Binance เปิดเผยรายละเอียดว่าการสัมภาษณ์งานปลอมนำไปสู่การโจรกรรมมูลค่า 6.34 พันล้านดอลลาร์ได้อย่างไร

Binance กล่าวเมื่อวันอังคารว่าการโจรกรรมมูลค่า 6.34 พันล้านดอลลาร์มีจุดเริ่มต้นจากการสัมภาษณ์งานปลอม โดยผ่านไปห้าเดือนก่อนที่จะมีการเคลื่อนย้ายเงินทุนใดๆ นี่เป็นการเปิดเผยต่อสาธารณะครั้งแรกของแพลตฟอร์มซื้อขายเกี่ยวกับการโจมตีเมื่อวันที่ 29 ต.ค.

Binance ยังเผยแพร่รายงานเหตุการณ์เบื้องต้น ควบคู่กับการแถลงข่าวต่อสื่อโดยริชาร์ด เต็ง ซีอีโอร่วม และจิมมี่ ซู ประธานเจ้าหน้าที่ฝ่ายความมั่นคงปลอดภัย ซึ่งบรรยายถึงแคมเปญที่รวมถึงการดาวน์โหลดซอฟต์แวร์ที่ถูกวางยา กระบวนการสรรหาที่ถูกจัดฉาก มัลแวร์ที่เล็ดรอดการตรวจจับเอนด์พอยต์ และเครื่องมือ AI ภายในที่ถูกนำมาใช้โจมตีวิศวกรวอลเล็ตของบริษัทเอง

สินทรัพย์ที่ถูกขโมยประมาณ 2.85 พันล้านดอลลาร์ถูกแช่แข็งหรือถูกสกัดกั้น และโทเคนที่ได้รับผลกระทบ 98% ถูกเติมกลับจากเงินทุนของบริษัทเอง ส่วนที่เหลือถูกซื้อจากตลาดเปิด

เต็งเขียนบน X ว่า “นี่ไม่ใช่ความผิดพลาดครั้งเดียวหรือการเจาะครั้งเดียว แต่มันคือแคมเปญที่กินเวลาหลายเดือน เรากำลังเผยแพร่รายงานฉบับเต็มเพราะบทเรียนนี้ไปไกลเกินกว่า Binance”

FBI เชื่อมโยงการโจมตีครั้งนี้กับเกาหลีเหนือ รายงานของ Binance กล่าวถึงข้อสรุปดังกล่าวโดยไม่รับรอง เมื่อวันจันทร์ เปียงยางปฏิเสธข้อกล่าวหาดังกล่าว โดยคิม โย จอง น้องสาวของผู้นำคิม จอง อึน เรียกข้อกล่าวหานี้ว่า “การยั่วยุทางการเมืองอย่างร้ายแรง” ในสื่อของรัฐ

การเตรียมการห้าเดือนเกิดขึ้นก่อนการโจรกรรม Binance

ตามที่ Binance ระบุ จุดตั้งหลักแรกเกิดขึ้นในเดือนมิถุนายน วิศวกร DevOps ด้านวอลเล็ตคนหนึ่งค้นหาเครื่องมือเขียนโค้ด AI ยอดนิยม และติดตั้งตัวติดตั้ง Homebrew ที่ถูกดัดแปลง

ทีมความมั่นคงปลอดภัยของ Binance สังเกตเห็นความผิดปกติ จึงเปลี่ยนอุปกรณ์และหมุนเวียนข้อมูลรับรอง อย่างไรก็ตาม เหตุการณ์ดังกล่าวเผยให้เห็นบทบาทของวิศวกรและชื่อของเพื่อนร่วมงานในทีมโครงสร้างพื้นฐานวอลเล็ต

ในเดือนกันยายน วิศวกรอีกคนถูกติดต่อผ่านแพลตฟอร์มการสรรหาบุคลากรที่แท้จริงโดยบุคคลที่แนะนำตัวว่าเป็นผู้อำนวยการโครงการ ตามด้วยการสัมภาษณ์ทางวิดีโอกับบุคคลที่อ้างว่าเป็นตัวแทนฝ่ายทรัพยากรบุคคล โดยระหว่างการสัมภาษณ์ ผู้สัมภาษณ์ได้แชร์บัญชีโซเชียลมีเดียส่วนตัวเพื่อสร้างความน่าเชื่อถือ บทสนทนาครั้งที่สองกับบุคคลที่อ้างว่าเป็นซีอีโอจบลงด้วย “งานที่ได้รับมอบหมาย” นั่นคือโค้ดรีโพซิทอรีที่วิศวกรถูกสั่งให้ติดตั้งบนเครื่องทำงานของเขา

รีโพซิทอรีดังกล่าวแทนที่คอมโพเนนต์ pyenv ที่ถูกต้องด้วยเวอร์ชันที่มุ่งร้าย และสร้างลิงก์ไปยังเซิร์ฟเวอร์ที่ผู้โจมตีควบคุม Binance ระบุว่าเครื่องมือเอนด์พอยต์ของบริษัทไม่พบสัญญาณของมัลแวร์ซีโรเดย์ในขณะนั้น

เมื่อวันที่ 20 ต.ค. ผู้บุกรุกใช้เครื่องดังกล่าวและเครื่องมือ AI ภายในเพื่อเข้าถึงวิศวกรวอลเล็ตอีกสองคน โดยหนึ่งในนั้นมีโทเคนสำหรับปรับใช้คอนเทนเนอร์ เมื่อวันที่ 29 ต.ค. ระหว่างเวลา 17:15 ถึง 19:56 UTC พวกเขาเข้าไปในคอมพิวเตอร์ของวิศวกรคนที่สาม ใช้ข้อมูลรับรองที่ขโมยมาเพื่อปรับใช้คอนเทนเนอร์ และเริ่มระบายเงินออก Binance ระบุว่าได้สกัดกั้นความพยายามอื่นอีก 57 ครั้งที่ต้องสงสัยว่าเชื่อมโยงกับเกาหลีเหนือซึ่งใช้เหยื่อล่อลักษณะเดียวกันในปีนี้

การควบคุมสถานการณ์ใช้เวลาสี่ชั่วโมง

สินทรัพย์เคลื่อนย้ายอย่างรวดเร็ว ระหว่างเวลา 20:05 ถึง 20:09 UTC ฮอตวอลเล็ตห้าแห่งส่ง XRP 233.46 ล้านไปยังที่อยู่ของผู้โจมตี จากนั้นวอลเล็ต Solana และ Optimism เคลื่อนย้าย SOL ประมาณ 970,500 และ OP 44.2 ล้าน และฮอตวอลเล็ตของ Binance แห่งหนึ่งส่ง BTC 18,270

ผู้โจมตีใช้บริการลงนามที่ถูกบุกรุกเพื่อเปิดใช้ EIP-7702 ของ Ethereum ซึ่งอนุญาตให้บัญชีมอบสิทธิ์การดำเนินการให้แก่สมาร์ทคอนแทรกต์โดยไม่ต้องเปิดเผยคีย์ และมอบการควบคุมบางส่วนของฮอตวอลเล็ต Binance ให้แก่คอนแทรกต์ที่ผู้โจมตีควบคุม

การระงับการถอนเงินไม่ได้ปิดเส้นทางสุดท้ายนั้น ผู้โจมตีได้ยื่นธุรกรรมการลงนาม 50 รายการแล้วเพื่อตั้งค่าการมอบสิทธิ์บนเชนที่ทำงานอยู่นอกโครงสร้างพื้นฐานการถอนเงินของ Binance เนื่องจากวอลเล็ตใช้การคำนวณแบบหลายฝ่าย จึงไม่มีคีย์เดียวที่จะเพิกถอนการมอบสิทธิ์เหล่านั้นได้ ทำให้ทีมต้องสร้างขั้นตอนการทำงานขึ้นมาเฉพาะหน้า การโอนโดยไม่ได้รับอนุญาตครั้งสุดท้าย จำนวน 2,961.9 ETH เสร็จสิ้นเมื่อเวลา 23:56 UTC

การมอบสิทธิ์ดังกล่าวถูกเคลียร์โดย Binance เมื่อเวลา 00:10 UTC ของวันที่ 30 ต.ค.

รายงานยอมรับปัญหาดังกล่าว รายงานระบุว่า “ความท้าทายเหล่านี้ทำให้เวลาที่ต้องใช้ในการควบคุมการเคลื่อนย้ายสินทรัพย์ที่ไม่ได้รับอนุญาตอย่างเต็มที่นานขึ้น” และกล่าวต่อไปว่าบริษัทกำลังทบทวนความครอบคลุมของนโยบายการลงนามและการควบคุมฮอตวอลเล็ต

ลูกค้าถอนเงินออก 10.97 พันล้านดอลลาร์ใน 46 ชั่วโมงหลังการถอนเงินกลับมาเปิดอีกครั้งเมื่อวันอาทิตย์ ทำให้มีเงินไหลออกสุทธิ 5.28 พันล้านดอลลาร์ ตามข้อมูลที่เต็งแชร์เมื่อวันอังคาร ภายในเวลา 03:00 UTC ยอดฝากรายชั่วโมงแซงหน้ายอดถอน ซึ่งเต็งเรียกว่าเป็นสัญญาณของการทรงตัว เมื่อวันอังคาร Binance กลับมาเปิดการถอนเงินสำหรับสินทรัพย์อีกหลายสิบรายการในเก้าเครือข่าย

การเจาะระบบครั้งนี้กลายเป็นหัวข้อถกเถียงในวอชิงตัน ไมเคิล เซลิก ประธาน CFTC กล่าวว่าการแฮกครั้งนี้ “พิสูจน์ประเด็นของเราอย่างตรงจุด” เกี่ยวกับความจำเป็นต้องมีเส้นทางการจดทะเบียนระดับรัฐบาลกลางสำหรับแพลตฟอร์มซื้อขายนอกประเทศ และหน่วยงานดังกล่าวเมื่อวันอังคารอนุมัติฟิวเจอร์สเพอร์เพชชวลอ้างอิงหุ้นสำหรับศูนย์ซื้อขายที่อยู่ภายใต้การกำกับดูแลของสหรัฐฯ ซึ่งขยายการผลักดันให้ย้ายกลับเข้ามาในประเทศที่เริ่มต้นจากบิตคอยน์เพอร์เพชชวลของ Kalshi ในเดือนพฤษภาคม

Binance ระบุว่าระบบวอลเล็ตและเครื่องมือ AI ภายในได้รับการสร้างขึ้นใหม่ในสภาพแวดล้อมใหม่ อุปกรณ์ที่ได้รับผลกระทบถูกเปลี่ยน ข้อมูลรับรองของวิศวกรถูกเพิกถอน และการตรวจจับความผิดปกติเชิงพฤติกรรมถูกขยายขอบเขต

อยู่ระหว่างการมอบหมายให้มีการตรวจสอบอย่างอิสระ กำลังเพิ่มการใช้จ่ายด้านความมั่นคงปลอดภัยของเอนด์พอยต์และสภาพแวดล้อมสำหรับนักพัฒนา และกำลังนำบริษัทภายนอกเข้าร่วมกองทุนวิจัยด้านความมั่นคงปลอดภัย AI ที่วางแผนไว้ รายงานระบุว่ารายละเอียดทางเทคนิคบางประการจะยังคงเป็นความลับ