Binance заявила про підготовку викрадення криптоактивів на $6,34 млрд
Binance заявила, що кібератаку на криптоактиви вартістю $6,34 млрд готували місяцями, а $2,85 млрд вдалося заморозити.
Криптобіржа Binance заявила, що зловмисники готували багаторівневу операцію з викрадення криптоактивів упродовж кількох місяців та націлилися на $6,34 млрд. Біржа повідомила, що їй вдалося заморозити або перехопити $2,85 млрд із цієї суми, а також зарезервувати кошти для покриття втрат. Про деталі розслідування повідомляє Ars Technica.
За даними Binance, ФБР і компанія TRM Security пов’язують атаку з північнокорейськими кіберзлочинцями. TRM Security відстежує це угруповання під назвою TraderTraitor. У Binance назвали інцидент складною багатоступеневою кампанією, що поєднувала соціальну інженерію, шкідливе програмне забезпечення, компрометацію внутрішніх інструментів штучного інтелекту та обхід механізмів авторизації транзакцій.
Фальшиві співбесіди та шкідливий код
Біржа стверджує, що перший пов’язаний із компрометацією епізод стався у червні: один з інженерів завантажив змінену версію Homebrew. Система безпеки виявила скомпрометований ноутбук, однак до того оператори шкідливого ПЗ отримали інформацію про ролі цього фахівця та його колег у команді, що працювала з гаманцевою інфраструктурою Binance.
У вересні іншому інженеру через легітимну платформу для пошуку роботи написала людина, яка видала себе за директора проєкту. Після двох фальшивих етапів співбесіди працівникові запропонували завантажити тестове завдання з репозиторію коду. Під час налаштування на пристрої виконався шкідливий код. Binance заявила, що це ПЗ маскувалося, підміняло компонент легітимного інструменту розробки та на момент атаки не виявлялося засобами захисту кінцевих пристроїв.
Перекази та блокування активів
20 жовтня зловмисники, за версією Binance, використали скомпрометований комп’ютер інженера й внутрішній інструмент ШІ, щоб отримати контроль ще над двома пристроями. Через дев’ять днів вони скористалися викраденими обліковими даними, розгорнули контейнер і активували скрипт для ініціювання переказів.
З гарячих гаманців Binance у мережах Solana та Optimism на підконтрольні атакувальникам адреси було надіслано приблизно 970 500 SOL і 44,2 млн OP. Окремо гарячий гаманець переказав 18 270 BTC. Після внутрішнього сповіщення про великі транзакції біржа призупинила виведення коштів, почала взаємодію з партнерами для заморожування токенів і відкликання несанкціонованих дозволів.
Binance пояснила, що зловмисники також використали механізм авторизації Ethereum EIP-7702, аби надати контрольованому ними смартконтракту часткові права на виконання операцій із гарячим гаманцем. Вони здійснили 50 підписувальних транзакцій для встановлення шкідливих делегувань. Біржі довелося провести додаткові операції для їх відкликання, оскільки наявні ончейн-авторизації працювали незалежно від звичайної інфраструктури виведення коштів.
