Злам Binance на $6,34 млрд почався з фейкових співбесід і Homebrew

Криптовалютна біржа Binance заявила, що викрадення близько $6,34 млрд у криптоактивах 29 жовтня стало можливим після багатомісячної кампанії з компрометації її працівників і внутрішніх систем. За даними Tom's Hardware, зловмисники використали шкідливу інсталяцію Homebrew та фальшивий рекрутинговий процес, щоб отримати доступ до інфраструктури підпису транзакцій гаманців біржі.

У Binance назвали атаку складною багаторівневою кампанією, а не одиничним зламом чи простою фішинговою атакою. ФБР 1 листопада поклало відповідальність за викрадення понад $6 млрд у віртуальних активах на Північну Корею та віднесло цю кібердіяльність до TraderTraitor. Пхеньян відкинув звинувачення США.

Компрометація через програму для розробників

Перший відомий випадок компрометації стався у червні. Інженер команди Wallet DevOps шукав популярний інструмент для програмування з ШІ та завантажив модифіковану версію Homebrew — менеджера пакетів для macOS. Біржа виявила незвичну активність, замінила пристрій працівника й оновила пов’язані облікові дані, однак зловмисники вже з’ясували його роль та визначили інших співробітників, які працювали з гаманцевою інфраструктурою.

У вересні ще одного інженера Binance через легітимну платформу пошуку роботи контактувала особа, яка видавала себе за директора проєкту. Під час двох співбесід фальшиві рекрутери намагалися посилити довіру відеодзвінком та профілем у соцмережі, а наприкінці попросили завантажити тестове завдання з програмування на робочий комп’ютер.

Доступ до системи підпису гаманців

Код у завданні запускався під час встановлення. За даними Binance, шкідлива програма підміняла легітимний компонент інструмента керування версіями Python pvenv версією, здатною виконувати команди та зв’язуватися із сервером зловмисників. На той момент засоби захисту кінцевих пристроїв біржі її не зафіксували.

20 жовтня атакувальники, за версією Binance, скористалися скомпрометованими комп’ютерами та внутрішнім ШІ-інструментом, щоб отримати контроль над пристроями двох інженерів гаманців. Вони також знайшли токен дозволу на розгортання контейнерів на комп’ютері працівника, атакованого в червні. 29 жовтня з викраденими обліковими даними зловмисники розгорнули контейнер і запустили шкідливий скрипт, який надав доступ до внутрішньої служби підпису гаманців. Це дало змогу провести транзакції з п’яти гарячих гаманців поза звичайною процедурою виведення коштів.

Binance повідомила, що заморозила або перехопила приблизно $2,85 млрд скомпрометованих активів, а 98% коштів, яких торкнувся інцидент, було відновлено.