Binance: кражу $6,3 млрд начали с фальшивого собеседования
Из похищенных $6,34 млрд биржа успела заморозить или перехватить около $2,85 млрд.
Фото: Binance
Binance опубликовала 3 ноября первый отчёт о взломе 29 октября. Биржа потеряла около $6,34 млрд в цифровых активах, а одним из ключевых звеньев атаки стало поддельное собеседование с её инженером. Около $2,85 млрд удалось заморозить или перехватить, но эта сумма ещё может измениться после сверки и из-за колебаний курса.
Подготовка началась в июне. Один инженер Binance скачал заражённую установку Homebrew, популярного менеджера программ. Компания заменила устройство и сменила учётные данные.
В сентябре с другим инженером связались на легальной платформе поиска работы. На первом видеоинтервью фальшивый сотрудник HR показал ему аккаунт в соцсети с личными фото и видео, чтобы вызвать доверие. Второй разговор в популярном мессенджере вёл человек, выдававший себя за главу компании. Он попросил скачать «задание» с заражённым репозиторием кода.
Вредонос подменил компонент pyenv, инструмента для работы с версиями Python. По данным TechCrunch, средства защиты Binance его не заметили. 20 октября атакующие через заражённый компьютер и внутренний ИИ-инструмент добрались до компьютеров инженеров команды кошельков.
29 октября хакеры воспользовались украденным токеном развёртывания контейнеров и запустили скрипт кражи на компьютере ещё одного инженера. С 20:05 до 20:09 UTC пять горячих кошельков, то есть постоянно подключённых к сети, отправили на их адрес 233,46 млн XRP. Также ушли около 970 500 SOL, 44,2 млн OP и 18 270 BTC. Последний перевод на 2961,9 ETH завершился в 23:56 UTC.
«Это не единичный взлом и не простой фишинг», говорится в отчёте Binance, где атаку называют сложной многоэтапной кампанией. Биржа обещает покрыть убыток сама, а не за счёт клиентов. На 31 октября она восполнила 98% затронутых активов и докупает оставшиеся, менее ликвидные токены.
Binance перестроила систему кошельков и внутренний ИИ-инструмент, заменила затронутые устройства и отозвала учётные данные. Внешние специалисты проведут независимую проверку. Представитель компании Росс О’Лири не ответил под запись на вопросы TechCrunch о том, проверяли ли сеть биржи сторонние аудиторы до взлома.
Ранее ФБР назвало КНДР виновницей взлома и связало его с группой TraderTraitor, близкой к Lazarus. Это крупнейшая кража криптовалюты в истории, а Binance сообщила как минимум о 57 предполагаемых атаках из Северной Кореи.
Источники: Binance — отчёт об инциденте, The Register — фальшивое собеседование, TechCrunch — тактика хакеров КНДР
