Binance: похитители криптовалюты несколько месяцев готовили ограбление
Расследование криптобиржи Binance показало, что кража, нацеленная на 6,34 млрд долларов, готовилась с июня с помощью фальшивых собеседований и нового вредоносного ПО. Биржа пока заморозила или перехватила 2,85 млрд долларов.
Одна из крупнейших криптовалютных бирж мира Binance заявила во вторник, что хакеры, укравшие криптовалюту на миллиарды долларов, готовили атаку несколько месяцев. Федеральное бюро расследований США (ФБР) и охранная компания TRM Security связывают кражу с северокорейскими злоумышленниками. Первоначально они нацелились на криптовалюту стоимостью 6,34 млрд долларов из кошельков Binance — это крупнейшая сумма, которая когда-либо была целью кражи в криптовалюте. Биржа сообщает, что зарезервировала средства для покрытия ущерба.
Кампания с июня
По данным Binance, злоумышленники действовали не позднее июня, а средства успешно похитили в прошлый четверг, взломав ноутбук инженера. Компания подчёркивает, что это была многоэтапная кампания, а не единичный взлом или простой фишинг.
В июне один из инженеров скачал изменённую версию Homebrew. Служба безопасности обнаружила заражённый ноутбук, но уже после того, как атакующие узнали роли этого инженера и его коллег в команде кошельковой инфраструктуры. В сентябре другому инженеру через легальную платформу поиска работы написал человек, выдававший себя за директора проекта. Состоялись два собеседования — с мнимым HR-специалистом и мнимым генеральным директором. Во время второго инженеру велели скачать «задание» с вредоносным кодом. Эта «нулевого дня» вредоносная программа не была обнаружена средствами защиты, которые использовались тогда.
Как происходила кража
20 октября злоумышленники с помощью взломанного компьютера и внутреннего ИИ-инструмента захватили устройства ещё двух инженеров. Спустя девять дней, с 17:15 до 19:56 по UTC, они вошли на устройство третьего инженера, использовали похищенный токен, развернули контейнер и запустили скрипт для начала переводов. С горячих кошельков на адреса злоумышленников ушло примерно 970 500 SOL, 44,2 млн OP и 18 270 BTC. Кроме того, они применили механизм Ethereum EIP-7702, чтобы дать своему смарт-контракту частичные права исполнения над кошельком.
Binance приостановила выводы и вместе с партнёрами заморозила активы. Поскольку кошелёк использовал многосторонние вычисления (MPC), единого закрытого ключа не существовало, и для отзыва вредоносных разрешений потребовалась особая процедура. По данным TRM Security, злоумышленники отмывали средства через сети TRON и Ethereum.
