Binance alertó sobre las falsas ofertas de empleo, pero cayó en la trampa

El responsable de seguridad de Binance explicó con detalle el pasado verano cómo un falso proceso de selección podía permitir a los atacantes acceder a la plataforma. Unos meses después ocurrió precisamente eso, cuando la plataforma de criptomonedas sufrió el mayor robo de la historia del sector.

Binance ya había advertido del riesgo

En julio, Jimmy Su, director de Seguridad de Binance, habló con el medio Cointelegraph sobre las crecientes amenazas para la plataforma. Ya entonces señaló que los falsos procesos de selección eran un motivo de gran preocupación interna.

Su también describió cómo funciona este tipo de ataque. Los atacantes se hacen pasar por empleadores y ofrecen a un trabajador un puesto que encaja a la perfección con su perfil. Durante el proceso de selección, lo convencen para que ejecute código con el pretexto de realizar una prueba técnica.

Según explicó, en cuanto se ejecuta ese código, el dispositivo queda comprometido y los atacantes pueden empezar a recopilar credenciales de acceso.

Con esas credenciales robadas, los atacantes pueden adentrarse en la red de la empresa, según Su. Cointelegraph no incluyó este fragmento en el artículo que publicó en julio, pero lo ha divulgado ahora.

Un falso proceso de selección abrió la puerta al ataque a Binance

En septiembre, un ingeniero de software de Binance descargó un ejercicio de programación infectado en su portátil de trabajo durante una falsa entrevista laboral. Así consta en el informe de investigación que la plataforma publicó la semana pasada.

Esa infección fue el primer eslabón de un ataque en varias fases. El 29 de octubre desaparecieron unos 6.300 millones de dólares de los monederos de Binance, más de cuatro veces el importe del ataque a Bybit, que hasta entonces ostentaba el récord.

En julio, Su también había anticipado por qué los programas de seguridad podían pasar por alto esta trampa. El ejercicio consta de pasos aparentemente normales, como descargar código de GitHub.

Por eso no saltan las alarmas, explicó: cada paso, por separado, parece legítimo, de modo que muchos antivirus podrían no detectar la amenaza ni señalarla como tal.

Binance llegó después a la misma conclusión: el código malicioso estaba oculto en el proceso de instalación del ejercicio y eludió los controles de seguridad mediante técnicas de ofuscación, que dificultan deliberadamente la lectura del código.

La responsabilidad recae en la propia Binance

Su sostuvo en julio que correspondía a la plataforma hacer frente a ese riesgo. Consideraba legítimo que los empleados buscaran oportunidades en otras empresas, pero le preocupaba que lo hicieran desde un dispositivo de trabajo.

Si alguien cae en la trampa de una entrevista falsa, la responsabilidad de detectarlo recae en Binance, según Su. Por eso, un equipo interno especializado en simular ataques pone a prueba a los empleados cada mes.

La empresa lleva entre tres y cuatro años realizando simulacros de suplantación de identidad con mensajes falsos que intentan obtener credenciales de acceso. Eso supone entre 36 y 48 rondas de pruebas y, aun así, bastó una sola entrevista de trabajo convincente.

La amenaza persiste: Binance ha bloqueado este año 57 ciberataques presuntamente norcoreanos, aproximadamente uno cada cinco días. El FBI también atribuye a Corea del Norte el ataque que sufrió Binance en octubre.