Binance: фальшивое собеседование и взлом ИИ привели к атаке на $6,3 млрд

Скомпрометированное программное обеспечение и социальная инженерия

В отчете, опубликованном во вторник, Binance описала кампанию, длившуюся несколько месяцев, которая началась еще в июне и завершилась кражей 29 октября. Биржа сообщила, что злоумышленники воспользовались доступом к внутреннему сервису подписи кошельков, обойдя стандартные процедуры вывода средств, чтобы переместить миллиарды долларов через несколько блокчейнов.

В ходе расследования были выявлены несколько этапов атаки, включая более раннюю попытку в июне, когда инженер, занимающийся кошельками, загрузил взломанную версию установщика программного обеспечения Homebrew, пытаясь установить инструмент для программирования с использованием искусственного интеллекта. Binance сообщила, что её команда безопасности обнаружила угрозу, заменила устройство сотрудника и сменила соответствующие учетные данные, однако этот инцидент привёл к утечке информации о персонале, отвечающем за инфраструктуру кошельков.

В сентябре произошла утечка с более серьезными последствиями, когда к другому инженеру Binance через легальную платформу по поиску работы обратился человек, выдавший себя за рекрутера. Сотрудник принял участие в двух собеседованиях, включая видеозвонок с якобы представителем отдела кадров и ещё один — с человеком, утверждавшим, что возглавляет вымышленную компанию.

Во время второго собеседования сотруднику было предложено загрузить на рабочий компьютер задание по программированию, содержащее вредоносное ПО.

Вредоносное ПО заменило легитимный компонент инструмента для разработчиков, что позволило злоумышленникам выполнять команды и обмениваться данными с внешним сервером. Binance сообщила, что ранее неизвестное вредоносное ПО обошло ее программное обеспечение безопасности, пытаясь скрыть следы взлома.

20 октября злоумышленники использовали скомпрометированное устройство и внутренний инструмент искусственного интеллекта, чтобы получить доступ к данным ещё двух инженеров. Впоследствии они получили учетные данные, позволившие им развернуть программное обеспечение в инфраструктуре кошельков Binance.

29 октября злоумышленники использовали эти учетные данные для доступа к операциям подписания кошельков и инициировали несанкционированные переводы, в том числе 18 270 BTC, 233,46 млн XRP, примерно 970 500 SOL и 44,2 млн OP, а также другие активы.

Хакеры также воспользовались механизмом авторизации EIP-7702 в сети Ethereum, который позволяет смарт-контрактам выполнять транзакции от имени учетной записи. Установив вредоносные авторизации, они получили возможность перемещать активы из «горячего» кошелька Binance даже после того, как биржа приостановила обычные выводы средств.

Binance сообщила, что злоумышленники отправили 50 транзакций с подписью, чтобы манипулировать последовательностью транзакций учетной записи и установить эти разрешения. Использование биржей технологии многосторонних вычислений усложнило попытки отменить эти авторизации, потребовав специальной процедуры для восстановления контроля.

Последний несанкционированный перевод, на сумму примерно 2 962 ETH, был завершён незадолго до полуночи по UTC 29 октября. Вскоре после этого Binance аннулировала вредоносное делегирование.

Binance восстанавливается после рекордного взлома

Эти выводы дополняют ранее опубликованный в Bitcoin.com News материал с комментариями со-генерального директора Binance Ричарда Тенга, который заявил, что операция включала в себя несколько точек проникновения и методы уничтожения улик, а не была связана с компрометацией одного сотрудника.

Биржа также сослалась на то, что ФБР возложило ответственность за атаку на Северную Корею. Как ранее сообщал Bitcoin.com News, компании по анализу блокчейна TRM Labs и Chainalysis по отдельности связали кражу с хакерскими операциями Северной Кореи. Руководство Северной Кореи с тех пор опровергло эти обвинения, назвав заявление ФБР «политической провокацией».

Binance сообщила, что по состоянию на момент последнего обновления было заморожено или перехвачено похищенных активов на сумму примерно 2,85 млрд долларов. Компания взяла на себя обязательство самостоятельно покрыть финансовые убытки и сообщила, что по состоянию на 31 октября 98 % затронутых токенов были восстановлены, при этом продолжаются закупки менее ликвидных криптовалют.

Биржа сообщила, что с тех пор восстановила затронутые системы кошельков, заменила скомпрометированные устройства сотрудников, аннулировала утечки учетных данных и расширила мониторинг безопасности на основе искусственного интеллекта. Кроме того, она заказывает независимую экспертизу по кибербезопасности и изучает возможность создания исследовательского фонда по безопасности, специализирующегося на угрозах, связанных с искусственным интеллектом.

Восстановление происходит на фоне того, как следователи продолжают отслеживать похищенные средства. В понедельник Bitcoin.com News сообщил, что компания Elliptic, занимающаяся аналитикой блокчейнов, менее чем за четыре дня отследила похищенные активы через примерно 12 000 кошельков в 11 блокчейнах.

Binance подчеркнула, что расследование продолжается и что некоторые технические выводы пройдут независимую проверку, прежде чем компания обнародует дополнительную информацию.