Хакеры из Северной Кореи использовали поддельное собеседование для проникновения в Binance, что позволило украсть 6,3 млрд долларов
Binance раскрыла, что многоэтапная атака с поддельным собеседованием и вредоносным ПО привела к взлому 29 октября и кражe криптовалюты на сумму 6,3 млрд долларов, приписываемой северокорейской хакерской группе.
Binance заявила, что сложная многоэтапная кампания скомпрометировала её инфраструктуру кошельков, завершившись кражей криптовалюты на сумму 6,3 млрд долларов 29 октября. Нарушение началось с атаки на цепочку поставок в июне, когда инженер установил вредоносный пакет Homebrew, что заставило команду безопасности заменить устройство и обновить учётные данные.
В сентябре к инженеру-программисту обратились на платформе поиска работы, представившись директором проекта. Обманщик организовал серию интервью с вымышленной компанией, включая видеозвонок с поддельным представителем отдела кадров, который поделился личным контентом в соцсетях для завоевания доверия. Последующее интервью с человеком, утверждающим, что он генеральный директор компании, проведённое в популярном мессенджере, закончилось инструкцией инженеру загрузить «задание», содержащее репозиторий кода, заражённый вредоносным ПО.
Вредоносное ПО заменило легитимный компонент инструмента разработки, установив связь с внешним сервером и обойдя средства защиты конечных точек Binance. Используя скомпрометированный компьютер и внутренний инструмент ИИ, злоумышленники получили доступ к компьютерам других инженеров, получили токен развертывания контейнеров и 29 октября развернули контейнер, запустивший скрипт кражи криптовалюты.
Binance восстановила пострадавшую систему кошельков, заменила скомпрометированные устройства и отключила все связанные учётные данные и токены. Биржа сотрудничает с правоохранительными органами, фирмами, занимающимися блокчейн-разведкой, и исследователями безопасности, а также привлекла независимых экспертов по кибербезопасности для проверки своей защиты. Она также объявила о планах финансировать исследования безопасности, сосредоточенные на безопасности ИИ в блокчейн-средах.
«Наше текущее расследование указывает на то, что это была сложная, многоэтапная кампания. Это не был единичный изолированный взлом или простая фишинговая атака», — говорится в отчёте об инциденте.
ФБР связало кражу с TraderTraitor, северокорейской хакерской операцией, ассоциированной с группой Lazarus, известной сочетанием шпионажа и масштабных краж криптовалют.