WORLDTECHBinance führt 6,4-Milliarden-Diebstahl auf nordkoreanische Fake-Vorstellungsgespräche zurück
Binance zufolge begann der Diebstahl von 6,4 Milliarden US-Dollar durch nordkoreanische Akteure mit Beschäftigungsbetrug, einer Methode, auf die sich die Hackerteams des Landes laut Chainalysis seit Jahren stützen. Die Kryptowährungsbörse und Finanzfirma mit Sitz in den Vereinigten Arabischen Emiraten veröffentlichte am Dienstag ihre ersten Erkenntnisse.
Wie sich der Einbruch abspielte
Den ersten Erkenntnissen von Binance zufolge begann der Angriff im September, als ein Ingenieur zu einem Vorstellungsgespräch eingeladen wurde. Über mehrere Wochen bauten die Angreifer das Vertrauen eines Binance-Mitarbeiters auf, den sie zunächst über eine seriöse Jobplattform mit einem Arbeitsangebot ansprachen.
Nach zwei Gesprächsrunden mit einem erfundenen Unternehmen wurde der Mitarbeiter aufgefordert, eine Interviewaufgabe herunterzuladen, die Schadcode enthielt. Damit verschafften sich die Angreifer einen ersten Stützpunkt, von dem aus sie Malware einsetzten und über den Zugang zu einem internen KI-Werkzeug tiefer in Binance' Systeme vordrangen.
Ein Vorgehen, das bereits früher auftauchte
Die Ermittler von Chainalysis verfolgen diesen Ansatz seit Jahren. Alec Zebrick, Senior Manager für globale Dienstleistungen bei Chainalysis, hat beschrieben, was er "contagious interviews" nennt: Nordkoreanische Akteure nehmen Beschäftigte mit privilegiertem Zugang ins Visier und nutzen deren Zugangsdaten und Berechtigungen, um in interne Systeme zu gelangen.
In den vergangenen 18 Monaten hat Chainalysis Verluste von mehr als 14,3 Millionen US-Dollar ähnlichen, mit Nordkorea in Verbindung gebrachten Schemen mit gefälschten Interviews und Malware zugeordnet. Die Ziele reichten von einzelnen Krypto-Haltern und privaten Wallets bis zu Organisationen, Protokollen und DAOs, und die Verluste bei diesen früheren Vorfällen lagen zwischen zehntausenden und Millionen US-Dollar.
Was frühere Fälle die Angreifer gelehrt haben könnten
Chainalysis zufolge könnte die größere Bedeutung dieser früheren Vorfälle darin liegen, was sie den Angreifern beigebracht haben. Über aufeinanderfolgende Angriffe hinweg verfeinerten nordkoreanische Akteure ihre Methoden, sagte McLouth, und bauten womöglich die Fähigkeiten auf, um immer wertvollere Opfer anzugreifen.
Der Fall Binance zeigt, wie ein gefälschtes Interview einen Zugang zu einer großen Organisation öffnen kann. Chainalysis beschreibt ihn als ein Beispiel für das illegale Beschäftigungsökosystem Nordkoreas, zu dem auch andere gefälschte Anwerbungsmaschen und betrügerische IT-Anstellungen gehören.
Offene Fragen
- Welcher der von Binance beschriebenen Zugangswege ist noch nicht bestätigt?
- Wie viel der 6,4 Milliarden US-Dollar wurde bereits zurückgeholt?