Binance заявила 3 ноября, что хакеры использовали фальшивые собеседования при приёме на работу, вредоносное программное обеспечение и скомпрометированный внутренний ИИ-инструмент, чтобы получить доступ к её кошельковым системам и украсть 6,34 млрд долларов 29 октября.
Краткое содержание
- Злоумышленники использовали скомпрометированные компьютеры сотрудников и украденные учётные данные для развёртывания, чтобы получить доступ к инфраструктуре подписи кошельков Binance.
- Вредоносные авторизации Ethereum позволили переводам продолжаться после того, как Binance приостановила свои обычные услуги по выводу средств.
- Binance заявляет, что примерно 2,85 млрд долларов были заморожены или перехвачены, а убытки клиентов покрыты.
- Эксперты ожидают роста спроса на меры защиты кастодиальных услуг, предупреждая при этом, что регулируемые платформы по-прежнему подвержены рискам.
Согласно первоначальному отчёту Binance об инциденте, атака развивалась в течение нескольких месяцев, сочетая обман сотрудников со скомпрометированным программным обеспечением и несанкционированным доступом к внутренним системам.
Биржа заявила, что к 31 октября восполнила 98% затронутых токен-активов и закупает оставшиеся, менее ликвидные криптовалюты. Генеральный директор Ричард Тенг сказал, что вывод средств в целом возобновлён и пользователи не понесут убытков.
Атакующие на Binance перешли от инструментов разработчика к кошельковым системам
В отчёте прослеживается ранний эпизод к июню, когда инженер Wallet DevOps скачал поддельную установку Homebrew, ища инструмент для ИИ-кодирования. Сотрудники службы безопасности обнаружили аномалию, заменили устройство и сменили связанные учётные данные.
Однако, по словам Binance, этот эпизод раскрыл роль инженера и его коллег, работающих над инфраструктурой кошельков.
В сентябре к второму инженеру через легитимную рекрутинговую платформу обратился человек, выдававший себя за директора проекта. За видеоинтервью с якобы представителем отдела кадров последовало ещё одно интервью с предполагаемым генеральным директором фиктивной компании.
Ближе к концу инженеру было поручено скачать репозиторий с заданием на рабочий компьютер. Во время установки выполнялся вредоносный код, заменивший легитимный инструмент разработки pyenv на скомпрометированную версию.
Binance охарактеризовала вредоносное ПО как ранее не обнаруживавшееся её инструментами защиты конечных точек и заявила, что оно скрывало активность и заметало следы.
20 октября злоумышленник использовал скомпрометированный компьютер и внутренний ИИ-инструмент, чтобы получить контроль над компьютерами двух инженеров по кошелькам. На одном из них хранился токен развёртывания контейнера.
Несколько дней спустя, 29 октября, злоумышленник использовал эти украденные учётные данные для развёртывания контейнера и запуска вредоносного скрипта, который достиг операций подписи кошельков.
Разрешения Ethereum позволили переводам продолжаться после остановки вывода средств
Согласно отчёту, между 20:05 и 20:09 UTC 29 октября пять горячих кошельков Binance перевели 233,46 млн XRP на адрес, контролируемый злоумышленником. Другие кошельки отправили примерно 970 500 SOL, 44,2 млн OP и 18 270 BTC.
Затем злоумышленник использовал службу подписи, чтобы установить вредоносные разрешения через механизм Ethereum EIP-7702, который позволяет кошельку делегировать исполнение коду смарт-контракта.
Ранее выводы о кошельковой атаке объясняли, как злоумышленник использовал функцию Ethereum EIP-7702, чтобы дать вредоносному смарт-контракту разрешение перемещать средства из горячего кошелька Binance, известного как Binance 14.
Binance заявила, что приостановка вывода средств не могла аннулировать разрешения, уже установленные в Ethereum. Её кошелёк с многосторонними вычислениями требовал специальной процедуры для их отзыва, поскольку не было единого приватного ключа для немедленного отзыва.
Последний несанкционированный перевод на 2 961,9 ETH был завершён в 23:56 UTC после того, как ранее был транслирован и оставался в ожидании. Binance очистила делегирование Binance 14 в 00:10 UTC 30 октября.
В оповещении от 31 октября alert ФБР приписало кражу деятельности Северной Кореи TraderTraitor. Агентство заявило, что работает с Секретной службой США и Уголовным расследованием IRS, и призвало поставщиков услуг блокировать транзакции, связанные с идентифицированными адресами.
Эксперты ожидают продолжения внедрения с акцентом на защиту при хранении
Джо Стикко, соучредитель и генеральный директор Cryptex Finance, сообщил crypto.news, что не ожидает, что инцидент вызовет многолетний откат в внедрении.
Он указал на действия Tether, Circle и DeFi-протоколов по заморозке затронутых активов как на доказательство того, что участники отрасли могут координироваться во время крупных сбоев. Стикко ожидает, что инцидент может увеличить спрос на регулируемые биржи и более строгие практики хранения, включая холодное хранение.
Джеймс Баттерфилл, руководитель исследований в CoinShares, подчеркнул правовые защиты, связанные с хранением.
«Инцидент подчеркивает, почему правовая база, регулирующая хранение, имеет значение. MiCA обеспечивает существенно более сильные гарантии для клиентов авторизованных организаций, таких как Coinbase Luxembourg, включая разделение активов клиентов и ответственность за потери при хранении, вызванные инцидентами, связанными с поставщиком», — сообщил Баттерфилл crypto.news.
«Эти защиты усиливают подотчетность, но авторизация не может предотвратить каждый взлом, защитить инвесторов от рыночных потерь или обеспечить общую схему компенсации инвесторам».
Баттерфилл добавил, что регулируемое криптохранение предлагает более сильные защиты, не делая активы эквивалентными банковским депозитам, покрываемым схемой гарантирования депозитов.
Binance восстанавливает затронутые системы и заказывает проверки
Binance заявила, что примерно 2,85 миллиарда долларов были заморожены или перехвачены, с учетом сверки и изменений рыночных цен. Ее ранее взятое обязательство по восстановлению выделило больше полной оценочной потери на замену затронутых активов.
Биржа заявила, что восстановила затронутую среду кошелька и внутренний ИИ-инструмент, заменила скомпрометированные устройства, вывела из эксплуатации учетные данные и просканировала устройства сотрудников.
Binance привлекает независимые фирмы по кибербезопасности для проверки инцидента и планирует увеличить расходы на безопасность разработчиков, защиту конечных точек и поведенческий мониторинг.
