Binance раскрыла детали взлома на 6,34 миллиарда долларов через фальшивые собеседования

Крупнейшая криптовалютная биржа Binance опубликовала подробный отчет о масштабной кибератаке, в результате которой злоумышленники похитили около 6,34 миллиарда долларов в криптовалюте. Инцидент стал результатом многоэтапной кампании, тщательно спланированной и осуществленной северокорейскими хакерами.

Кратко

• Атака началась с заражения компьютеров инженеров через поддельный Homebrew и фальшивое собеседование.
• Хакеры получили доступ к внутренней службе подписи кошельков биржи 29 октября.
• ФБР официально возложило ответственность за кражу на КНДР и группировку TraderTraitor.
• Binance смогла заморозить около 2,85 млрд долларов и возместить 98% средств пользователей.

Как хакеры внедрились в систему Binance

Первый известный взлом произошел еще в июне, когда инженер Wallet DevOps случайно скачал зараженную версию пакетного менеджера Homebrew вместо инструмента на базе ИИ. Хотя руководство биржи обнаружило аномалию, заменило устройство и обновило учетные данные сотрудника, хакеры уже успели выяснить его роль и составить карту инфраструктуры кошельков.

Второй вектор атаки был задействован в сентябре через фальшивый процесс рекрутинга. Злоумышленники связались с другим инженером под видом проектного директора, провели два видеоинтервью с участием псевдо-HR и псевдо-директора компании, а затем попросили загрузить тестовое задание с вредоносным репозиторием кода.

Развитие атаки и кража средств

Загруженный код содержал бэкдор, который заменил компонент утилиты управления версиями Python на вредоносную версию, оставаясь незамеченным для защитного ПО. Используя скомпрометированные ПК, хакеры получили доступ к внутреннему ИИ-инструменту и токенам развертывания контейнеров.

29 октября злоумышленники использовали украденные учетные данные для развертывания контейнера и выполнения скрипта на компьютере еще одного сотрудника. Это открыло им доступ к службе подписи кошельков, позволив вывести средства из пяти горячих кошельков в обход стандартных процедур.

Реакция властей и последствия для криптоиндустрии

1 ноября ФБР США официально обвинило в организации кражи северокорейскую группировку, известную как TraderTraitor. Пхеньян традиционно отверг все обвинения, назвав заявления США абсурдными, в то время как эксперты отмечают схожесть с кампаниями групп Lazarus и WaterPlum.

Биржа Binance оперативно отреагировала на инцидент, заявив о заморозке и перехвате около 2,85 миллиарда долларов украденных активов. Кроме того, руководство биржи подтвердило, что 98% пострадавших средств уже были полностью возмещены из внутренних резервов платформы.