Zusammenfassung:
Die neuesten Untersuchungsdetails, die von Binance, der weltweit größten Kryptowährungsbörse, veröffentlicht wurden, zeigen, dass der Cyberangriff, der zum Diebstahl von Krypto-Assets im Wert von 6,3 Milliarden US-Dollar führte, keine plötzliche Operation war, sondern eine sorgfältig geplante Social-Engineering-Penetrationsaktion, die mehrere Monate dauerte. Tatsächlich warnen Sicherheitsforscher die Branche schon seit Jahren vor ähnlichen Angriffen, doch dieser Vorfall, der den Rekord für den größten Diebstahl in der Geschichte der Kryptowährungsbranche aufstellte, ereignete sich dennoch.
Laut der neuesten Beschreibung, die Binance am 3. November veröffentlichte, gaben sich nordkoreanische Hacker als Personalvermittler aus und kontaktierten über eine falsche Social-Media-Identität einen Software-Ingenieur, der für das Wallet-Geschäft verantwortlich ist. Nach zwei Runden scheinbar normaler Interviewprozesse bat die andere Partei den Ingenieur, eine sogenannte Programmiertestaufgabe herunterzuladen. Allerdings war in diesem Dokument bösartiger Code versteckt, der einst erfolgreich auf von Mitarbeitern genutzte Firmencomputer eindrang, und die vorhandenen Sicherheitstools von Binance konnten die zugehörige Malware nicht erkennen.
Nachdem sich die Hacker ersten Zugriff verschafft hatten, nutzten sie die internen Systeme des Unternehmens weiter, um ihre Ergebnisse zu erweitern. Sie erhielten Zugriff auf eine Reihe interner Tools, die es ihnen ermöglichten, die Computer anderer Mitarbeiter fernzusteuern, und übernahmen so die Geräte von zwei anderen Ingenieuren im Wallet-Team.
Die Untersuchung ergab, dass einer der Ingenieure vor einigen Monaten versehentlich eine manipulierte Anwendung heruntergeladen hatte, als er nach Software suchte, was dazu führte, dass Malware zum Diebstahl von Passwörtern in das Gerät implantiert wurde. Obwohl Binance den infizierten Computer später ersetzte, setzten die Hacker ihre Aktivitäten mit den zuvor gestohlenen Zugangsdaten fort und kompromittierten schließlich das Gerät eines dritten Ingenieurs. Der Arbeitsplatz des Mitarbeiters hatte Zugang zu kritischen Systemen, die Krypto-Assets in Milliardenhöhe verwalteten, und bereitete so die Voraussetzungen für den möglichen Diebstahl.
Binance gab in einer Erklärung zu, dass der Vorfall „nicht hätte passieren dürfen“ und sagte, das Unternehmen habe nach dem Vorfall die Netzwerksicherheitsmaßnahmen verstärkt. Binance war von dem Angriff betroffen und hat letzte Woche die Auszahlungsdienste für Plattformkunden vorübergehend eingestellt.
Das FBI und die Blockchain-Ermittlungsbehörde haben den Angriff Nordkorea zugeschrieben. Nordkorea wurde in den letzten Jahren immer wieder vorgeworfen, in großem Umfang Krypto-Assets gestohlen zu haben, um sein Atomwaffenprogramm zu finanzieren, das internationalen Sanktionen unterliegt.
Dieser Vorfall verdeutlicht einmal mehr die Taktiken nordkoreanischer Hacker seit langem. Cybersicherheitsforscher warnen seit Jahren davor, dass nordkoreanische Angriffsgruppen sich oft als Risikokapitalfirmen, Investoren, Personalberater und Remote-IT-Mitarbeiter ausgeben und gestohlene Identitätsinformationen von US-Bürgern verwenden, um ein glaubwürdiges Image aufzubauen und Ziele dazu zu verleiten, Systemberechtigungen zu öffnen.
Tatsächlich ist diese Art von Angriffsmethode in der Kryptowährungsbranche seit langem bekannt. Die US-Regierung und viele große Cybersicherheitsunternehmen haben in den letzten Jahren mehrfach Warnungen herausgegeben. Relevante Daten zeigen, dass allein im letzten Jahr fast die Hälfte der Netzwerkeinbrüche in der US-amerikanischen Technologiebranche nordkoreanischen Hackern zugeschrieben wurden, die sich als Remote-IT-Mitarbeiter oder gefälschte Personalvermittler ausgaben.
Laut den von Binance veröffentlichten Daten hat das Unternehmen zuvor mindestens 57 Angriffsversuche registriert, die vermutlich aus Nordkorea kamen. Binance sagte, dies verdeutliche die anhaltende Bedrohung, die von nationalstaatlichen Angriffsgruppen für die Kryptowährungsbranche ausgeht.
Allerdings könnten sich die Ermittler auch in Zukunft auf zwei Schlüsselfragen konzentrieren: Wie gelang es den Hackern, Mitarbeiter zum Herunterladen schädlicher Programme zu überreden, obwohl solche Angriffsmethoden weithin aufgedeckt waren? und warum es dem internen Netzwerk von Binance nicht gelungen ist, Angreifer effektiv daran zu hindern, weiter seitlich einzudringen und höhere Privilegien zu erlangen.
Analysten wiesen darauf hin, dass der Fall zwar einmal mehr zeigte, dass nordkoreanische Hacker gut darin sind, Rekrutierungschancen und Karriereentwicklungsversuche für Social-Engineering-Angriffe zu nutzen, Unternehmen aber auch eine wichtige Verantwortung tragen. Unternehmen müssen nicht nur das Sicherheitsbewusstsein ihrer Mitarbeiter verbessern, sondern auch sicherstellen, dass interne Systeme nicht nach Belieben unautorisierte oder nicht vertrauenswürdige Software ausführen können, und das Risiko, dass ein Single Point of Failure zu einem schwerwiegenden Sicherheitsvorfall wird, technisch reduzieren.
Bezüglich der konkreten Einzelheiten des Vorfalls weigerte sich Binance-Sprecher Ross O'Leary, weiter auf die Fragen der Medien zu Schutzmechanismen für Mitarbeiterterminals, Einschränkungen bei der Ausführung von Schadcode und der Frage, ob vor dem Vorfall eine Netzwerksicherheitsüberprüfung durch Dritte durchgeführt wurde, zu antworten. Er erklärte lediglich, dass das Unternehmen externe Sicherheitsexperten zur Teilnahme an den Ermittlungen einladen werde und neue Schutzmaßnahmen ergriffen habe, um zu verhindern, dass sich ähnliche Vorfälle wiederholen.
Derzeit ist dieser Diebstahl in Höhe von 6,3 Milliarden US-Dollar nach wie vor der größte Diebstahl in der Geschichte der Kryptowährung.
Kommentare