Хакеры украли 6,34 млрд долларов у Binance через поддельные собеседования

Кибератака, в ходе которой 29 октября были похищены криптовалюты на сумму около 6,34 млрд долларов ≈ 18,7 млрд BYN, готовилась несколько месяцев. Binance опубликовала отчёт, в котором описала этапы атаки: поддельные собеседования при приёме на работу, вредоносное ПО и взломанные внутренние инструменты, включая систему на основе искусственного интеллекта. Злоумышленники проникли в инфраструктуру кошельков и обошли стандартные процедуры вывода средств.

Как хакеры попали во внутреннюю инфраструктуру

В июне инженер, отвечающий за кошельки, загрузил взломанную версию установщика Homebrew, пытаясь поставить инструмент для программирования с использованием ИИ. Служба безопасности Binance обнаружила угрозу, заменила устройство сотрудника и сменила учётные данные. Однако, как признала компания, инцидент раскрыл информацию о персонале, отвечающем за инфраструктуру кошельков.

В сентябре атака зашла дальше. Другому инженеру через легальную платформу по поиску работы написал человек, выдавший себя за рекрутера. Сотрудник прошёл два собеседования: видеозвонок с якобы представителем отдела кадров и разговор с человеком, который назвал себя руководителем вымышленной компании. Во втором собеседовании ему предложили загрузить на рабочий компьютер задание по программированию. Оно содержало вредоносное ПО, которое подменило легитимный компонент инструмента разработчика и позволило злоумышленникам выполнять команды и передавать данные на внешний сервер. По словам Binance, ранее неизвестное ПО обошло её системы безопасности и пыталось скрыть следы взлома.

20 октября хакеры через скомпрометированное устройство и внутренний инструмент ИИ получили доступ к данным ещё двух инженеров, а затем к учётным данным, с помощью которых смогли развернуть программное обеспечение в инфраструктуре кошельков.

Что украдено и как

29 октября злоумышленники через систему подписи кошельков инициировали переводы: 18 270 BTC, 233,46 млн XRP, около 970 500 SOL, 44,2 млн OP и другие активы. Кроме того, они использовали механизм авторизации EIP-7702 в сети Ethereum, который позволяет смарт-контрактам выполнять транзакции от имени учётной записи. С его помощью были установлены вредоносные разрешения, и средства можно было выводить из горячего кошелька даже после того, как Binance приостановила обычные выводы. По данным биржи, для этого потребовалось 50 транзакций с подписью, а использование технологии многосторонних вычислений усложнило отмену этих разрешений. Последний несанкционированный перевод, около 2 962 ETH, был совершён незадолго до полуночи по UTC 29 октября. После этого Binance аннулировала вредоносное делегирование.

Что сделала Binance

По состоянию на последнее обновление заморожены или перехвачены похищенные активы примерно на 2,85 млрд долларов ≈ 8,42 млрд BYN. По состоянию на 31 октября восстановлено 98 % затронутых токенов, при этом продолжаются закупки менее ликвидных криптовалют. Биржа взяла на себя покрытие финансовых убытков. Она восстановила затронутые системы кошельков, заменила скомпрометированные устройства сотрудников, аннулировала утёкшие учётные данные и расширила мониторинг безопасности на основе ИИ. Binance также заказывает независимую экспертизу по кибербезопасности и изучает создание исследовательского фонда по угрозам, связанным с ИИ.

Аналитическая компания Elliptic отследила похищенные активы менее чем за четыре дня: они прошли через примерно 12 000 кошельков в 11 блокчейнах. Binance сообщила, что некоторые технические выводы пройдут независимую проверку до публикации дополнительной информации.

Кто стоит за атакой

ФБР возложило ответственность за атаку на северокорейских хакеров. Компании по анализу блокчейнов TRM Labs и Chainalysis по отдельности связали кражу с хакерскими операциями КНДР. Правительство Северной Кореи отвергло обвинения и назвало заявление ФБР «политической провокацией».