằng phiên bản độc hại để thực thi các lệnh và thiết lập kết nối với máy chủ bên ngoài do kẻ tấn công kiểm soát. Tại thời điểm đó, loại phần mềm độc hại "zero-day" (chưa từng được biết đến trước đây) này đã không bị các công cụ bảo mật điểm cuối (endpoint security) phát hiện. Kẻ tấn công cũng thực hiện các bước để che đậy hành vi độc hại và xóa dấu vết xâm nhập, khiến việc phát hiện cũng như quá trình điều tra sau đó trở nên khó khăn hơn.
Theo thông tin từ Binance, đến ngày 20 tháng 10, nhóm tin tặc – được FBI xác định là một đơn vị từ Triều Tiên có tên "TraderTraitor" – đã sử dụng chính công cụ AI nội bộ của Binance để giành quyền kiểm soát các ví điện tử của kỹ sư bị xâm nhập từ tháng 6, cũng như của một nhân viên thứ ba. Sau đó, vào ngày 29 tháng 10, chúng đã đăng nhập vào máy tính của nhân viên thứ ba này để thực hiện cuộc tấn công.
Báo cáo cũng giải thích lý do tại sao Binance không thể ngăn chặn các giao dịch diễn ra gần hai giờ sau những lần chuyển tiền trái phép đầu tiên: "Do ví nóng (hot wallet) sử dụng công nghệ Tính toán đa bên (Multi-Party Computation - MPC), nên không có khóa cá nhân (private key) duy nhất nào có thể được dùng để ngay lập tức thu hồi các ủy quyền EIP-7702 độc hại đó."
Binance cho biết họ đã ngăn chặn 57 vụ tấn công mạng nghi có liên quan đến Triều Tiên. CEO Richard Teng khẳng định không người dùng nào phải chịu tổn thất, với khoảng 2,85 tỷ USD tài sản bị đánh cắp đã được phong tỏa hoặc chặn lại. Ông cho biết: “Hiện tại, 98% số token bị ảnh hưởng đã được hoàn trả; chúng tôi đang hoàn tất phần 2% còn lại. Các giao dịch rút tiền về cơ bản đã hoạt động trở lại.”
Tuy nhiên, điều chưa rõ ràng là tại sao cuộc tấn công cụ thể này lại thành công. Từ lâu, giới chuyên gia đã cảnh báo về rủi ro trong các buổi phỏng vấn xin việc, khi ứng viên được yêu cầu tải xuống và chạy mã trên các thiết bị có quyền truy cập vào dữ liệu của nhà tuyển dụng. Ngoài ra, thông tin về “công cụ AI nội bộ” mà những kẻ tấn công sử dụng — cũng như lý do tại sao công cụ này lại hỗ trợ chúng thực hiện hành vi tấn công — vẫn còn rất mơ hồ.
Báo cáo phân tích sự cố từ công ty cho biết, quá trình này bắt đầu vào tháng 6 khi một lập trình viên tải xuống một trình cài đặt đã bị can thiệp – được phát tán thông qua một quảng cáo độc hại trên Google – qua đó làm lộ thông tin về các kỹ sư và quy trình làm việc của họ. Sau đó, vào tháng 9, một kỹ sư khác trở thành mục tiêu của kẻ tấn công giả danh nhà tuyển dụng. Kẻ này đã sắp xếp nhiều cuộc gọi và các vòng phỏng vấn, chia sẻ các trang mạng xã hội để tạo lòng tin, rồi cuối cùng dụ dỗ nạn nhân tải xuống một bài tập phỏng vấn giả mạo, thực chất là phần mềm độc hại.
Binance khẳng định rằng đội ngũ bảo mật của họ đã phát hiện phần mềm độc hại đầu tiên vào tháng 6 và thay thế thiết bị của nhân viên đó. Tuy nhiên, các công cụ bảo mật lại không phát hiện được cuộc tấn công thứ hai. Trong đó, tệp thực thi `pyenv` đã bị xóa và thay thế bằng một phiên bản độc hại, tạo ra "cửa sau" (backdoor) cho phép kẻ tấn công truy cập vào hệ thống:
Phần mềm độc hại này sử dụng các kỹ thuật che giấu và né tránh tinh vi, bao gồm việc thay thế một thành phần công cụ phát triển hợp lệ bằng phiên bản độc hại để thực thi các lệnh và thiết lập kết nối với máy chủ bên ngoài do kẻ tấn công kiểm soát. Tại thời điểm đó, loại phần mềm độc hại "zero-day" (chưa từng được biết đến trước đây) này đã không bị các công cụ bảo mật điểm cuối (endpoint security) phát hiện. Kẻ tấn công cũng thực hiện các bước để che đậy hành vi độc hại và xóa dấu vết xâm nhập, khiến việc phát hiện cũng như quá trình điều tra sau đó trở nên khó khăn hơn.
Theo thông tin từ Binance, đến ngày 20 tháng 10, nhóm tin tặc – được FBI xác định là một đơn vị từ Triều Tiên có tên "TraderTraitor" – đã sử dụng chính công cụ AI nội bộ của Binance để giành quyền kiểm soát các ví điện tử của kỹ sư bị xâm nhập từ tháng 6, cũng như của một nhân viên thứ ba. Sau đó, vào ngày 29 tháng 10, chúng đã đăng nhập vào máy tính của nhân viên thứ ba này để thực hiện cuộc tấn công.
Báo cáo cũng giải thích lý do tại sao Binance không thể ngăn chặn các giao dịch diễn ra gần hai giờ sau những lần chuyển tiền trái phép đầu tiên: "Do ví nóng (hot wallet) sử dụng công nghệ Tính toán đa bên (Multi-Party Computation - MPC), nên không có khóa cá nhân (private key) duy nhất nào có thể được dùng để ngay lập tức thu hồi các ủy quyền EIP-7702 độc hại đó."
Binance cho biết họ đã ngăn chặn 57 vụ tấn công mạng nghi có liên quan đến Triều Tiên. CEO Richard Teng khẳng định không người dùng nào phải chịu tổn thất, với khoảng 2,85 tỷ USD tài sản bị đánh cắp đã được phong tỏa hoặc chặn lại. Ông cho biết: “Hiện tại, 98% số token bị ảnh hưởng đã được hoàn trả; chúng tôi đang hoàn tất phần 2% còn lại. Các giao dịch rút tiền về cơ bản đã hoạt động trở lại.”
Tuy nhiên, điều chưa rõ ràng là tại sao cuộc tấn công cụ thể này lại thành công. Từ lâu, giới chuyên gia đã cảnh báo về rủi ro trong các buổi phỏng vấn xin việc, khi ứng viên được yêu cầu tải xuống và chạy mã trên các thiết bị có quyền truy cập vào dữ liệu của nhà tuyển dụng. Ngoài ra, thông tin về “công cụ AI nội bộ” mà những kẻ tấn công sử dụng — cũng như lý do tại sao công cụ này lại hỗ trợ chúng thực hiện hành vi tấn công — vẫn còn rất mơ hồ.
