به گفته صرافی بایننس، حمله سایبری ۶.۳ میلیارد دلاری که سال گذشته رخ داد، از یک مصاحبه شغلی جعلی با یکی از کارمندان این شرکت آغاز شد. مهاجمان که گفته می‌شود با کره شمالی در ارتباط هستند، ماه‌ها پیش از این حمله، اقدام به نفوذ در سیستم‌های داخلی بایننس و در اختیار گرفتن اطلاعات کارمندان کرده بودند.
این مهاجمان از طریق زیرساخت امضای کیف پول گرم (hot-wallet) صرافی بایننس و با استفاده از مکانیزم EIP-7702 شبکه اتریوم، توانستند به دارایی‌ها دسترسی پیدا کنند. این مکانیزم که یک استاندارد جدید برای مدیریت کلیدهای خصوصی است، ظاهراً حفره‌ای امنیتی در سیستم بایننس ایجاد کرده بود.
جزئیات حمله
مهاجمان ابتدا با ارسال یک ایمیل فیشینگ به یکی از کارمندان بایننس، که حاوی یک لینک دانلود مخرب بود، شروع کردند. این لینک حاوی یک بدافزار بود که با اجرای آن، مهاجمان توانستند به سیستم داخلی این کارمند دسترسی پیدا کنند. پس از آن، با استفاده از این دسترسی، توانستند به سایر سیستم‌ها و اطلاعات حساس دسترسی یابند.
مسیر نفوذ به کیف پول گرم
پس از ماه‌ها فعالیت مخفیانه و جمع‌آوری اطلاعات، مهاجمان توانستند به زیرساخت امضای تراکنش‌های کیف پول گرم صرافی دسترسی پیدا کنند. مکانیزم EIP-7702 اتریوم، که به کاربران اجازه می‌دهد بدون نیاز به کلید خصوصی، تراکنش‌ها را امضا کنند، در این حمله مورد سوءاستفاده قرار گرفت. مهاجمان با سوءاستفاده از این قابلیت، توانستند تراکنش‌های جعلی را امضا و دارایی‌ها را به کیف پول‌های خود منتقل کنند.
