Binance ha diffuso i primi elementi sulle modalità impiegate dal gruppo TraderTraitor per sottrarre circa 6,3 miliardi di dollari in criptovalute. L’ingresso negli hot wallet dell’exchange si è sviluppato in quattro fasi, a cominciare dal mese di giugno, attraverso due strategie: supply chain e ingegneria sociale.
Il punto di partenza è stato un ingegnere (A), che ha scaricato una versione compromessa di Homebrew, il package manager per macOS, per installare un tool AI di programmazione. L’alterazione del software ha aperto la strada ai cybercriminali nordcoreani: si tratta di un attacco alla catena di fornitura, perché il codice malevolo è arrivato tramite un programma apparentemente legittimo.
Circa tre mesi più tardi, un secondo ingegnere (B) è stato coinvolto in un falso colloquio di lavoro su LinkedIn, presentato come un contatto con il responsabile delle risorse umane dell’azienda. In seguito, un presunto CEO lo ha raggiunto attraverso un’app di messaggistica e lo ha invitato a scaricare un repository contenente codice infetto. Il malware ha quindi collegato il computer dell’ingegnere B al server dei criminali, stabilendo una backdoor.
Il 20 ottobre, i cybercriminali hanno utilizzato proprio quel computer e un tool AI interno per assumere il controllo delle macchine dell’ingegnere A e di un terzo ingegnere (C). Questo passaggio rientra nell’ingegneria sociale: le persone sono state il tramite per raggiungere dispositivi e credenziali aziendali.
Il 29 ottobre è avvenuta l’operazione decisiva. I criminali hanno acceduto al computer dell’ingegnere C, utilizzato le credenziali rubate all’ingegnere A per entrare negli hot wallet e avviato lo script destinato al trasferimento delle criptovalute. Binance ha quindi adottato misure di contenimento e ripristino.
«Binance afferma di aver coperto il 98% delle perdite e che circa 2,85 miliardi di dollari sono stati congelati o intercettati.» «L’indagine è ancora in corso e i risultati verranno sottoposti a revisione esterna.» «Binance ha revocato credenziali e token, sostituito i dispositivi compromessi e rafforzato i controlli.»
