29 октября криптобиржу Binance взломали: хакерам удалось вывести активы на 6,34 млрд долларов. Хотя расследование ещё идёт, специалисты компании раскрыли некоторые подробности кибератаки — её, как сообщается, готовили пять месяцев, с июня.
- В июне злоумышленники заразили компьютер одного из DevOps-инженеров через модифицированный установщик Homebrew, который тот скачал при настройке ИИ-инструмента для программирования. Сотрудники заметили вредонос и заменили устройство, но хакеры успели получить список тех, кто в компании работают с кошельками.
- В сентябре хакеры вышли на сотрудника из списка под видом рекрутеров: после нескольких собеседований ему отправили тестовое задание с вредоносным ПО.
Получив доступ к компьютерам сотрудников, злоумышленники смогли воспользоваться внутренним ИИ-инструментом Binance и получить необходимые права для управления горячими криптокошельками биржи. 29 октября они развернули вредоносный контейнер и через внутренний сервис подписи транзакций обошли стандартную процедуру вывода средств.
За четыре минуты пять горячих кошельков отправили на адрес злоумышленника 233,46 млн XRP, после чего ушли 970 тысяч SOL, 44,2 млн OP и 18 270 BTC. Дополнительно в сети Ethereum хакеры использовали механизм EIP-7702, чтобы передать вредоносному смарт-контракту часть полномочий на управление кошельком. Это позволило продолжать операции даже после того, как Binance остановила вывод средств: отключение сервисов не аннулировало уже выданные разрешения в блокчейне.
В результате атаки были затронуты активы на сумму около $6,34 млрд. По данным Binance, к 31 октября удалось восстановить 98% средств, а около $2,85 млрд заморозить или перехватить.
По данным ФБР, за атакой стоит группировка из КНДР. В Binance также отмечают, что за год биржа заблокировала 57 угроз, предположительно связанных с Северной Кореей.