Binance: хакеры использовали фальшивые собеседования и внутренний ИИ-инструмент при краже на 6,3 млрд долларов
Криптобиржа Binance опубликовала разбор крупнейшей на сегодня кражи в сфере криптовалют. Атака, которую ФБР связывает с северокорейским подразделением, длилась несколько месяцев и опиралась на известные методы взлома.
Криптовалютная биржа Binance рассказала, как была совершена крупнейшая на сегодняшний день кража криптовалюты, оцениваемая в 6,3 млрд долларов. Согласно итоговому отчёту компании, в течение нескольких месяцев злоумышленники сочетали уже известные приёмы взлома. Это важно, поскольку показывает, как социальная инженерия может поставить под угрозу даже крупную криптоплатформу.
Как развивалась атака
По данным Binance, всё началось в июне, когда один из разработчиков скачал подменённый установщик. Заражение, судя по всему, распространилось через вредоносную рекламу Google и раскрыло сведения об инженерах и их методах работы. В сентябре другого инженера выбрал целью человек, выдававший себя за потенциального работодателя. Он организовал звонки и несколько раундов собеседований, показывал страницы в соцсетях для завоевания доверия и в итоге добился загрузки фальшивого тестового задания, которое оказалось вредоносной программой.
Binance сообщает, что её службы безопасности обнаружили июньское заражение и заменили устройство сотрудника. Вторую атаку средства защиты не выявили: вредоносная программа заменила компонент инструмента разработки pyenv вредоносной версией и дала злоумышленникам скрытый доступ.
Доступ к кошелькам и кража
К 20 октября атакующие, которых ФБР определило как северокорейское подразделение «TraderTraitor», с помощью внутреннего ИИ-инструмента Binance получили контроль над кошельками инженера, заражённого в июне, и ещё одного, третьего сотрудника. 29 октября они вошли в компьютер третьего сотрудника и начали атаку.
Binance объясняет, что не смогла остановить транзакции, прошедшие почти через два часа после первых несанкционированных переводов, потому что горячий кошелёк использовал многосторонние вычисления (MPC), и единого закрытого ключа для немедленной отмены вредоносных авторизаций EIP-7702 не существовало.
Гендиректор Ричард Тенг пишет, что убытки не несёт ни один пользователь: около 2,85 млрд долларов похищенных активов заморожено или перехвачено, 98% затронутых токенов восполнено, выводы средств в целом возобновлены. Биржа также заявляет, что предотвратила 57 подозрительных случаев киберугроз, связанных с Северной Кореей.
Остаётся неясным, почему эта атака удалась: об опасности собеседований, где просят скачать код, предупреждают годами. Мало известно и о внутреннем ИИ-инструменте и о том, почему он помог атакующим.
