Buổi phỏng vấn giả là cửa ngõ vào hệ thống
Lừa đảo tuyển dụng là thủ đoạn giả danh nhà tuyển dụng để dụ ứng viên tham gia phỏng vấn, tải tệp hoặc cung cấp thông tin, qua đó đưa mã độc vào thiết bị hay chiếm quyền truy cập. Trong vụ việc tại Binance, mục tiêu là một kỹ sư phần mềm đang muốn tìm công việc mới; kẻ tấn công tiếp cận qua nền tảng tuyển dụng, đóng vai quản lý dự án rồi tổ chức phỏng vấn trực tuyến. Sau đó, một người tự xưng là giám đốc điều hành gọi video để tạo lòng tin và yêu cầu tải bài tập lập trình xuống máy tính làm việc. Tệp này chứa mã độc zero-day chưa được phát hiện, có khả năng vượt qua lớp bảo vệ thiết bị. Đây không phải một cú nhấp chuột bất cẩn đơn lẻ: kẻ tấn công dựng cả quy trình tuyển dụng để biến sự tin tưởng nghề nghiệp thành đường xâm nhập. Vì vậy, mã độc Binance bắt đầu từ một lời mời việc làm trông có vẻ hợp lệ.
Dấu hiệu đáng ngờ nằm ở sự kết hợp giữa lời mời bất ngờ, danh tính khó xác minh và yêu cầu đưa tệp thử nghiệm vào máy công ty. Kẻ giả mạo còn dùng tài khoản mạng xã hội có ảnh cá nhân để củng cố độ tin cậy. Một cuộc gọi video hay hồ sơ có vẻ thật không chứng minh người liên hệ đại diện cho doanh nghiệp họ nêu tên. Bài kiểm tra đòi tải mã hoặc chạy lệnh trên thiết bị làm việc phải được xem là rủi ro an ninh, không chỉ là một bước đánh giá kỹ năng. Nhân viên cần thận trọng với mọi yêu cầu cài phần mềm, mở dự án lạ hoặc chia sẻ thông tin nội bộ trong quá trình tuyển dụng, nhất là khi quy trình diễn ra ngoài kênh xác minh quen thuộc.
Chuẩn bị kéo dài, khâu rút tài sản diễn ra nhanh
Tốc độ rút tài sản không phản ánh thời gian chuẩn bị. Phân tích của TRM Labs cho biết công tác chuẩn bị bắt đầu ít nhất 36 giờ trước khi tiền bị lấy đi; các giao dịch nhỏ và những lần thử mã được dùng để kiểm tra cách vận hành trước khi mở rộng cuộc tấn công. Ngày 29 tháng 10, phần lớn tài sản rời các ví trong khoảng 20 phút. Hai con số này cho thấy vì sao chỉ tập trung vào thời điểm phát hiện giao dịch là chưa đủ: khi quyền thực thi đã bị chiếm, tốc độ xử lý tự động có thể khiến thời gian phản ứng trở nên rất ngắn. Kẻ tấn công được cho là đã tận dụng máy tính bị xâm nhập cùng một công cụ AI nội bộ để tiếp cận thiết bị của hai kỹ sư phụ trách ví. Công cụ nội bộ vì thế cũng cần được coi là một phần của bề mặt tấn công.
Theo thông tin công bố, các giao dịch rút trái phép ảnh hưởng tới ví trên ít nhất 10 blockchain, trong đó có Bitcoin, Ethereum, Tron và Solana. Binance mô tả đây là một cuộc tấn công tinh vi nhưng chưa công khai đầy đủ cách tin tặc vượt qua hệ thống bảo vệ. Điều đó nhắc rằng bảo mật tiền mã hóa không thể chỉ dựa vào việc giữ kín khóa riêng: quyền truy cập máy trạm, thông tin đăng nhập, môi trường chạy phần mềm và quy trình phê duyệt giao dịch đều có thể trở thành mắt xích nguy hiểm. Bài học đáng chú ý không phải là mọi công cụ AI đều không an toàn, mà là thiết bị và dữ liệu nội bộ có thể bị lợi dụng nếu quyền truy cập hoặc quy trình kiểm soát bị xâm phạm.
Bảo vệ thiết bị và thông tin nội bộ từ khâu tuyển dụng
Nhân viên cần xem yêu cầu tải bài tập lập trình, cài công cụ hoặc chạy mã từ người tuyển dụng chưa được xác minh là tín hiệu cảnh báo. Không nên để một cuộc phỏng vấn bên ngoài quyết định phần mềm nào được đưa lên máy làm việc. Tương tự, mật khẩu, thông tin đăng nhập và tài liệu nội bộ không nên được cung cấp chỉ vì người liên hệ biết chức danh, dùng hình ảnh thật hoặc tổ chức cuộc gọi video. Trường hợp Binance cho thấy kẻ tấn công có thể dùng nhiều lớp tạo lòng tin trước khi phát tán tệp độc hại; vì vậy, kiểm tra danh tính qua kênh độc lập và tuân thủ quy trình phê duyệt phần mềm là những nguyên tắc cần thiết. Đây không phải trách nhiệm riêng của nhóm an ninh: một kỹ sư đang tìm việc cũng có thể vô tình mở đầu cho một sự cố ảnh hưởng đến hạ tầng tài sản số.
Vụ hack Binance cũng phơi bày rủi ro rộng hơn của các hệ thống lưu ký và phê duyệt giao dịch tại sàn tập trung. Khi một cuộc tấn công kết hợp kỹ thuật xã hội, mã độc và quyền truy cập nội bộ, phòng thủ không thể dừng ở việc cảnh giác với email lừa đảo. Tổ chức cần coi máy tính nhân viên, công cụ AI nội bộ và quy trình ký giao dịch là những phần liên kết của cùng một chuỗi bảo vệ. Với cá nhân, nguyên tắc rõ ràng là không chạy tệp hoặc mã từ một quy trình tuyển dụng chưa xác thực trên thiết bị làm việc, đồng thời không chia sẻ thông tin nội bộ để đổi lấy cơ hội nghề nghiệp. Cuộc tấn công bắt đầu bằng một lời mời phỏng vấn; bài học là lòng tin cần được xác minh trước khi được cấp quyền.
