Binance раскрыла детали взлома на 6,3 миллиарда долларов через фальшивые интервью

Криптовалютная биржа Binance опубликовала подробный разбор инцидента безопасности, в результате которого произошла крупнейшая в истории индустрии кража цифровых активов на сумму 6,3 миллиарда долларов. Согласно отчету компании, атака была тщательно спланирована и осуществлялась в течение нескольких месяцев северокрейской хакерской группировкой, известной как TraderTraitor.

• Атака началась в июне с загрузки зараженного установщика через вредоносную рекламу в поисковике Google.
• В сентябре второй инженер подвергся фишингу под видом фальшивого собеседования и загрузил вредоносное тестовое задание.
• Хакеры использовали сложный обход защиты, заменив компонент инструмента pyenv для получения бэкдора.
• 20 октября злоумышленники применили внутренний ИИ-инструмент Binance для получения контроля над кошельками.

Хронология атаки и методы социальной инженерии

Вредоносная кампания началась еще в июне, когда один из разработчиков компании кликнул по рекламному объявлению в поисковой системе и скачал модифицированный инсталлятор. Служба безопасности Binance обнаружила эту угрозу и оперативно заменила рабочее устройство сотрудника. Однако злоумышленники продолжили сбор информации об инженерах компании и их рабочих процессах.

В сентябре хакеры применили классическую, но усовершенствованную схему социальной инженерии. Они связались с другим инженером под видом рекрутеров, провели несколько раундов псевдоинтервью и выстроили доверительные отношения через социальные сети. В результате сотрудник запустил тестовое задание, которое содержало вредоносный код.

Использование ИИ и обход систем защиты

Защитные механизмы Binance на этот раз не смогли вовремя зафиксировать вторую волну атаки, в ходе которой исполняемый файл pyenv был заменен на вредоносную версию. Использованное вредоносное ПО относилось к категории 0-day и применяло продвинутые методы обфускации, скрывая следы присутствия в системе и устанавливая связь с внешним сервером.

К 20 октября хакеры из группировки TraderTraitor добрались до внутреннего ИИ-инструмента Binance. С его помощью они получили контроль над криптовалютными кошельками первого разработчика, скомпрометированного еще в июне, а также еще одного сотрудника. 29 октября злоумышленники окончательно вошли в систему через компьютер третьего инженера и совершили атаку.

Последствия и меры безопасности

Генеральный директор Binance Ричард Тенг сообщил, что биржа оперативно отреагировала на инцидент. Благодаря заморозке и перехвату средств удалось вернуть часть активов, а 98 процентов украденных токенов уже были компенсированы пользователям из собственных резервов компании. Вывод средств на платформе был возобновлен в штатном режиме.

Технический отчет также объясняет, почему транзакции не удалось остановить мгновенно: из-за использования мультиподписи (MPC) для горячих кошельков отсутствовал единый закрытый ключ, позволяющий немедленно отозвать несанкционированные авторизации EIP-7702. Данный случай подчеркивает растущие риски использования сложных ИИ-инструментов внутри корпоративных сетей и необходимость жесткого контроля за цепочками поставки ПО.