Binance во вторник сообщила, что рекордная кража активов на сумму 6,43 миллиарда долларов с крупнейшей в мире криптовалютной биржи стала результатом «сложной многоэтапной кампании», в ходе которой использовались взломанная установка Homebrew и атака методом социальной инженерии, замаскированная под найм, нацеленная на двух ее инженеров.
«Это не была единичная изолированная утечка или простая фишинговая атака», — заявила компания. «Злоумышленники применили целый ряд методов, включая социальную инженерию через поддельные собеседования при приеме на работу, загрузку вредоносного ПО, компрометацию внутренних инструментов ИИ, взлом конечных точек и продвинутый метод авторизации транзакций».
Отправной точкой стала атака на цепочку поставок, нацеленная на одного из инженеров команды Wallet DevOps (названного «Инженер A»), который скачалтроянизированный установщик Homebrew для установки популярного инструмента искусственного интеллекта (ИИ) после поиска в поисковой системе. Инцидент произошел в июне 2026 года.
Хотя Binance заявила, что обнаружила атаку и в качестве меры предосторожности сменила все связанные учетные данные, компания сообщила, что информация о «роли Инженера A и его коллегах из нашей инфраструктурной команды кошельков стала известна хакеру».
Вторая часть атаки произошла в сентябре 2026 года, когда злоумышленник связался с другим инженером (названным «Инженер B») через легитимную платформу для поиска работы, выдав себя за Руководителя проекта.
Персонаж Руководителя проекта организовал первое собеседование с представителем отдела кадров (HR), за которым последовало второе собеседование с лицом, утверждавшим, что он является генеральным директором несуществующей компании. Binance не раскрыла подробности о поддельной компании.
В ходе первого видеоинтервью представитель HR поделился аккаунтом в социальной сети, включая личные фотографии и видео, опубликованные на платформе, в попытке создать видимость достоверности и установить доверие. Второе собеседование, в свою очередь, прошло в популярном мессенджере.
«Ближе к концу собеседования Инженеру B было поручено скачать „задание”, содержащее вредоносный репозиторий кода, на свой рабочий компьютер», — сообщила Binance. «Репозиторий содержал вредоносный код, который выполнялся в процессе установки, инициируя ряд несанкционированных действий».
Необнаруженное вредоносное ПО использовало продвинутые методы обфускации и уклонения, включая замену легитимного компонента инструмента разработки на отравленную версию для выполнения команд и установления связи с внешним сервером, контролируемым злоумышленником. Кроме того, злоумышленник предпринял шаги для заметания следов, удалив криминалистические артефакты, связанные с компрометацией.
Вторжение перешло на следующий этап 20 октября 2026 года, когда злоумышленник использовал скомпрометированный компьютер Инженера B и злоупотребил внутренним инструментом ИИ, чтобы получить контроль над Инженером A и другим инженером Wallet Software Engineer C.
«Вскоре злоумышленник обнаружил, что у Wallet DevOps Engineer A на компьютере есть токен разрешения на развертывание контейнеров», — объяснила Binance. «29 октября в период с 17:15 до 19:56 злоумышленник вошел в компьютер Software Engineer C, использовал учетные данные, украденные у Wallet DevOps Engineer A, развернул контейнер и запустил вредоносный скрипт для начала атаки».
В конечном итоге атака использовала несанкционированный доступ к внутреннему сервису подписи кошельков для инициации транзакций вне обычного процесса вывода средств.
В ответ на инцидент Binance восстановила затронутую систему кошельков в новой среде, а также перестроила внутренний инструмент ИИ и средства контроля доступа. Другие шаги, предпринятые по состоянию на 3 ноября, перечислены ниже:
«Точки входа, которые, как было установлено, использовались при атаке, закрыты. Системы, затронутые в ходе атаки, перестроены или заменены», — заявила Binance. «Мы также внедрили более строгий контроль устройств, усилили контроль рисков сервиса кошельков и расширили обнаружение аномалий поведения на основе ИИ».
«Мы увеличиваем инвестиции в обнаружение на основе ИИ, защиту конечных точек, безопасность среды разработчиков и мониторинг аномалий поведения».
С начала года Binance, по оценкам, предотвратила 57 подозрительных случаев киберугроз, связанных с Северной Кореей, что подчеркивает постоянный характер атак на индустрию криптовалют.
«Методы включают фиктивные собеседования при приеме на работу, вредоносное ПО, замаскированное под популярные инструменты разработчиков, скомпрометированные пакеты ПО и расширения браузера, поддельные приложения для видеоконференций и кампании социальной инженерии, предназначенные для кражи учетных данных или развертывания удаленного вредоносного ПО», — заявила Binance.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
