Binance раскрыла, как хакеры вывели $6,3 млрд через фейковое собеседование

Binance опубликовала первый отчёт о расследовании взлома, в ходе которого 29 октября с её горячих кошельков были выведены средства на $6,3 млрд ≈ 18,8 млрд BYN. По версии биржи, это была не единичная ошибка, а кампания длиной около пяти месяцев: первые следы относятся к июню, финальная фаза пришлась на конец октября.

Со-CEO Binance Ричард Тенг заявил: «Это была не одна ошибка и не одна брешь, это была многомесячная кампания. Мы публикуем полный отчёт, потому что уроки выходят далеко за пределы Binance».

С чего начался взлом

В июне инженер команды кошельков скачал через Homebrew подменённую версию популярного инструмента для программирования с ИИ. Служба безопасности заметила аномалию, устройство заменили, учётные данные сменили. Но злоумышленники к тому моменту уже знали, кто этот сотрудник и с кем он работает.

Фейковое собеседование

В сентябре хакеры вышли на второго сотрудника через легитимную платформу по поиску работы и пригласили его на собеседование в несуществующую компанию. Чтобы вызвать доверие, «рекрутёр» показывал личные фото и видео из соцсетей. На втором этапе «генеральный директор» попросил выполнить тестовое задание и скачать код на рабочий компьютер. Внутри был вредоносный скрипт, который обошёл защиту.

Как внутренний ИИ-инструмент помог атаке

20 октября хакеры через заражённый компьютер и внутренний ИИ-инструмент самой Binance получили контроль над устройствами ещё двух инженеров. На одном из них нашёлся токен с правами на развёртывание контейнеров. 29 октября с этими правами злоумышленники запустили скрипт, который открыл доступ к сервису подписи транзакций. Binance признала, что её собственный ИИ-инструмент стал частью цепочки атаки.

Масштаб ущерба и возврат средств

За считанные минуты с кошельков ушли 233 млн XRP, около 970,500 SOL, 44 млн OP и 18 270 BTC. Binance заморозила или перехватила около $2,85 млрд ≈ 8,49 млрд BYN и восполнила 98% пострадавших активов из собственных средств.

Кто стоит за атакой

ФБР связало взлом с северокорейской группой TraderTraitor, которую также называют Lazarus Group. Пхеньян отверг обвинения и назвал их «политической провокацией».