Binance рассказала, как хакеры похитили $6,34 млрд через поддельные собеседования и внутренний ИИ-инструмент

Криптобиржа Binance опубликовала предварительный отчёт о взломе 29 октября, затронувшем цифровые активы на $6,34 млрд. По данным компании, злоумышленники несколько месяцев проникали в её инфраструктуру через компьютеры инженеров, используя заражённые программы, фиктивные собеседования и внутренний ИИ-инструмент.

Биржа заявляет, что покрывает финансовые потери за свой счёт. Заморозить или перехватить удалось около $2,85 млрд. По утверждению Binance, к 31 октября она восполнила 98% затронутых атакой токенов и продолжала закупать оставшиеся, менее ликвидные активы.

Чтобы не пропустить новые тексты «Вёрстки», подписывайтесь на наш телеграм-канал

Как хакеры проникли в компанию

Подготовка началась в июне. Инженер подразделения, обслуживающего кошельки, искал инструмент для программирования с помощью ИИ и скачал поддельный установщик менеджера пакетов Homebrew.

Служба безопасности обнаружила заражение, заменила компьютер и обновила связанные с ним учётные данные. Но злоумышленники уже выяснили, какую роль сотрудник играет в инфраструктуре кошельков и с кем работает.

В сентябре атакующие связались с другим инженером через настоящую платформу поиска работы. Представившись сотрудниками вымышленной компании, они провели собеседования с «HR» и «гендиректором». Для убедительности показали аккаунт в соцсети с личными фотографиями и видео.

После этого инженеру предложили скачать на рабочий компьютер тестовое задание. Оно содержало вредоносный код, который защита устройства не распознала.

Как использовали внутренний ИИ-инструмент

20 октября злоумышленники воспользовались заражённым компьютером и внутренним ИИ-инструментом Binance, чтобы получить контроль над устройствами ещё двух инженеров. На одном из них обнаружился токен, позволявший развёртывать программные контейнеры.

29 октября с помощью похищенных учётных данных атакующие развернули контейнер и запустили вредоносный скрипт. В итоге они получили доступ к внутреннему сервису подписи транзакций.

За первые четыре минуты с пяти горячих кошельков вывели более 233 млн XRP. Затем последовали переводы других криптовалют.

Почему блокировка вывода не остановила хищение сразу

Хакеры также предоставили подконтрольному им смарт-контракту часть прав на операции с одним из кошельков. Эти разрешения действовали непосредственно в блокчейне и сохранялись после остановки обычного вывода средств.

Последний несанкционированный перевод завершился почти через четыре часа после первого. Для прекращения операций бирже потребовалось отдельно отозвать выданные злоумышленниками разрешения.

Binance сообщила, что перестроила затронутую систему кошельков и внутренний ИИ-инструмент, заменила устройства и аннулировала скомпрометированные учётные данные. К проверке привлекают независимых специалистов.

Чтобы не пропустить новые тексты «Вёрстки», подписывайтесь на наш телеграм-канал

ФБР возложило ответственность на Северную Корею

В заявлении ФБР, датированном 31 октября, ответственность за хищение возложена на КНДР. Американское ведомство связывает атаку с деятельностью TraderTraitor.

По данным ФБР, злоумышленники конвертируют похищенные активы преимущественно в Ethereum. Ведомство предполагает, что для дальнейшего отмывания они будут использовать сервисы децентрализованных финансов и быстрого обмена криптовалют. Северная Корея отвергает причастность к атаке.

Ранее «Вёрстка» рассказывала, как люди, связанные с делом о хищении $450 млн с криптобиржи Wex, создали оператора бизнес-авиации «Дримджет». Издание обнаружило среди связанных с компанией лиц депутата Госдумы, партнёра бизнесмена Константина Малофеева и бывших сотрудников спецслужб.

Фото: Rodolfo Buhrer/La Imagem/Fotoarena/Sipa USA via Reuters Connect