Злоумышленники, атаковавшие Binance, провернули криптоограбление на 6,3 млрд долларов с помощью фальшивых собеседований

Binance раскрыла новые подробности кибератаки, в результате которой было потеряно цифровых активов на 6,34 млрд долларов. В заявлении криптовалютной биржи приводится ссылка на выводы ФБР, согласно которым ответственность за атаку и кражу, произошедшую 29 октября, несёт Северная Корея. Биржа также пояснила, что для злоумышленников это была отнюдь не однодневная операция. В июне инженер Wallet DevOps, работавший над инфраструктурой кошельков Binance, скачал подделанный установочный пакет Homebrew для популярного ИИ-инструмента для программирования, который он нашёл через поисковую систему. Тогда Binance удалось обнаружить аномалию и принять меры, однако в результате инцидента к злоумышленникам попали сведения о коллегах инженера.

Затем в сентябре инженер-программист Binance получил сообщение от «директора проекта» через легальную платформу для поиска работы. Он прошёл два этапа собеседований: первый — по видеосвязи с якобы HR-представителем, который для завоевания доверия поделился с ним своим личным аккаунтом в соцсети. Второе собеседование проходило в мессенджере с так называемым генеральным директором вымышленной компании. Фальшивый CEO отправил ему тестовое задание, которое тот скачал. Как выяснилось, файл содержал вредоносное ПО, запустившееся в процессе установки.

По данным Binance, вредоносная программа «использовала сложные методы обфускации и уклонения», чтобы избежать обнаружения. Например, она подменяла подлинный компонент инструмента разработки вредоносной версией для выполнения команд. Кроме того, программа скрывала свою активность и по ходу работы удаляла следы взлома.

20 октября злоумышленники с помощью скомпрометированного компьютера инженера-программиста воспользовались внутренним ИИ-инструментом, чтобы получить контроль над компьютерами инженера Wallet DevOps и ещё одного его коллеги-инженера. Затем, 29 октября, они вошли в компьютер третьего инженера, использовали учётные данные, похищенные у первого инженера Wallet DevOps, и запустили вредоносный скрипт, чтобы начать атаку.

Из затронутых инцидентом цифровых активов на сумму 6,34 млрд долларов активы на 2,85 млрд долларов удалось заморозить. Binance признала, что перемещение активов продолжалось даже после приостановки вывода средств, поскольку эти транзакции уже были авторизованы. По состоянию на 3 ноября биржа уже перестроила пострадавшую систему кошельков и внутренние ИИ-инструменты, заменила затронутые устройства, отозвала скомпрометированные учётные данные и токены, провела углублённую проверку безопасности устройств сотрудников и дополнила свою систему функциями обнаружения аномалий на базе ИИ.

Binance заявила, что возьмёт финансовые потери от атаки на себя и уже зарезервировала достаточно средств для покрытия украденного. Биржа также сообщила, что уже восполнила 98% затронутых токенов и «находится в процессе выкупа оставшихся, менее ликвидных активов».