Binance afirma que la actividad relacionada con el hackeo se remonta a junio de este año. En ese momento, según su comunicado, un ingeniero, al que la compañía identifica como Ingeniero A, descargó una instalación de Homebrew modificada que encontró en internet. Si bien la compañía asegura que esto se detectó y se solucionó, posteriormente la información del empleado quedó expuesta al hacker.
A principios de septiembre, Binance explicó que otro ingeniero de software, identificado únicamente como Ingeniero B, fue contactado a través de una plataforma legítima de búsqueda de empleo y posteriormente participó en una entrevista por videoconferencia donde el falso reclutador compartió perfiles de redes sociales y fotos personales que parecían reales. Como era de esperar, el ingeniero de Binance pasó a una segunda ronda de entrevistas que se realizó mediante un chat en línea. «Casi al final de la entrevista, se le indicó al Ingeniero B que descargara una ‘tarea’ que contenía un repositorio de código malicioso en su computadora de trabajo», indica el informe de Binance.
«El malware empleó técnicas sofisticadas de ofuscación y evasión, incluyendo la sustitución de un componente legítimo de una herramienta de desarrollo por una versión maliciosa para ejecutar comandos y establecer comunicación con un servidor externo controlado por el atacante», escribe la compañía. Añade que los hackers tomaron medidas para ocultar su actividad, una práctica común.
A finales de octubre, poco más de una semana antes del robo, los atacantes aprovecharon el acceso a la computadora de un empleado para tomar el control de las carteras del Ingeniero A, cuya cuenta había sido comprometida meses antes, y del Ingeniero C, otro desarrollador de software de carteras, según Binance.
El 29 de octubre, los hackers accedieron a la computadora de otro empleado y utilizaron credenciales robadas para poner en marcha la operación. Esa misma noche, los acontecimientos se desarrollaron rápidamente. «El atacante aprovechó el acceso no autorizado a un servicio interno de firmware para iniciar transacciones fuera del proceso habitual de retiro», explica Binance.
Amazon Web Services registró hace cuatro días intentos de aprovechar las vulnerabilidades de PHP2Shell que colapsaron internet. Ahora están siendo «ampliamente explotadas» en toda la red.
Aprovechar brechas de seguridad, sin tecnología nueva
Pilling, de Sophos, afirma que TraderTraitor destaca en sus ataques gracias a una planificación minuciosa y a su capacidad para comprender el funcionamiento de los servicios de sus víctimas. «La intrusión inicial es solo un punto de partida. El ataque real se diseña meticulosamente en función de cómo la víctima gestiona su dinero», explica.
Si bien Binance afirma que sus hallazgos son solo el primer paso de su investigación, expertos en seguridad y rastreo de criptomonedas señalan que los hackers están intentando lavar y convertir en efectivo las criptomonedas robadas. Desde principios de 2017, según un análisis de TRM Labs, hackers vinculados a Corea del Norte han robado alrededor de 12 mil millones de dólares en criptomonedas, de los cuales más de la mitad provienen de robos ocurridos este año.
A pesar de las astronómicas sumas, no está claro cuánto de este dinero llega finalmente a Corea del Norte. Al igual que en el caso de Binance, algunas criptomonedas pueden congelarse y quedar inaccesibles, mientras que otras transacciones pueden ser bloqueadas por algunas plataformas de intercambio de criptomonedas. La empresa de rastreo de criptomonedas Elliptic ha señalado que el lavado derivado del ataque a Binance ha sido «muy complejo» y probablemente automatizado. «En sus primeros tres días y medio, utilizó unas 12,000 carteras repartidas en 11 blockchains, lo que equivale aproximadamente a una cartera nueva cada 25 segundos, y realizó más de 40,000 transacciones», escribió Tom Robinson, cofundador y científico jefe de Elliptic, en una publicación de blog.
Si el dinero se lava con éxito, existe la posibilidad de que se convierta en efectivo y se utilice para impulsar el desarrollo del programa de armas nucleares y los sistemas de misiles balísticos de Corea del Norte, según un informe publicado el año pasado por el Equipo Multilateral de Monitoreo de Sanciones, integrado por expertos de Estados Unidos, Corea del Sur y otros nueve países. «Dependen en gran medida de facilitadores con sede en China, aunque a veces recurren a otros países».
Artículo originalmente publicado en WIRED.com. Adaptado por Alondra Flores.
