Bezpečnost ·
Binance přišla o 6,3 miliardy dolarů: falešný Homebrew a falešný pohovor
Burza Binance 3. listopadu zveřejnila předběžnou zprávu o krádeži zhruba 6,34 miliardy dolarů. Začala falešným instalátorem Homebrew, který si inženýr stáhl při hledání AI nástroje pro programování, a pokračovala falešným pracovním pohovorem.
Binance 3. listopadu zveřejnila předběžnou zprávu o útoku, při kterém z jejích peněženek zmizelo podle zprávy zhruba 6,34 miliardy dolarů. Zdroje uvádějí mírně odlišné částky (od 6,3 do 6,4 miliardy), proto držíme údaj ze zprávy samotné burzy. Krádež proběhla 29. října, ale příprava podle Binance sahala až do června.
Prvním krokem byl inženýr z týmu Wallet DevOps. V červnu hledal na internetu oblíbený AI nástroj pro programování a stáhl si upravený instalátor Homebrew, tedy správce balíčků pro Mac. Nešlo o napadení samotného projektu Homebrew, ale o podvržený instalátor, který se dostal k obětem přes vyhledávání. Binance neuvedla, o jaký AI nástroj a jaký vyhledávač šlo.
Druhý krok přišel v září. Jiný zaměstnanec dostal v rámci falešného náborového procesu zadání s kódem, který si stáhl na pracovní počítač. Podle zprávy útočníci následně s pomocí napadeného stroje a interního AI nástroje do 20. října ovládli další dva inženýry peněženkové infrastruktury a získali přihlašovací údaje i token pro nasazování kontejnerů. FBI útok připsalo Severní Koreji, konkrétně skupině, kterou označuje jako TraderTraitor; stejnou stopu uvádějí i firmy TRM Labs a Chainalysis.
Binance uvádí, že po incidentu přestavěla systémy peněženek i zmíněný interní AI nástroj, vyměnila napadená zařízení a zneplatnila přístupy. Zpráva je předběžná, detaily se ještě mohou měnit. Pro firmy mimo kryptoměny je důležitý vzorec: útok nezačal v infrastruktuře, ale na vývojářském notebooku, a zneužil důvěru v nástroje, které si lidé sami stahují.
Co to znamená pro firmy
Česká firma nemusí hlídat miliardy, aby ji stejný scénář zasáhl: stačí vývojář, který si z vyhledávače stáhne falešný nástroj, nebo zaměstnanec, který spustí cizí kód při náborovém úkolu. Co udělat hned: instalovat vývojářské nástroje jen z oficiálních stránek a repozitářů, neotevírat zadání od uchazečů a kandidátů na pracovním stroji, oddělit vývojářské notebooky od produkčních přístupů a omezit platnost tokenů. Pokud ve firmě používáte interní AI nástroje nebo agenty, dejte jim jen minimální oprávnění a nechte kritické akce schvalovat člověkem, přesně tak stavíme AI agenty na míru. Audit přístupů, školení lidí a monitoring vám pomůže zajistit naše kybernetická bezpečnost.
Zdroje: BleepingComputer, The Star (Reuters)