Binance ha fornito i primi dettagli sulle tecniche utilizzate dal gruppo TraderTraitor per rubare circa 6,3 miliardi di dollari in criptovalute. L’accesso agli hot wallet dell’exchange è avvenuto in quattro fasi a partire dal mese di giugno, sfruttando due tipi di attacco: supply chain e ingegneria sociale.
Due ingegneri sono caduti nella trappola
Binance sottolinea innanzitutto di aver coperto il 98% delle perdite e che circa 2,85 miliardi di dollari sono stati congelati o intercettati. L’indagine è ancora in corso e i risultati verranno sottoposti a revisione esterna, ma sono stati svelati molti dettagli sulle tecniche usate dai cybercriminali nordcoreani. L’attacco è iniziato nel mese di giugno, quando un ingegnere (A) ha scaricato una versione compromessa di Homebrew (noto package manager per macOS) per installare un tool AI di programmazione. Questo è un classico attacco supply chain.
Circa tre mesi dopo, un altro ingegnere (B) è stato contattato per un colloquio di lavoro (tramite LinkedIn) da un presunto responsabile delle risorse umane. Successivamente è stato contattato dal presunto CEO dell’azienda tramite un’app di messaggistica. Ad un certo punto, l’ingegnere è stato invitato a scaricare un repository che conteneva codice infetto.
Il malware ha stabilito la connessione tra il computer dell’ingegnere B al server dei cybercriminali (in pratica era una backdoor). Il 20 ottobre, i cybercriminali hanno utilizzato il computer dell’ingegnere B e un tool AI interno per ottenere il controllo del computer dell’ingegnere A e di un altro ingegnere (C). Questo è invece un tradizionale attacco di ingegneria sociale.
Il 29 ottobre, i cybercriminali hanno effettuato l’accesso al computer dell’ingegnere C, usato le credenziali rubate all’ingegnere A per accedere agli hot wallet ed eseguito lo script per trasferire le criptovalute. Binance ha ovviamente revocato credenziali e token, sostituito i dispositivi compromessi e rafforzato i controlli.
Ti potrebbe interessare
3 nov 2026