Atakujący uzyskali dostęp do kart płatniczych Binance?

Na naszą skrzynkę sekurak@sekurak.pl dostaliśmy sygnał z niepokojącymi informacjami mogącymi świadczyć o tym, że giełda Binance lub jeden z jej mikroserwisów zostały zhakowane. Mianowicie dostaliśmy zrzuty ekranów z transakcji karty Binance, które nigdy nie zostały wykonane przez właściciela. Wszystkie zrzuty łączy jeden czynnik – transakcje zostały wykonane ze środków dostępnych na karcie Binance Card. Jest to rodzaj karty płatniczej, która “w locie” potrafi przekonwertować kryptowalutowe środki na pieniądz fiducjarny (tradycyjny, np. PLN, EUR) podczas płacenia w klasycznym terminalu płatniczym lub internetowym. Czy to może oznaczać, że przestępcy uzyskali dostęp do danych z kart oraz PINów/kodów CVV/CV2? Tego nie wiadomo.

Postanowiliśmy zrobić śledztwo czy gdzieś publikowane są informacje na ten temat i natrafiliśmy na kilka wątków otwartych w serwisie Reddit, zwłaszcza w r/binance w którym wielu użytkowników od co najmniej dwóch tygodni było świadkami podobnej sytuacji, np: wątek 1, wątek 2, wątek 3, wątek 4, wątek 5. Właściciele kart zorientowali się, że doszło do kradzieży po tym jak dostali notyfikację nt. transakcji z karty Binance Card. Niektórzy z nich nigdy tej karty jeszcze nie używali, więc wzbudziło to natychmiast ich podejrzenie.

Rys. 1. Przykładowa transakcja wykonana przez cyber zbója.

Co ciekawe, samo wsparcie techniczne Binance jest obecne na Reddicie i chętnie zaprasza do “pilnego” kontaktu w celu rozwiązania sprawy (rys. 2). Jednak co ciekawsze, według użytkowników komentujących – odzyskali oni swoje pieniądze jednak bez jasnej odpowiedzi od Binance co się stało. Czy w ten sposób giełda nie wprost przyznała się do wycieku?

Rys. 2. Błyskawiczna reakcja Binance na zgłoszenie.

Większość transakcji odbywa się do tych samych odbiorców, mianowicie kont zlokalizowanych we Francji, np. znany sklep internetowy Darnashop lub sklep z grami Manga Multimedia. 

Rys. 3. Adresaci złodziejskich transferów z karty Binance.

Być może cała sytuacja ma związek z ostatnim wyciekiem danych z aplikacji Revolut o której pisaliśmy we wrześniu. Jednak za wcześnie na ocenę. Na profilu Cyberthint na Twitterze 27 września również pojawiła się informacja o potencjalnym wycieku gdzie haker oferuje konkretną sumę za przekazanie skradzionych danych 500 tysięcy użytkowników (rys. 4).

Rys. 4. Oferta sprzedaży wycieku Binance, niepotwierdzona autentyczność.

Dodatkowej pikanterii dodaje fakt, że Binance rozesłało 30 września (w trakcie potencjalnego wycieku) do swoich użytkowników e-mail z informacją o aktualizacji polityki bezpieczeństwa danych osobowych, przypadek?

Rys. 5. Aktualizacja polityki ochrony danych z 30.09.2022 r.

Ze wstępnych informacji wiadomo, że nic nie wiadomo… ale przedwczoraj o godzinie 19:00 oficjalny profil BinanceRedditHelp zaczął w każdym wątku wklejać tę samą informację o brzmieniu:

“We are aware of the concerns and are investigating. Please reach out directly to us via Customer Service should you have a question or concern. Protecting our account holders is always our number one priority.”

Dodatkowo wczoraj około południa konto Binance Customer Support zaczęło aktywnie odpowiadać użytkownikom „wycieku” by zamrażali swoje karty i chętnie pomogą w odzyskaniu środków (rys. 6).

Rys. 6. Konto Binance Customer Support aktywne na Twitterze.

Powyższe komentarze i tweety do sprawy jednoznacznie wskazują, że coś poszło nie tak i trwa dochodzenie ale na ten moment nie można potwierdzić czy to wyciek poprzez błąd bezpieczeństwa, czy problem z oprogramowaniem.

CO MOGĘ ZROBIĆ? JAK SIĘ ZABEZPIECZYĆ?

Rys. 7. Wyłączenie funkcji auto-doładowania środków z portfela Spot.

Będziemy Was o sprawie informować na bieżąco.

~tt