Resumen:
Los últimos detalles de la investigación divulgados por Binance, el mayor intercambio de criptomonedas del mundo, muestran que el ciberataque que resultó en el robo de 6.300 millones de dólares en criptoactivos no fue una operación repentina, sino una operación de penetración de ingeniería social cuidadosamente planificada que duró varios meses. De hecho, los investigadores de seguridad han estado advirtiendo a la industria sobre ataques similares durante años, pero este incidente, que estableció el récord del mayor robo en la historia de la industria de las criptomonedas, aún así ocurrió.
Según la última descripción publicada por Binance el 3 de noviembre, los piratas informáticos norcoreanos se hicieron pasar por reclutadores y se pusieron en contacto con un ingeniero de software responsable del negocio de billeteras a través de una identidad falsa en las redes sociales. Después de dos rondas de procesos de entrevistas aparentemente normales, la otra parte le pidió al ingeniero que descargara la llamada tarea de prueba de programación. Sin embargo, había un código malicioso oculto en este documento, que una vez ejecutado con éxito invadió las computadoras de la empresa utilizadas por los empleados, y las herramientas de seguridad existentes de Binance no pudieron detectar el malware relacionado.
Después de que los piratas informáticos obtuvieron acceso inicial, utilizaron los sistemas internos de la empresa para ampliar sus resultados. Obtuvieron acceso a un conjunto interno de herramientas que les permitió controlar de forma remota las computadoras de otros empleados y, al hacerlo, se hicieron cargo de los dispositivos de otros dos ingenieros del equipo de billetera.
La investigación reveló que uno de los ingenieros descargó por error una aplicación manipulada mientras buscaba software hace varios meses, lo que resultó en la implantación de malware para robar contraseñas en el dispositivo. Aunque Binance luego reemplazó la computadora infectada, los piratas informáticos continuaron sus actividades utilizando las credenciales previamente robadas y finalmente comprometieron el dispositivo de un tercer ingeniero. El trabajo del empleado tenía acceso a sistemas críticos que administraban miles de millones de dólares en criptoactivos, preparando el escenario para el eventual robo.
Binance admitió en un comunicado que el incidente "no debería haber ocurrido" y dijo que la compañía había reforzado las medidas de seguridad de la red después del incidente. Afectado por el ataque, Binance suspendió temporalmente los servicios de retiro para los clientes de la plataforma la semana pasada.
El FBI y la agencia de investigación blockchain han atribuido el ataque a Corea del Norte. En los últimos años, Corea del Norte ha sido acusada de robar repetidamente criptoactivos a gran escala para financiar su programa de armas nucleares, que está sujeto a sanciones internacionales.
Este incidente pone de relieve una vez más las tácticas utilizadas por los hackers norcoreanos durante mucho tiempo. Los investigadores de ciberseguridad han estado advirtiendo durante años que los grupos de ataque norcoreanos a menudo se hacen pasar por empresas de capital de riesgo, inversores, consultores de reclutamiento y trabajadores de TI remotos, utilizando información de identidad de ciudadanos estadounidenses robada para establecer una imagen creíble y engañar a los objetivos para que abran los permisos del sistema.
De hecho, este tipo de método de ataque se conoce desde hace mucho tiempo en la industria de las criptomonedas. El gobierno de Estados Unidos y muchas grandes empresas de ciberseguridad han emitido múltiples advertencias en los últimos años. Datos relevantes muestran que casi la mitad de las intrusiones en la red que ocurrieron en la industria tecnológica estadounidense el año pasado se atribuyeron a piratas informáticos norcoreanos que se hacían pasar por empleados remotos de TI o reclutadores falsos.
Según los datos revelados por Binance, la compañía ha registrado anteriormente al menos 57 intentos de ataque que se sospecha provienen de Corea del Norte. Binance dijo que esto ilustra plenamente la continua amenaza que representan los grupos de ataque de los estados-nación contra la industria de las criptomonedas.
Sin embargo, es posible que los investigadores aún se centren en dos preguntas clave en el futuro: cómo los piratas informáticos lograron persuadir a los empleados para que descargaran programas maliciosos cuando dichos métodos de ataque han sido ampliamente expuestos; y por qué la red interna de Binance no logró impedir eficazmente que los atacantes penetraran más lateralmente y obtuvieran mayores privilegios.
Los analistas señalaron que aunque el caso demostró una vez más que los hackers norcoreanos son buenos aprovechando las oportunidades de reclutamiento y las tentaciones de desarrollo profesional para llevar a cabo ataques de ingeniería social, las empresas también tienen importantes responsabilidades. Las empresas no sólo necesitan mejorar la concientización sobre la seguridad de los empleados, sino que también deben garantizar que los sistemas internos no puedan ejecutar software no autorizado o que no sea de confianza a voluntad, y reducir técnicamente el riesgo de que un único punto de falla se convierta en un incidente de seguridad importante.
Con respecto a los detalles específicos del incidente, el portavoz de Binance, Ross O'Leary, se negó a responder más a las preguntas de los medios sobre los mecanismos de protección de terminales de los empleados, las restricciones de ejecución de códigos maliciosos y si se realizó una auditoría de seguridad de la red de terceros antes del incidente. Solo afirmó que la empresa invitará a expertos externos en seguridad a participar en la investigación y ha implementado nuevas medidas de protección para evitar que incidentes similares vuelvan a ocurrir.
Actualmente, este robo de 6.300 millones de dólares sigue siendo el mayor robo en la historia de las criptomonedas.
Comentarios