Một lời mời việc làm trở thành cửa ngõ
Vụ hack Binance là chiến dịch xâm nhập nhiều giai đoạn, trong đó tin tặc dùng phần mềm độc hại và danh tính tuyển dụng giả để chiếm quyền truy cập hệ thống nội bộ, rồi can thiệp vào quy trình giao dịch của ví nóng. Đây không phải một cú đột nhập chớp nhoáng, mà là kết quả của nhiều tháng chuẩn bị và lợi dụng lòng tin trong môi trường làm việc.
Theo báo cáo ban đầu của Binance, vào tháng 9, một kỹ sư phần mềm đang tìm việc được một người tự xưng là giám đốc dự án tiếp cận trên nền tảng tuyển dụng hợp pháp. Sau các vòng phỏng vấn được dàn dựng để tạo lòng tin, kỹ sư này nhận một bài tập lập trình và tải mã nguồn về máy làm việc. Tệp chứa mã độc zero-day, có khả năng né hệ thống bảo vệ thiết bị đầu cuối. Cuộc lừa đảo tuyển dụng vì thế không nhắm vào tài khoản giao dịch của khách hàng trước tiên; nó nhắm vào một nhân viên có quyền tiếp cận hạ tầng nhạy cảm.
Mã độc giả công cụ lập trình mở rộng đường xâm nhập
Chuỗi tấn công đã có một dấu hiệu đáng ngại từ tháng 6. Một kỹ sư DevOps thuộc nhóm ví tìm công cụ AI lập trình trên mạng và tải bản cài Homebrew bị làm giả. Đây không phải bằng chứng cho thấy dự án Homebrew chính thức bị xâm nhập; theo mô tả trong báo cáo, kẻ tấn công dựng bản giả để dụ người dùng. Mã độc che giấu hoạt động bằng cách thay một thành phần trong công cụ phát triển bằng phiên bản độc hại có thể chạy lệnh.
Bản cài giả mạo và mã độc AI không đồng nghĩa mô hình AI tự có lỗ hổng. Điều đáng lo là công cụ lập trình và thói quen tải phần mềm từ kết quả tìm kiếm có thể trở thành mắt xích yếu nếu nhân viên không xác minh nguồn cài đặt. Binance phát hiện bất thường, thay thiết bị và đổi thông tin xác thực liên quan, nhưng sự cố sau đó cho thấy việc xử lý một máy bị nhiễm chưa đủ để chứng minh toàn bộ mạng nội bộ đã sạch.
Từ máy kỹ sư đến quyền ký giao dịch
Ngày 20/10, tin tặc dùng máy của kỹ sư bị nhắm qua phỏng vấn giả để lạm dụng công cụ AI nội bộ của Binance, rồi kiểm soát máy của kỹ sư DevOps và một kỹ sư thứ ba. Trên một máy, chúng tìm được mã thông báo có quyền triển khai container. Báo cáo chưa nêu tên công cụ AI, cũng không khẳng định có lỗ hổng trong chính mô hình; điểm đáng chú ý là công cụ nội bộ đã trở thành cầu nối giữa các máy và quyền truy cập nhạy cảm.
Ngày 29/10, kẻ tấn công dùng thông tin xác thực đã đánh cắp để thiết lập môi trường thực thi và chạy mã độc. Chúng khai thác EIP-7702, tính năng của Ethereum, nhằm thiết lập quyền thực hiện giao dịch trái phép đối với ví nóng. Theo các nguồn, khoảng 6,3 tỷ USD tài sản bị rút, phần lớn trong khoảng 20 phút. Tốc độ rút tiền là đoạn kết dễ thấy nhất; thất bại thực sự nằm ở chuỗi quyền truy cập đã tích tụ trước đó.
Bài học khó tránh cho bảo mật sàn crypto
Binance cho biết đã dựng lại hệ thống ví bị ảnh hưởng cùng công cụ AI nội bộ, thay các thiết bị bị xâm nhập, vô hiệu hóa thông tin xác thực và mã thông báo liên quan, đồng thời mở rộng quét bảo mật trên thiết bị nhân viên. Tuy nhiên, chính Binance nhấn mạnh kết quả vẫn là sơ bộ, cuộc điều tra tiếp tục và đánh giá độc lập chưa hoàn tất. Vì vậy, chưa nên xem các biện pháp khắc phục ban đầu là bằng chứng rằng mọi câu hỏi về phạm vi xâm nhập đã được giải đáp.
Vụ việc đặt ra vấn đề lớn hơn cho bảo mật sàn crypto: ví nóng và hệ thống ký giao dịch không thể được bảo vệ chỉ bằng cách gia cố máy chủ cuối. Tuyển dụng, phần mềm phát triển, công cụ AI nội bộ, quyền triển khai và quy trình phê duyệt đều nằm trong cùng một chuỗi rủi ro. Kết luận thẳng thắn là tin tặc không cần phá cửa chính nếu có thể khiến nhân viên tự mở một cánh cửa khác. Sức chống chịu của sàn phụ thuộc vào việc giới hạn quyền và phát hiện mối liên kết giữa các thiết bị trước khi mã độc chạm tới giao dịch.
