Binance: атака на $6,3 млрд через фейкову співбесіду та зламані ШІ-інструменти

Зламане програмне забезпечення та соціальна інженерія

У звіті, опублікованому у вівторок, Binance описала багатомісячну кампанію, яка розпочалася ще в червні та завершилася крадіжкою 29 жовтня. Біржа повідомила, що зловмисники скористалися доступом до внутрішньої служби підписання гаманців, обійшовши звичайні процедури виведення коштів, щоб переказати мільярди доларів через кілька блокчейнів.

У ході розслідування було виявлено кілька етапів атаки, зокрема попередню спробу в червні, коли інженер, що займався гаманцями, завантажив скомпрометовану версію інсталятора програмного забезпечення Homebrew, намагаючись встановити інструмент для кодування на основі штучного інтелекту. Binance повідомила, що її команда з безпеки виявила загрозу, замінила пристрій співробітника та змінила відповідні облікові дані, але цей інцидент призвів до витоку інформації про персонал, відповідальний за інфраструктуру гаманців.

У вересні стався більш серйозний витік даних, коли до іншого інженера Binance через легальну платформу з працевлаштування звернулася особа, яка видавала себе за рекрутера. Співробітник взяв участь у двох співбесідах, зокрема у відеодзвінку з нібито представником відділу кадрів та в іншому — з особою, яка стверджувала, що очолює вигадану компанію.

Під час другого співбесіди співробітнику було наказано завантажити на робочий комп’ютер завдання з програмування, яке містило шкідливе програмне забезпечення.

Шкідливе програмне забезпечення замінило легітимний компонент інструменту для розробників, що дозволило зловмисникам виконувати команди та встановлювати зв’язок із зовнішнім сервером. Binance повідомила, що раніше невідоме шкідливе програмне забезпечення обійшло її програмне забезпечення для безпеки, намагаючись приховати сліди злому.

20 жовтня зловмисники використали скомпрометований пристрій та внутрішній інструмент на базі штучного інтелекту, щоб отримати доступ до ще двох інженерів. Згодом вони отримали облікові дані, що дозволили їм розгорнути програмне забезпечення в інфраструктурі гаманців Binance.

29 жовтня зловмисники використали ці облікові дані для доступу до операцій підписання гаманців та ініціювали несанкціоновані перекази, що включали, серед інших активів, 18 270 BTC, 233,46 млн XRP, приблизно 970 500 SOL та 44,2 млн OP.

Хакери також скористалися механізмом авторизації EIP-7702 в мережі Ethereum, який дозволяє смарт-контрактам виконувати транзакції від імені рахунку. Встановивши зловмисні авторизації, вони отримали можливість переміщувати активи з «гарячого» гаманця Binance навіть після того, як біржа призупинила звичайні виведення коштів.

Binance повідомила, що зловмисники подали 50 транзакцій з підписом, щоб маніпулювати послідовністю транзакцій облікового запису та встановити ці дозволи. Використання біржею технології багатосторонніх обчислень ускладнило спроби скасувати авторизації, що вимагало спеціальної процедури для відновлення контролю.

Останній несанкціонований переказ, що становив приблизно 2 962 ETH, було завершено незадовго до півночі за UTC 29 жовтня. Невдовзі після цього Binance скасувала зловмисну делегацію.

Binance відновлюється після рекордного хакерського нападу

Ці висновки доповнюють попереднє висвітлення Bitcoin.com News коментарів співголови Binance Річарда Тенга, який зазначив, що операція передбачала використання декількох точок проникнення та методів знищення доказів, а не зловживання довірою з боку одного співробітника.

Біржа також посилалася на висновок ФБР про те, що за атакою стоїть Північна Корея. Як раніше повідомляв Bitcoin.com News, компанії з аналізу блокчейну TRM Labs та Chainalysis окремо пов’язали крадіжку з хакерськими операціями Північної Кореї. Керівництво Північної Кореї відтоді заперечило ці звинувачення, назвавши заяву ФБР «політичною провокацією».

Binance повідомила, що станом на останнє оновлення було заморожено або перехоплено викрадених активів на суму приблизно 2,85 млрд доларів. Компанія зобов’язалася самостійно покрити фінансові збитки та повідомила, що станом на 31 жовтня 98% постраждалих токенів було відновлено, при цьому продовжуються закупівлі менш ліквідних криптовалют.

Біржа повідомила, що з того часу вона відновила уражені системи гаманців, замінила скомпрометовані пристрої співробітників, анулювала викрадені облікові дані та розширила моніторинг безпеки на основі штучного інтелекту. Вона також замовляє незалежний аудит кібербезпеки та вивчає можливість створення фонду досліджень у сфері безпеки, орієнтованого на загрози, пов’язані зі штучним інтелектом.

Відновлення відбувається на тлі того, як слідчі продовжують відстежувати викрадені кошти. Bitcoin.com News повідомило в понеділок, що компанія з аналізу блокчейнів Elliptic за менш ніж чотири дні відстежила вкрадені активи через приблизно 12 000 гаманців у 11 блокчейнах.

Binance наголосила, що розслідування триває, і що деякі технічні висновки пройдуть незалежну перевірку, перш ніж компанія оприлюднить додаткову інформацію.