Binance: взлом на $6,3 млрд начался с фальшивого интервью

Binance связала атаку 29 октября с многоэтапной кампанией, которая продолжалась несколько месяцев. Злоумышленники использовали социальную инженерию, вредоносные загрузки, внутренний ИИ-инструмент биржи и скомпрометированные устройства сотрудников. Затем они получили доступ к сервису, подписывающему транзакции горячих кошельков, и смогли переводить активы в обход стандартной процедуры вывода средств.

Первый известный эпизод произошел в июне. Инженер Binance скачал измененный пакет Homebrew при установке инструмента для разработки с использованием ИИ. Служба безопасности обнаружила подозрительную активность, заменила устройство и обновила связанные учетные данные. Однако к тому времени злоумышленники уже собрали сведения о сотрудниках команды, отвечавшей за кошельки.

В сентябре другой инженер получил на легитимной платформе для поиска работы сообщение от человека, представившегося директором проекта. После двух видеособеседований сотруднику предложили скачать тестовое задание. Репозиторий содержал вредоносный код, который скомпрометировал рабочий компьютер. По данным Binance, программа использовала методы сокрытия и обошла действовавшие тогда средства защиты устройств.

20 октября атакующие применили скомпрометированный компьютер и внутренний ИИ-инструмент Binance, чтобы получить доступ к устройствам еще двух инженеров. На одном из них они нашли токен с правами на развертывание контейнеров. 29 октября злоумышленники использовали похищенные учетные данные, установили контейнер в инфраструктуре кошельков и запустили вредоносный скрипт.

В период с 20:05 до 20:09 UTC пять кошельков отправили на контролируемый атакующими адрес 233,46 млн XRP. Из кошельков в сетях Solana и Optimism вывели около 970 500 SOL и 44,2 млн OP. Затем из горячего кошелька Binance перевели 18 270 BTC.

Для дальнейших операций злоумышленники использовали механизм EIP-7702 в Ethereum. Он позволяет обычному криптовалютному адресу делегировать смарт-контракту права на выполнение определенных операций. Благодаря этому переводы продолжались после ограничения операций и приостановки стандартных выводов средств.

Система горячих кошельков Binance на базе многосторонних вычислений усложнила отзыв разрешений. В такой архитектуре нет единого приватного ключа для немедленной отмены операций. Последняя несанкционированная транзакция на 2961,9 ETH была подтверждена в 23:56 UTC 29 октября. В 00:10 UTC 30 октября Binance отправила новую авторизацию на нулевой адрес, чтобы удалить делегированный код EIP-7702.

По оценке биржи, атака затронула активы примерно на $6,34 млрд. Около $2,85 млрд удалось заморозить или перехватить. К 31 октября Binance восстановила около 98% затронутых токенов и заявила, что возьмет финансовые потери на себя. Компания также сообщила о покупке оставшихся менее ликвидных активов.

Binance перестроила затронутые системы кошельков и внутренний ИИ-инструмент, заменила устройства и отозвала учетные данные и токены, связанные с пострадавшими сотрудниками. Биржа планирует привлечь независимые компании по кибербезопасности для проверки результатов расследования. Компания не раскрыла часть технических подробностей. Расследование продолжается.

«Это была не одна ошибка и не один взлом — это была продолжавшаяся несколько месяцев кампания», — заявил со-генеральный директор Binance Ричард Тенг.

ФБР назвало атаку крупнейшим взломом в истории криптовалют и приписало ее северокорейским группам. Ким Ё Чжон, сестра лидера КНДР Ким Чен Ына, отвергла обвинения и заявила, что такая атрибуция носит политический характер.