Криптобиржа Binance 3 ноября раскрыла подробности атаки, в ходе которой 29 октября из её горячих кошельков вывели криптоактивы примерно на $6,3–6,4 млрд. Цепочка компрометации началась с заражённого инструмента для программирования и продолжилась ложным собеседованием с другим сотрудником.
В июне разработчик системы криптокошельков загрузил подменённую версию инструмента с искусственным интеллектом. Binance обнаружила заражение, заменила устройство и учётные данные, однако атакующие успели получить сведения о ролях сотрудников команды.
В сентябре злоумышленники связались с другим инженером, который искал работу. После онлайн-собеседований с представителем отдела кадров и предполагаемым руководителем вымышленной компании сотрудника убедили загрузить на рабочий компьютер репозиторий с тестовым заданием и вредоносным кодом.
Читайте также
Как сообщает CNA, 20 октября атакующие использовали этот компьютер и внутренний ИИ-инструмент Binance, чтобы получить контроль над системами двух разработчиков криптокошельков. 29 октября с компьютера второго сотрудника запустили вредоносный скрипт, задействовав учётные данные первого.
По оценке Chainalysis, несанкционированные переводы затронули горячие кошельки в нескольких блокчейнах и составили около $6,4 млрд. Аналитическая компания называет случившееся крупнейшей кражей в истории криптовалют.
Около $2,8 млрд удалось заморозить при участии эмитентов стейблкоинов, аналитических компаний и правоохранительных органов. Binance заявила, что возместит клиентам потери из собственного фонда безопасности и средств компании.
Chainalysis и ФБР связывают атаку с северокорейской группой TraderTraitor. Аналитики обнаружили, что похищенные у Binance активы смешивались со средствами из более раннего взлома Bitget, который также приписывали хакерам из КНДР. Северная Корея отвергла обвинения.
Инцидент подтвердил риск атак через удалённый найм: злоумышленники могут использовать ложные собеседования и тестовые задания, чтобы внедрить вредоносный код на рабочие компьютеры сотрудников.