Kako se je začel vdor v Binance: lažni prenos in lažni razgovor za službo

Ko smo poročali o vdoru v Binance 29. oktobra, je eno vprašanje ostalo odprto: kako so napadalci prišli noter? Binance je 3. novembra objavil svoj prvi podroben opis dogodkov. Po tem opisu se napad ni začel s pokvarjeno kodo, temveč z lažnim prenosom in lažnim razgovorom za službo. Tukaj je, kaj se je po navedbah Binancea zgodilo in kaj si lahko iz tega vzame vsakdo.

Ključne točke: kako se je začel vdor v Binance?

• Binance govori o »večmesečni kampanji«, ne o eni napaki ene osebe.
• Junija je inženir med iskanjem priljubljenega orodja za programiranje z umetno inteligenco prenesel prirejeno različico.
• Septembra so lažni kadroviki drugemu inženirju dali programersko nalogo s skrito zlonamerno programsko opremo.
• Napadalci so se nato premikali med računalniki zaposlenih, dokler niso prišli do sistema, ki je odobraval transakcije denarnic.
• To je večinoma opis samega Binancea. Pregleduje ga zunanje varnostno podjetje.
• Enake zvijače se uporabljajo proti običajnim ljudem: lažni prenosi, lažne ponudbe in napačno zaupanje.

Kako so napadalci prišli noter?

Binance je sprva dejal, da incident »morda vključuje vdrt prenosnik inženirja DevOps«. Njegov sodirektor Richard Teng zdaj zavrača misel o eni sami šibki točki in pravi, da so napadalci »mesece gradili svojo pot noter«. Po poročanju CNBC in The Record Binance opisuje štiri faze:

• Junij: lažni prenos. Inženir Binancea je prenesel prirejen instalacijski program, da bi »namestil priljubljeno orodje za programiranje z umetno inteligenco, potem ko ga je poiskal v spletnem iskalniku«. Binance je to opazil, zamenjal računalnik in spremenil prijavne podatke. Pravi pa, da so napadalci do takrat že izvedeli za vlogo inženirja in njegove sodelavce v ekipi za denarnice.
• September: lažni razgovor za službo. Napadalci so se »izdajali za kadrovike in z drugim inženirjem opravili več razgovorov«, je Teng povedal za CNBC. Na koncu je sledila programerska naloga, ki je vsebovala »skrito zlonamerno programsko opremo, zasnovano tako, da se izogne varnostnim sistemom«.
• Do 20. oktobra: premikanje znotraj podjetja. Napadalci so se razširili na druge računalnike zaposlenih, je poročal The Record. Teng pravi, da so prek notranjih orodij umetne inteligence prišli do »sistema, ki je odobraval naše transakcije denarnic«.
• 29. oktober: kraja. Za prve prenose je bila uporabljena notranja storitev za podpisovanje transakcij denarnic, je poročal The Record, sledila sta prenos bitcoina v vrednosti 1,4 milijarde $ in še 50 drugih transakcij. Binance skupni znesek ocenjuje na 6,34 milijarde $.

Binance je že prej povedal, da ni našel dokazov o uhajanju zasebnih ključev denarnic. Zasebni ključ je skrivna koda, ki nadzoruje denarnico. Po tem opisu torej napadalcem ključev ni bilo treba ukrasti. Prišli so v sistem, ki jih je smel uporabljati.

Česa še ne vemo?

Večina tega izvira od samega Binancea. Pravi, da je prizadete sisteme na novo zgradil in najel varnostno podjetje za pregled incidenta, ta pregled pa še ni objavljen. FBI pravi, da je odgovorna Severna Koreja. Severna Koreja to zanika, Teng pa napadalca sam ni imenoval. Binance pravi, da je 98 % prizadetih sredstev nadomestil z lastnim denarjem.

Zakaj je to pomembno, tudi če niste inženir?

Sistema denarnic ne upravljate. A prvi koraki tega napada bi delovali skoraj pri vsakomer, saj ne ciljajo na tehnologijo, temveč na navade:

• Zaupanje rezultatu iskanja. Ameriška zvezna komisija za trgovino (FTC) opozarja, da prevaranti »objavljajo lažne oglase za programsko opremo na družbenih omrežjih in v spletnih iskalnikih«.
• Zaupanje priložnosti. Ponudba za službo, testna naloga ali naložbeno orodje so lahko razlog, da odprete datoteko, ki bi jo sicer prezrli.
• Zaupanje skozi čas. Vsaka prevara vas ne priganja. Ti napadalci so najprej opravili več razgovorov.

Kako prepoznate lažno e-pošto ali sporočilo?

Lažno predstavljanje (phishing) je sporočilo, ki se izdaja za nekoga, ki mu zaupate, da bi kliknili, plačali ali delili skrivnost. Nasveti FTC in ameriške agencije za kibernetsko varnost CISA se skrčijo na te znake:

• Pritisk: nujen ton ali hude posledice, če se ne odzovete takoj.
• Zahteva po skrivnostih: vaša prijava, plačilni podatki, osebni podatki ali koda.
• Čuden naslov: pošiljatelj ali povezava z eno spremenjeno črko ali skrajšana povezava.
• Presenečenje: težava z računom, račun, vračilo ali nagrada, ki je niste pričakovali.
• Priponka, ki je niste zahtevali: FTC opozarja, da lahko namesti zlonamerno programsko opremo, torej programe, narejene za škodo.

Dober pravopis ne dokazuje ničesar: CISA opozarja, da lahko umetna inteligenca napiše brezhibna sporočila. In po besedah FTC »zakonita podjetja ne bodo po e-pošti ali SMS-u poslala povezave za posodobitev vaših plačilnih podatkov.«

Kaj storiti in česa ne?

• Prenašajte iz vira. Uporabite uradno trgovino z aplikacijami ali sami vtipkajte naslov spletnega mesta. Ne klikajte oglasov za programsko opremo.
• Ne odpirajte in ne zaganjajte datotek neznancev, tudi če gre za testno nalogo za službo, »priročno orodje« ali deljeno naložbeno preglednico.
• Preverite po drugi poti. Če bi sporočilo lahko bilo resnično, prezrite njegove povezave in številke. Odprite uradno aplikacijo ali poiščite kontakt na uradnem spletnem mestu.
• Posodabljajte naprave in nastavite samodejno posodabljanje varnostne programske opreme.
• Za vsak račun uporabite drugo geslo in vklopite dvostopenjsko preverjanje pristnosti (2FA), drugo preverjanje poleg gesla. CISA priporoča različice, »odporne na lažno predstavljanje«.
• Nikoli ne delite obnovitvene fraze, zasebnih ključev ali enkratnih kod. Nihče pošten jih ne potrebuje.

Kaj če ste že kliknili?

Ukrepajte hitro in ne sramujte se: te zvijače so prelisičile tudi strokovnjake. Nasvet FTC glede zlonamerne programske opreme je:

1. Prenehajte se prijavljati v spletne račune.
2. Posodobite varnostno programsko opremo ali jo namestite.
3. Zaženite pregled in odstranite, kar najde.
4. Spremenite gesla in vklopite 2FA.

Če je morda prizadet vaš kripto račun, se obrnite na ponudnika prek njegove uradne aplikacije ali spletnega mesta. Bodite previdni pri vsakomer, ki vam ponuja vračilo denarja: IC3, center FBI, takšne ponudbe imenuje »zvijača, s katero znova oškodujejo tiste, ki so denar že izgubili«.

Kaj vprašati vsakega ponudnika kriptovalut?

Ne glede na to, ali uporabljate podjetje ali sami hranite ključe, napadi merijo na ljudi in sisteme okoli ključev. Preden ponudniku zaupate, vprašajte:

• Kdo hrani ključe: to podjetje ali ločen skrbnik?
• Koliko sredstev je na spletu in kdo lahko odobri dvig?
• Ali ima dovoljenje tam, kjer živite, in čigavo?
• Kaj se zgodi z vašim denarjem po vdoru ali stečaju?

Noben odgovor tveganja ne odpravi. Pri vdoru v Bybit leta 2025 so napadalci prišli prek računalnika razvijalca pri zunanjem dobavitelju programske opreme za denarnice. Uporaba drugega podjetja tveganje premakne, ne odpravi pa ga. Več v našem članku o tem, kje borza hrani vaše kriptovalute.

Kaj si zapomniti

Analitično podjetje TRM Labs to označuje za največjo krajo kriptovalut doslej. Po opisu Binancea se je začela z rezultatom iskanja in ponudbo za službo. Obramba je redko zapletena: upočasnite, preverite po drugi poti in nikoli ne zaganjajte ali delite tistega, kar vam pošlje neznanec.

Kaj lahko storite zdaj

• Vsakdanje navade si privzgojite v našem uvodu v varnost.
• Vadite na resničnih primerih v tečaju prepoznaj prevaro.
• Spoznajte delovanje denarnic in ključev v tečaju hramba kriptovalut.

Vprašanja bralcev

Je vdor v Binance povzročil en zaposleni?

Binance pravi, da ne. Opisuje mesece dela prek računalnikov več inženirjev in notranjih orodij, nikogar posebej pa ni okrivil.

So prevare s službami tveganje tudi za običajne ljudi?

Da. Kdor mora za »testno nalogo« namestiti program ali odpreti datoteko, naj najprej sam preveri podjetje.

Je dober pravopis znak, da je sporočilo resnično?

Ne. CISA opozarja, da lahko umetna inteligenca napiše brezhibna sporočila, zato raje preverite pošiljatelja in zahtevo.

Cene kriptovalut lahko močno narastejo in padejo, zato lahko izgubite del ali ves denar, ki ste ga vložili. Kriptovalute niso zajete v zaščiti vlog. Ta članek je namenjen izobraževanju in ni finančno svetovanje.