Binance розібралася в крадіжці ~$6,3 млрд: фейкове інтерв’ю і інструмент на ШІ
Binance опублікувала звіт про кібератаку 29 жовтня, коли зловмисники вивели криптоактиви на суму близько $6,3 млрд. ФБР приписує атаку північнокорейському угрупованню TraderTraitor.
Binance оприлюднила технічний розбір крадіжки криптоактивів 29 жовтня на суму близько $6,3 млрд (BleepingComputer наводить оцінку ~$6,34 млрд). ФБР приписує атаку північнокорейській групі TraderTraitor (відомій також як Lazarus Group, Jade Sleet і APT38).
Як зловмисники отримали доступ
За версією Binance, ланцюжок компрометації тривав кілька місяців. У червні один розробник завантажив модифікований інсталятор, імовірно розповсюджений через шкідливу рекламу Google. У вересні іншого інженера атакували через фальшиве працевлаштування: «рекрутер» організував дві співбесіди (з «HR» та «CEO»), ділився сторінками в соцмережах для встановлення довіри та під приводом тестового завдання змусив завантажити код із репозиторію.
За даними компанії, шкідливе програмне забезпечення використовувало заплутування та методи обходу захисту, зокрема підміну компонента легального інструмента розробки. На macOS скрипт створив підміну для pyenv у каталозі Homebrew: видалив легітимний виконуваний файл, перейменував шкідливий у pyenv, змінив символьне посилання та запускав процес zsh, встановлюючи зв’язок із сервером, контрольованим зловмисниками. Засоби захисту кінцевих точок не виявили цей 0‑day.
Що сталося напередодні й у день крадіжки
До 20 жовтня атакувальники, використавши скомпрометований комп’ютер інженера та внутрішній інструмент на основі ШІ, змогли скомпрометувати ще двох співробітників, пов’язаних з інфраструктурою гаманців, і здобути облікові дані та токен для розгортання контейнерів. 29 жовтня вони розгорнули шкідливий скрипт, отримали несанкціонований доступ до сервісу підпису й перевели активи в різних блокчейнах.
Чому перекази не зупинили одразу
Binance пояснює, що зловмисники зловживали механізмом авторизацій Ethereum EIP‑7702, а гарячий гаманець використовував MPC (багатосторонні обчислення, Multi‑Party Computation). Через це не існувало одного приватного ключа, яким можна було б миттєво відкликати шкідливі авторизації.
Наслідки та дії Binance
Компанія повідомляє, що приблизно $2,85 млрд викрадених активів заморожено або перехоплено; 98% постраждалих токенів відновлено (решта в процесі), виведення загалом відновлено. За словами CEO Річарда Тенга, користувачі не несуть збитків. Binance каже, що також блокувала 57 підозрюваних інцидентів, пов’язаних із Північною Кореєю, перебудувала уражені системи, замінила пристрої, відкликала скомпрометовані облікові дані та залучила незалежні компанії для аудиту.
Повторювані прийоми соцінженерії
BleepingComputer зазначає, що сценарій із підробленими інтерв’ю збігається з відомими кампаніями Contagious Interview та Operation Dream Job, де зловмисники видають себе за рекрутерів і надсилають «тестові завдання» зі шкідливим кодом. Водночас у матеріалах мало деталей про внутрішній інструмент на основі ШІ та те, як саме його використання допомогло атакувальникам.
