Nově popsaný mechanismus krádeže z Binance propojuje náborovou záminku, napadený pracovní počítač a přístup k citlivým interním službám. Případ ukazuje, že zastavení běžných výběrů nemusí zrušit oprávnění již vytvořená na blockchainu.

Root.cz 6. listopadu upozornil na podrobnosti vyšetřování. Původní zpráva Binance je datována 3. listopadu a představuje předběžné závěry, nikoli uzavřený nezávislý audit. K dříve zveřejněnému připsání útoku severokorejské aktivitě přidává zejména popis vstupní cesty.

Inženýr byl osloven přes legitimní platformu pro hledání práce a absolvoval dvě kola pohovoru s osobami vystupujícími za fiktivní firmu. Během druhého měl stáhnout programátorské zadání na pracovní počítač. Škodlivý obsah repozitáře se spustil při přípravě prostředí. Důvěryhodnost náborového kanálu tak neznamenala důvěryhodnost staženého kódu.

Podle Binance útočník následně využil interní AI nástroj k postupu na další počítače a získal token dovolující nasazení kontejneru. Přístup k podpisové službě umožnil transakce mimo běžný proces výběrů. V případě Etherea pak zneužil delegování podle EIP-7702: již udělená oprávnění na blockchainu fungovala nezávisle na odstavení obvyklé výběrové infrastruktury a vyžadovala další zásah k odvolání.

Pro organizace je využitelné oddělení prostředí pro neověřený kód od pracovních účtů a produkčních oprávnění. Současně je třeba při obnově sledovat nejen odcizená hesla, ale i následně vytvořené tokeny, delegace a oprávnění. Pouhé odstranění první napadené stanice nemusí zrušit všechny cesty, které si útočník mezitím otevřel.