SG.hu·
Egyetlen alkalmazott hibája elég volt a Binance elleni hackertámadás sikeréhez
Egy észak-koreai elit hackercsoport 6,3 milliárd dolláros lopása a Binance-től ráirányítja a figyelmet a kriptovaluta-iparág régóta fennálló gyengeségére: a hackereknek csupán egyetlen alkalmazottat kellett kompromittálniuk ahhoz, hogy bejussanak a rendszerekbe.
Az október 29-i támadás - amely a valaha elkövetett legnagyobb kriptovaluta-lopás - hónapokon át tartó tervezés és előkészületek után, mindössze néhány perc alatt zajlott le - derült ki a Binance belső vizsgálatából. A kiberbiztonsági szakértők szerint a támadás nemcsak azzal kapcsolatban vet fel kérdéseket, hogy a kriptotőzsdék miként védik alkalmazottaikat a kifinomult pszichológiai manipulációs módszerekkel szemben, hanem azzal kapcsolatban is, hogy rendelkeznek-e megfelelő belső ellenőrzési mechanizmusokkal annak korlátozására, hogy egy támadó mire képes, miután hozzáférést szerzett egy alkalmazott számítógépéhez vagy hitelesítő adataihoz.
A pszichológiai manipuláció az iparágban jól ismert fenyegetés - mondta Jonathan Alexander, az S&P Globalhoz tartozó, blokkláncbiztonsággal foglalkozó OpenZeppelin technológiai igazgatója. Szerinte a nagyobb kérdés az, hogy a kriptotőzsdék miért nem rendelkeznek erősebb belső védelmi mechanizmusokkal és vészleállító rendszerekkel, amelyek megakadályoznák, hogy egy támadó, miután feltörte egy mérnök számítógépét - ahogyan az a Binance esetében történt -, magasabb szintű hozzáférést szerezzen, majd pénzeszközöket mozgasson át.
Alexander szerint a problémát tovább súlyosbítja, hogy az iparágban nagyon eltérő kiberbiztonsági gyakorlatokat alkalmaznak. Emellett egyes kriptovaluta-párti szereplők régóta idegenkednek az olyan ellenőrzési mechanizmusoktól, amelyeket a blokklánc decentralizált szemléletével összeegyeztethetetlennek tartanak. Ez a szemlélet olykor az olyan intézkedéseket is a veleszületett adatvédelmi jogok megsértésének tekinti, mint a tranzakciós összegek korlátozása vagy a költési mintázatok automatikus ellenőrzése.
„Úgy gondolom, hogy ez tévesen arra a következtetésre vezetett egyeseket, hogy az olyan intézkedések, mint a vészleállító rendszerek vagy a fiókok feletti szigorúbb ellenőrzés, elfogadhatatlanok lennének, illetve teljes mértékben ellentétesek azzal az igénnyel, hogy elkerüljük a cenzúrát” - mondta Alexander. „Az én véleményem szerint lehetséges egyszerre biztonsági ellenőrzéseket bevezetni és védelmet biztosítani az ilyen támadásokkal szemben.”
A Binance elleni támadás a jelentős kriptovaluta-hackertámadások sorának legújabb esete. A blokkláncok elemzésével foglalkozó Chainalysis adatai szerint 2021 óta ezek során összesen több mint 22,3 milliárd dollárnyi pénzeszközt tulajdonítottak el. A veszteségek nagysága tovább élezte a vitát arról, hogy a kriptotőzsdéknek szükségük van-e egységesebb szabványokra a hozzáférések, a tranzakciók ellenőrzése és az egyéb védelmi intézkedések szabályozására. „Arra számítok, hogy egyértelműbbé és egységesebbé válnak a kiberbiztonsági elvárások, és remélhetőleg a befektetők védelmére és a bizalom megőrzésére vonatkozó követelmények is” - mondta Alexander. „Ezek az esetek megmutatják, miért kell változtatni.”
A kriptovaluta-tőzsdék különösen vonzó célpontok a hackerek számára, mivel könnyen azonosíthatók azok a tárcák, amelyek hatalmas mennyiségű, egyszerűen átutalható digitális eszközt tartalmaznak. Bizonyos esetekben az is kideríthető, hogy mely alkalmazottak férnek hozzá az ezeket az eszközöket kezelő rendszerekhez. Emiatt a mérnökök és az informatikai dolgozók a kifinomult pszichológiai manipulációs műveletek elsődleges célpontjaivá váltak.
Alex Pruden, a blokkláncok és digitális eszközök biztonságával foglalkozó Project Eleven vezérigazgatója szerint a védekező fél alapvető hátrányban van azokkal a támadókkal szemben, akiknek elég egyetlen alkalommal sikerrel járniuk. „Ez rendkívül nehéz probléma” - mondta Pruden. „A kiberbiztonság terén eddig alkalmazott bevált gyakorlatok egyszerűen nem elegendők ahhoz, hogy megbirkózzanak azzal a fenyegetettséggel, amely a mai világunkat jellemzi.” Hozzátette, hogy az iparág kiberbiztonsági szakemberei „állandó háborús helyzetben élnek. Folyamatos támadásoknak vagyunk kitéve”.
Pruden arra számít, hogy a Binance elleni lopás nagyobb kiberbiztonsági beruházásokat ösztönöz majd, beleértve a belső MI-eszközök és -ügynökök körüli védelmi intézkedéseket is. Ezek az eszközök és ügynökök ugyanis maguk is növelhetik a támadók képességeit, ha illetéktelenek kezébe kerülnek. „Ennek a történetnek még csak a legelején járunk, de úgy gondolom, a Binance elleni hackertámadás megmutatta, hogy ezek az eszközök nagyon gyorsan ellenünk fordíthatók, és ha már megtörtént a baj, rendkívül nehéz lehet visszafordítani az okozott károkat.” A kriptovaluta-tőzsdék már megkezdték védelmi rendszereik megerősítését és az információmegosztás fokozását.
A szakértők által azonosított egyenetlen biztonsági gyakorlatok az Egyesült Államok széttagolt szabályozási rendszerében is tükröződnek. Az amerikai kriptovaluta-tőzsdék a bankokkal ellentétben nem egyetlen, szövetségi szintű kiberbiztonsági szabályozási rendszer hatálya alatt működnek. A követelmények ehelyett attól függően változnak, hogy a vállalatok hol folytatják tevékenységüket, és mely államokban rendelkeznek engedélyekkel. New York az iparág legszigorúbb követelményei közé tartozó előírásokat alkalmazza. Az állam Pénzügyi Szolgáltatások Minisztériuma előírja az engedéllyel rendelkező vállalatok számára, hogy tartsanak fenn kiberbiztonsági programokat, alkalmazzanak többtényezős hitelesítést, és jelöljenek ki egy információbiztonsági vezetőt.
Másutt a kriptovaluta-vállalatokra elsősorban az állami pénzátutalási szabályok vonatkozhatnak. Ezek a szabályozási rendszerek általában megkövetelik a vállalatoktól, hogy tájékoztassák a felügyeleti hatóságokat kiberbiztonsági programjaikról, és részt vegyenek ellenőrzéseken. Gyakran azonban nem írnak elő konkrét technikai intézkedéseket, például titkosítási szabványokat. Számos kriptotőzsde nem elérhető az Egyesült Államokban, ezért nem tartozik ezeknek az állami felügyeleti rendszereknek a hatálya alá, bár azokon a piacokon, ahol tevékenykedik, más követelmények vonatkozhatnak rájuk.
A bankokra ezzel szemben szövetségi előírások vonatkoznak, amelyek többek között a kockázatértékelést, a megfigyelést és az incidensekre adott válaszlépéseket szabályozzák. A legnagyobb pénzintézeteket emellett erre szakosodott felügyeleti szervek folyamatos ellenőrzés alatt tartják.
Az október 29-i támadás - amely a valaha elkövetett legnagyobb kriptovaluta-lopás - hónapokon át tartó tervezés és előkészületek után, mindössze néhány perc alatt zajlott le - derült ki a Binance belső vizsgálatából. A kiberbiztonsági szakértők szerint a támadás nemcsak azzal kapcsolatban vet fel kérdéseket, hogy a kriptotőzsdék miként védik alkalmazottaikat a kifinomult pszichológiai manipulációs módszerekkel szemben, hanem azzal kapcsolatban is, hogy rendelkeznek-e megfelelő belső ellenőrzési mechanizmusokkal annak korlátozására, hogy egy támadó mire képes, miután hozzáférést szerzett egy alkalmazott számítógépéhez vagy hitelesítő adataihoz.
A pszichológiai manipuláció az iparágban jól ismert fenyegetés - mondta Jonathan Alexander, az S&P Globalhoz tartozó, blokkláncbiztonsággal foglalkozó OpenZeppelin technológiai igazgatója. Szerinte a nagyobb kérdés az, hogy a kriptotőzsdék miért nem rendelkeznek erősebb belső védelmi mechanizmusokkal és vészleállító rendszerekkel, amelyek megakadályoznák, hogy egy támadó, miután feltörte egy mérnök számítógépét - ahogyan az a Binance esetében történt -, magasabb szintű hozzáférést szerezzen, majd pénzeszközöket mozgasson át.
Alexander szerint a problémát tovább súlyosbítja, hogy az iparágban nagyon eltérő kiberbiztonsági gyakorlatokat alkalmaznak. Emellett egyes kriptovaluta-párti szereplők régóta idegenkednek az olyan ellenőrzési mechanizmusoktól, amelyeket a blokklánc decentralizált szemléletével összeegyeztethetetlennek tartanak. Ez a szemlélet olykor az olyan intézkedéseket is a veleszületett adatvédelmi jogok megsértésének tekinti, mint a tranzakciós összegek korlátozása vagy a költési mintázatok automatikus ellenőrzése.
„Úgy gondolom, hogy ez tévesen arra a következtetésre vezetett egyeseket, hogy az olyan intézkedések, mint a vészleállító rendszerek vagy a fiókok feletti szigorúbb ellenőrzés, elfogadhatatlanok lennének, illetve teljes mértékben ellentétesek azzal az igénnyel, hogy elkerüljük a cenzúrát” - mondta Alexander. „Az én véleményem szerint lehetséges egyszerre biztonsági ellenőrzéseket bevezetni és védelmet biztosítani az ilyen támadásokkal szemben.”
A Binance elleni támadás a jelentős kriptovaluta-hackertámadások sorának legújabb esete. A blokkláncok elemzésével foglalkozó Chainalysis adatai szerint 2021 óta ezek során összesen több mint 22,3 milliárd dollárnyi pénzeszközt tulajdonítottak el. A veszteségek nagysága tovább élezte a vitát arról, hogy a kriptotőzsdéknek szükségük van-e egységesebb szabványokra a hozzáférések, a tranzakciók ellenőrzése és az egyéb védelmi intézkedések szabályozására. „Arra számítok, hogy egyértelműbbé és egységesebbé válnak a kiberbiztonsági elvárások, és remélhetőleg a befektetők védelmére és a bizalom megőrzésére vonatkozó követelmények is” - mondta Alexander. „Ezek az esetek megmutatják, miért kell változtatni.”
A kriptovaluta-tőzsdék különösen vonzó célpontok a hackerek számára, mivel könnyen azonosíthatók azok a tárcák, amelyek hatalmas mennyiségű, egyszerűen átutalható digitális eszközt tartalmaznak. Bizonyos esetekben az is kideríthető, hogy mely alkalmazottak férnek hozzá az ezeket az eszközöket kezelő rendszerekhez. Emiatt a mérnökök és az informatikai dolgozók a kifinomult pszichológiai manipulációs műveletek elsődleges célpontjaivá váltak.
Alex Pruden, a blokkláncok és digitális eszközök biztonságával foglalkozó Project Eleven vezérigazgatója szerint a védekező fél alapvető hátrányban van azokkal a támadókkal szemben, akiknek elég egyetlen alkalommal sikerrel járniuk. „Ez rendkívül nehéz probléma” - mondta Pruden. „A kiberbiztonság terén eddig alkalmazott bevált gyakorlatok egyszerűen nem elegendők ahhoz, hogy megbirkózzanak azzal a fenyegetettséggel, amely a mai világunkat jellemzi.” Hozzátette, hogy az iparág kiberbiztonsági szakemberei „állandó háborús helyzetben élnek. Folyamatos támadásoknak vagyunk kitéve”.
Pruden arra számít, hogy a Binance elleni lopás nagyobb kiberbiztonsági beruházásokat ösztönöz majd, beleértve a belső MI-eszközök és -ügynökök körüli védelmi intézkedéseket is. Ezek az eszközök és ügynökök ugyanis maguk is növelhetik a támadók képességeit, ha illetéktelenek kezébe kerülnek. „Ennek a történetnek még csak a legelején járunk, de úgy gondolom, a Binance elleni hackertámadás megmutatta, hogy ezek az eszközök nagyon gyorsan ellenünk fordíthatók, és ha már megtörtént a baj, rendkívül nehéz lehet visszafordítani az okozott károkat.” A kriptovaluta-tőzsdék már megkezdték védelmi rendszereik megerősítését és az információmegosztás fokozását.
A szakértők által azonosított egyenetlen biztonsági gyakorlatok az Egyesült Államok széttagolt szabályozási rendszerében is tükröződnek. Az amerikai kriptovaluta-tőzsdék a bankokkal ellentétben nem egyetlen, szövetségi szintű kiberbiztonsági szabályozási rendszer hatálya alatt működnek. A követelmények ehelyett attól függően változnak, hogy a vállalatok hol folytatják tevékenységüket, és mely államokban rendelkeznek engedélyekkel. New York az iparág legszigorúbb követelményei közé tartozó előírásokat alkalmazza. Az állam Pénzügyi Szolgáltatások Minisztériuma előírja az engedéllyel rendelkező vállalatok számára, hogy tartsanak fenn kiberbiztonsági programokat, alkalmazzanak többtényezős hitelesítést, és jelöljenek ki egy információbiztonsági vezetőt.
Másutt a kriptovaluta-vállalatokra elsősorban az állami pénzátutalási szabályok vonatkozhatnak. Ezek a szabályozási rendszerek általában megkövetelik a vállalatoktól, hogy tájékoztassák a felügyeleti hatóságokat kiberbiztonsági programjaikról, és részt vegyenek ellenőrzéseken. Gyakran azonban nem írnak elő konkrét technikai intézkedéseket, például titkosítási szabványokat. Számos kriptotőzsde nem elérhető az Egyesült Államokban, ezért nem tartozik ezeknek az állami felügyeleti rendszereknek a hatálya alá, bár azokon a piacokon, ahol tevékenykedik, más követelmények vonatkozhatnak rájuk.
A bankokra ezzel szemben szövetségi előírások vonatkoznak, amelyek többek között a kockázatértékelést, a megfigyelést és az incidensekre adott válaszlépéseket szabályozzák. A legnagyobb pénzintézeteket emellett erre szakosodott felügyeleti szervek folyamatos ellenőrzés alatt tartják.