Binance рассказала о деталях масштабной хакерской атаки и крахе криптоактивов

Криптовалютная биржа Binance сообщила новые подробности масштабного взлома, в результате которого злоумышленники получили доступ к активам на миллиарды долларов. По данным компании, подготовка к кибератаке велась на протяжении нескольких месяцев с использованием социальной инженерии и сложного вредоносного ПО.

• Хакеры нацелились на рекордную сумму в 6,34 миллиарда долларов, из которых 2,85 миллиарда удалось заморозить.
• В атаке использовались поддельные собеседования, зараженный Homebrew и внутренние инструменты искусственного интеллекта.
• ФБР и компания TRM Security связывают атаку с североморской хакерской группировкой TraderTraitor.
• Злоумышленники эксплуатировали механизм авторизации EIP-7702 для обхода стандартной инфраструктуры вывода средств.

Многоэтапная подготовка и заражение устройств

Согласно расследованию Binance, кампания началась не позднее июня, когда инженер скачал измененную версию пакета Homebrew. В сентябре другой сотрудник стал жертвой фишинга на платформе для поиска работы. Злоумышленники притворились рекрутерами и топ-менеджментом вымышленной компании, проведя несколько раундов собеседований через видеосвязь и мессенджеры. Под видом тестового задания инженер загрузил репозиторий с вредоносным кодом, который успешно обошел защитные решения на конечных точках.

Используя скомпрометированное устройство и внутренние И Инструменты компании, 20 октября злоумышленники получили контроль над компьютерами других инженеров. Хакеры получили доступ к токенам развертывания контейнеров и внутренним службам подписания транзакций, что позволило им обойти стандартные процессы вывода активов с биржи. Было похищено около 970 500 SOL, 44,2 миллиона OP и 18 270 BTC.

Обход механизмов защиты и ликвидация последствий

Для совершения кражи атакующие задействовали механизм Ethereum EIP-7702, который позволяет передавать часть прав выполнения смарт-контракту без раскрытия приватного ключа. Это дало им возможность автономно переводить активы даже после приостановки выводов биржей. Из-за использования Multi-Party Computation (MPC) у Binance не было единого приватного ключа для быстрой отмены делегирования, поэтому специалистам пришлось разрабатывать особую процедуру.

Компания зарезервировала средства для покрытия убытков и оперативно приняла меры по сдерживанию угрозы, включая сотрудничество с партнерами для заморозки средств. Тем временем TRM Security отслеживает активность хакеров под кодовым именем TraderTraitor, отмечая использование сложных схем отмывания через мосты и сети TRON и Ethereum.

Последствия для индустрии и бизнеса

Этот инцидент стал крупнейшей попыткой хищения криптовалюты в истории, продемонстрировав уязвимость человеческого фактора даже в высокотехнологичных компаниях. Атаки через фальшивые собеседования становятся новой тенденцией среди продвинутых киберпреступников, включая поддерживаемые государством группировки. Для криптобирж и финтех-компаний это служит серьезным напоминанием о необходимости жесткого контроля внутренних доступов и защиты цепочек поставок ПО.