Binance: hakeri 6,3 miljardu dolāru zādzībai izmantojuši viltotas darba intervijas un iekšējo MI rīku

Kriptovalūtu birža Binance ir izklāstījusi, kā tika veikta līdz šim lielākā kriptovalūtu zādzība, kuras apmērs minēts 6,3 miljardi dolāru. Uzņēmuma pēcizmeklēšanas ziņojums liecina, ka uzbrucēji vairāku mēnešu garumā apvienoja jau labi zināmas hakeru metodes. Tas ir svarīgi, jo ziņojums parāda, kā ar sociālo inženieriju var tikt apdraudēta pat liela kriptovalūtu platforma.

Kā attīstījās uzbrukums

Pēc Binance datiem, viss sākās jūnijā, kad kāds izstrādātājs lejupielādēja viltotu instalēšanas failu. Tas, šķiet, izplatījās ar ļaunprātīgu Google reklāmu un atklāja informāciju par inženieriem un viņu darba metodēm. Septembrī uzbrucēji vērsās pret citu inženieri, uzdodoties par potenciālu darba devēju. Notika vairāki zvani un intervijas kārtas, tika rādītas sociālo tīklu lapas, lai iegūtu uzticību, un beigās cilvēkam lika lejupielādēt it kā intervijas uzdevumu, kas patiesībā bija ļaunprogrammatūra.

Binance norāda, ka jūnija inficēšanos tās drošības komandas pamanīja un darbinieka ierīci nomainīja. Savukārt otro uzbrukumu drošības rīki neatklāja: ļaunprogrammatūra aizstāja izstrādes rīka pyenv komponentu ar ļaunprātīgu versiju un deva uzbrucējiem slēptu piekļuvi.

Piekļuve makiem un zādzība

Līdz 20. oktobrim uzbrucēji, kurus FBI identificējis kā Ziemeļkorejas vienību „TraderTraitor”, izmantoja Binance iekšējo mākslīgā intelekta rīku, lai iegūtu kontroli pār pirmā inženiera un vēl kāda trešā darbinieka makiem. 29. oktobrī viņi pieteicās trešā darbinieka datorā un sāka uzbrukumu.

Binance skaidro, ka nespēja apturēt darījumus, kas notika gandrīz divas stundas pēc pirmajiem neatļautajiem pārskaitījumiem, jo karstais maks izmantoja daudzpušu skaitļošanu (MPC) un nebija vienas privātās atslēgas, ar ko uzreiz atsaukt ļaunprātīgās EIP-7702 autorizācijas.

Binance izpilddirektors Ričards Tengs raksta, ka zaudējumus neviens lietotājs nesedz: aptuveni 2,85 miljardi dolāru nozagto aktīvu iesaldēti vai pārtverti, 98% skarto tokenu papildināti, bet izņemšana lielākoties atsākta. Birža arī apgalvo, ka novērsusi 57 aizdomīgus ar Ziemeļkoreju saistītus kiberapdraudējuma gadījumus.

Neskaidrs paliek, kāpēc tieši šis uzbrukums izdevās, jo par risku, ka darba intervijās lūdz lejupielādēt kodu, brīdina jau gadiem. Maz zināms arī par iekšējo MI rīku un to, kāpēc tas uzbrucējiem palīdzēja.