Rekordní krádež krypta za 130 miliard korun způsobily falešné pracovní pohovory
Největší krádež v historii kryptoměn nezačala sofistikovaným prolomením šifer, ale nabídkou práce. Binance zveřejnila rozbor útoku za 6,3 miliardy dolarů. Severokorejští hackeři si podle něj vytipovali inženýry burzy, jednoho z nich pozvali na falešný pohovor a nechali ho stáhnout zamořený „zkušební úkol“.
Kryptoměnová burza Binance v úterý zveřejnila podrobnou zprávu o útoku z 29. října, při kterém přišla o kryptoměny v hodnotě zhruba 6,3 miliardy dolarů, tedy přes 130 miliard korun. Jde o největší krádež v historii kryptoměn. Klíčovou roli v ní podle burzy sehrál starý trik v novém kabátě: falešné přijímací pohovory.
„Nešlo o jediný izolovaný průnik ani o obyčejný phishing,“ píše Binance. Útočníci podle ní celou akci připravovali několik měsíců a kombinovali sociální inženýrství, škodlivý software a zneužití interních nástrojů s umělou inteligencí. Americká FBI o víkendu útok připsala skupině TraderTraitor, která je napojená na severokorejskou Lazarus Group. Sestra severokorejského vůdce Kim Jo-čong obvinění odmítla jako „absurdní rétoriku“.
Jak útok probíhal
| Kdy | Co se stalo |
|---|---|
| červen | Inženýr burzy si při instalaci nástroje pro programování s AI stáhl podvržený instalátor z internetové reklamy. Bezpečnostní tým malware zachytil a počítač vyměnil, útočníci ale už věděli, kdo v Binance spravuje peněženky. |
| září | Jiného inženýra přes běžný pracovní portál oslovil falešný „projektový ředitel“. Následovaly dva pohovory a na konci „zkušební úkol“ k domácímu vypracování. |
| po pohovoru | Zadání obsahovalo malware, který se spustil na pracovním počítači inženýra, podvrhl součást vývojářského nástroje a nenápadně se spojil se serverem útočníků. |
| 20. října | Přes napadený počítač a interní AI nástroj se útočníci dostali k počítačům dalších vývojářů peněženek a našli přístupový token k nasazování serverových aplikací. |
| 29. října | S ukradenými přístupy spustili skript, který během zhruba dvaceti minut vyprázdnil horké peněženky burzy na deseti blockchainech. |
Pohovor jako z učebnice
Falešný nábor byl podle zprávy připravený do detailu. Údajný projektový ředitel měl profil, který odkazoval na zkušenosti z Binance. V prvním kole proběhl videohovor s „personalistou“, který inženýrovi sdílel svůj účet na sociální síti plný osobních fotek a videí, aby působil důvěryhodně. Druhé kolo vedl přes chatovací aplikaci údajný ředitel fiktivní firmy. Na konci inženýra požádal, ať si stáhne repozitář se zadáním a vypracuje ho. Stačilo projekt na pracovním počítači nastavit a malware se spustil. Firemní antivirové nástroje ho zpočátku neodhalily.
Binance uvádí, že zaměstnanci na citlivých pozicích nesmějí mít profily na LinkedInu. Zda inženýr toto pravidlo porušil, burza neupřesnila. Letos podle ní odvrátila 57 pokusů o útok spojených se Severní Koreou. „Tohle se nemělo stát a omlouváme se za obavy, výpadky a nejistotu, které to způsobilo,“ napsala firma.
Co se stalo s penězi
Výběry byly zhruba 48 hodin pozastavené a v sobotu je burza obnovila. Emitenti stablecoinů Tether a Circle zmrazili část ukradených prostředků, celkem se podle dostupných údajů podařilo zablokovat nebo zachytit kolem 2,5 až 2,85 miliardy dolarů. Binance tvrdí, že klientské prostředky jsou v bezpečí a 98 procent ukradených mincí doplnila z vlastních rezerv. Zbylá dvě procenta v méně obchodovaných tokenech ještě dorovnává.
Zbytek lupu severokorejští hackeři podle analytiků perou přes směnárny, mixéry a převody mezi blockchainy, stejně jako u dřívějších útoků. Severní Korea podle odhadů OSN a analytických firem financuje krádežemi kryptoměn podstatnou část svého zbrojního programu. Jen loni její hackeři podle Chainalysis ukradli kolem dvou miliard dolarů, z toho 1,5 miliardy při útoku na burzu Bybit.
Týká se to i běžných lidí
Falešné pracovní nabídky nejsou jen problém kryptoburz. Severokorejské skupiny je dlouhodobě používají proti vývojářům, správcům systémů i drobným investorům. Oběť dostane lákavou nabídku, často s nadprůměrným platem a práci na dálku, a v průběhu „náboru“ si stáhne program, aplikaci pro videohovor nebo testovací úkol, který obsahuje malware. Ten pak krade hesla, přístupy k firemním systémům nebo rovnou kryptoměny z peněženek v počítači.
- Nespouštějte kód ani programy od neznámých „náborářů“, zvlášť ne na pracovním počítači nebo tam, kde máte kryptopeněženku. Zkušební úkol si případně otevřete jen v izolovaném prostředí.
- Ověřte firmu i člověka jinou cestou než přes kontakty, které vám sám poslal. Podezřelé je, když pohovor rychle přejde do chatovací aplikace nebo vás tlačí k instalaci speciálního softwaru.
- Programy stahujte jen z oficiálních stránek, ne přes odkazy z reklam ve vyhledávači.
- Neříkejte na sociálních sítích, kde pracujete s citlivými systémy nebo kolik máte v kryptoměnách. Útočníci si oběti vybírají právě podle veřejných profilů.
- Větší částky v kryptoměnách držte v hardwarové peněžence, ne v aplikaci v počítači, který používáte i na všechno ostatní.
Zdroje: BBC, The Register, Fortune, Nextgov, Binance. Nejde o investiční doporučení.