Un tentativo di rapina a Coinbase è stato spaventoso, anche se è fallito

L'illustrazione di una mano che raggiunge le monete sullo schermo del monitor di un computer signora, tecnologia; Immagini originali: pexel

Quando più di una dozzina di dipendenti Coinbase hanno ricevuto un'e-mail a maggio da un amministratore dell'Università di Cambridge nel Regno Unito, nulla nel messaggio ha sollevato segnali di allarme. Qualcuno di nome Gregory Harris, che ha detto di essere un amministratore di borse di ricerca all'università, ha detto ai beneficiari che aveva bisogno del loro aiuto per giudicare i concorrenti per un premio economico.

Alcuni dei dipendenti si sono scambiati ulteriori e-mail con questo account durante le due settimane successive; ancora niente che non va. Non sapevano che tutto questo faceva parte di un piano subdolo.

Chiunque fosse davvero dietro questo account stava giocando a lungo, puntando a ottenere accesso alla rete back-end di Coinbase e rubare alcuni dei miliardi di dollari di criptovaluta che l'azienda immagazzina per conto dei suoi utenti. Il 17 giugno l'attaccante ha inviato un'altra email. Questa volta conteneva un URL che, se aperto nel browser Firefox, avrebbe installato malware in grado di impossessarsi del computer dell'utente. Secondo il team di sicurezza di Coinbase, faceva parte di un attacco sofisticato e altamente mirato.

Di recente dettagli pubblicati fornire uno sguardo raro all'anatomia di un attacco a uno scambio di criptovaluta. Il team di Coinbase è riuscito a rilevare e bloccare l'attacco prima che i fondi venissero rubati, ma nel processo i difensori hanno scoperto di trovarsi di fronte a un nemico estremamente abile.

La particolarità dell'attacco, afferma Philip Martin, Chief Information Security Officer dell'azienda, è stato il suo costo e il livello di impegno insolitamente alto dietro. Per me sottolinea davvero quanto seriamente gli aggressori stiano prendendo lo spazio [della criptovaluta], dice.

Si trattava di professionisti sofisticati che operavano con un budget elevato, afferma Martin. Ciò è evidente in quanto hanno sfruttato due bug separati precedentemente sconosciuti, noti anche come vulnerabilità zero-day, nel browser Firefox di Mozilla. Non è noto se gli aggressori in questo caso abbiano scoperto queste vulnerabilità o in qualche modo le abbiano acquisite. I browser zero-day in generale non sono economici, afferma Martin, e sfruttarli richiede hacker altamente qualificati. Martin stima che lanciare l'attacco sia costato tra mezzo milione e un milione di dollari.

Samuel Groß, un ricercatore del Project Zero di Google, un team di sicurezza dedicato specificamente alla ricerca di vulnerabilità zero-day, sembra aver scoperto in modo indipendente uno dei bug utilizzati dagli aggressori . Lo ha segnalato a Mozilla il 15 aprile. Il secondo bug è apparso dopo che è stata apportata una modifica alla base di codice di Firefox il 12 maggio. Mozilla ha rilasciato patch per entrambi.

La rapida velocità dalla scoperta all'armamento in questo caso ha impressionato Martin, che in precedenza ha lavorato come responsabile della sicurezza delle informazioni di Palantir. Ma è stato l'ingegneria sociale davvero, davvero, davvero di alta qualità dell'attacco a distinguerlo di più: questo è lo sforzo maggiore che ho visto nella fase di ingegneria sociale, punto.

Utilizzando indirizzi e-mail accademici compromessi, gli aggressori sono sfuggiti ai comuni strumenti di filtraggio e rilevamento dello spam. La successiva corrispondenza tra gli aggressori ei loro marchi è avvenuta nel corso di settimane. La maggior parte delle persone che sono state prese di mira pensavano di avere una vera interazione umana: i messaggi sono diventati personali, facendo riferimento ai precedenti delle persone oggetto di phishing. Apparentemente gli aggressori hanno persino creato pagine LinkedIn per le loro identità false.

Smascherare gli aggressori informatici è notoriamente difficile, ma il team di Martin pensa che la colpa sia di un gruppo oscuro chiamato HYDSEVEN, che è stato collegato a diversi assalti agli scambi di criptovalute dal 2016. Non si sa molto del gruppo oltre alla sua affinità per lo swiping di monete digitali, ma secondo a rapporto recente dalla società di sicurezza giapponese LAC, HYDSEVEN è stato anche legato ad attacchi in Giappone e Polonia.

Dal momento che rubano denaro, piuttosto che condurre spionaggio o perseguire qualche altro obiettivo militare, Martin afferma che sono probabilmente un gruppo criminale, al contrario di sponsorizzato dallo stato. Ma è anche noto che gli hacker sostenuti dallo stato prendono di mira gli scambi di criptovaluta: secondo un nuovo rapporto delle Nazioni Unite, la Corea del Nord ha generato circa 2 miliardi di dollari utilizzando diffuso e sempre più sofisticato attacchi informatici per rubare a banche e scambi di criptovalute.

In termini di capacità, non c'è una netta distinzione tra gli hacker sponsorizzati dallo stato e i gruppi criminali più sofisticati di oggi, afferma Martin. Ad ogni modo, attacchi come questo mostrano che le società di criptovalute devono essere preparate a respingere aggressori altamente qualificati che potrebbero sfruttare vulnerabilità precedentemente sconosciute, afferma: Poiché questo spazio continua a crescere, svilupparsi e guadagnare terreno, guadagnerà anche terreno con sempre più attaccanti più sofisticati.

nascondere