Эта статья была составлена и систематизирована BlockWeeks
Binance опубликовала свой первый отчет о расследовании инцидента с оттоком цифровых активов на сумму около 6,34 млрд долларов, произошедшего 29 октября. В отчете реконструирована цепочка атаки, охватывающая четыре месяца: точкой входа стал подделанный установочный пакет программного обеспечения в июне, а ключевым прорывом стало тщательно спланированное фиктивное собеседование при трудоустройстве в сентябре.
Июнь: Загрузка «инструмента для ИИ-программирования» посеяла семена
По данным Binance, инженер DevOps кошелька в июне скачал подделанный установочный пакет Homebrew, когда искал некий инструмент для ИИ-программирования. Впоследствии Binance обнаружила признаки компрометации на этой машине, заменила устройство инженера и сбросила учетные данные. Однако биржа признала, что этот инженер, а также другие коллеги из команды инфраструктуры кошельков, к этому моменту уже были в поле зрения злоумышленников.
Сентябрь: Рекрутер, выдававший себя за «директора проекта»
В сентябре с вторым инженером на платформе по трудоустройству связался человек, назвавшийся «директором проекта». Сначала этот человек организовал видеособеседование с якобы представителем отдела кадров, затем перенес второй раунд в социальное приложение для чата, где контакт утверждал, что руководит компанией, которой на самом деле не существовало, и в конце попросил инженера загрузить «задание» на выданный компанией компьютер — сам этот репозиторий с кодом был вредоносным ПО.
Binance заявила, что это вредоносное ПО нулевого дня не было обнаружено ее инструментами защиты конечных устройств на тот момент.
20 октября: Внутренние ИИ-инструменты стали трамплином
Binance заявила, что 20 октября злоумышленники использовали компьютер второго инженера и набор внутренних ИИ-инструментов, чтобы получить контроль над учетными записями первого и третьего инженеров, и обнаружили на машине первого инженера токен развертывания контейнеров.
29 октября: Пять горячих кошельков опустошены за четыре минуты
29 октября злоумышленники использовали украденные учетные данные, чтобы войти в компьютер третьего инженера, развернуть контейнеры и запустить вредоносные скрипты.
Binance раскрыла, что в период с 20:05 по 20:09 UTC пять горячих кошельков перевели 233,46 млн XRP на адреса, контролируемые злоумышленниками; горячие кошельки Solana и Optimism потеряли примерно 970 500 SOL и 44,2 млн OP соответственно. Впоследствии один горячий кошелек вывел еще 18 270 BTC.
Затем злоумышленники использовали внутренний сервис подписи и задействовали функцию Ethereum EIP-7702 (которая позволяет кошельку делегировать определенные права на транзакции контракту), чтобы через 50 подписанных транзакций предоставить контролируемому злоумышленниками контракту частичные права на горячий кошелек.
MPC спас положение, но остановка потерь запоздала на полтакта
Поскольку кошелек использовал архитектуру многосторонних вычислений (MPC), ни один отдельный закрытый ключ не мог отозвать эти делегирования, поэтому команде Binance пришлось на ходу создавать специальный процесс исправления, что увеличило необходимое время. Последний несанкционированный перевод составил 2 961,9 ETH, который завершил окончательное подтверждение в 23:56 UTC; Binance очистила соответствующие делегирования только в 00:10 30 октября.
Восстановление, аудит и подход к компенсации
Binance заявила, что восстановила пострадавшие системы кошельков и внутренние ИИ-инструменты, заменила соответствующие устройства и отключила учетные данные на имена участвовавших инженеров. Биржа также планирует привлечь независимую стороннюю проверку и создать фонд исследований в области безопасности, при этом заявив, что некоторые технические детали останутся конфиденциальными.
Что касается компенсации активов, Binance заявила, что по состоянию на 31 октября 98% затронутых токен-активов были восполнены. Однако цифры в ее собственных обновлениях о ходе восстановления были ниже: 90% 31 октября и примерно 95% 2 ноября.
