Криптовалютная биржа Binance обвинила скомпрометированный ноутбук DevOps-инженера в потере 6,3 миллиарда долларов в криптовалюте на прошлой неделе, добавив, что теперь покроет любые убытки, понесенные ее клиентами.
«Binance покроет все убытки из фонда SAFU (Secure Assets Fund for Users) и средств компании», — заявила крупнейшая в мире криптовалютная биржа в обновлении в пятницу, добавив, что средства пользователей находятся в безопасности и что в ходе расследования инцидента не было обнаружено никаких свидетельств утечки приватных ключей кошельков. Биржа заморозила около 3 миллиардов долларов в активах в блокчейне, временно приостановив вывод средств на время проведения проверок безопасности, и отозвала авторизацию затронутого адреса.
Вывод средств поэтапно восстанавливается: сначала были вновь открыты услуги по 15 сетям, включая Bitcoin, Ethereum, Solana и XRP. Binance сообщает, что возместила примерно 95% затронутых активов за счет средств компании, в то время как на поиск оставшихся 5%, состоящих из менее ликвидных токенов, может потребоваться больше времени.
Биржа заявила, что ее предварительное расследование указало на скомпрометированное устройство сотрудника, которое позволило получить доступ к сервисному контейнеру, задействованному в операциях по выводу средств.
«Эта атака, предположительно на инженера-разработчика, подчеркивает, что безопасность является критически важным элементом каждого этапа операционной деятельности и уровня персонала», — сказал Тим Роулинс, старший советник и директор по безопасности NCC Group. «Когда сбои в безопасности доверенных идентификационных данных и административного доступа могут стать целью, злоумышленники могут использовать не только базовые технические уязвимости».
ФБР с тех пор приписало атаку северокорейским киберпреступникам, идентифицировав хакерскую группу TraderTraitor как виновную в краже.
«Учитывая то, что мы знаем о деятельности таких стран, как Северная Корея, в сфере криптовалют, неудивительно, что злоумышленники готовы вкладывать значительные усилия в таргетирование лиц, имеющих доступ к строительным блокам бирж», — сказал Роулинс.
Скомпрометированный ноутбук добрался до конвейера вывода средств
Предварительные выводы Binance свидетельствуют о том, что злоумышленники скомпрометировали ноутбук DevOps-инженера, прежде чем получить доступ к сервисному контейнеру и инициировать несанкционированные выводы средств. Биржа еще не опубликовала технические детали атаки, оставив открытыми важные вопросы о точном пути вторжения и о том, как злоумышленники перемещались по ее внутренним системам.
«Платформа, хранящая цифровые активы, должна иметь многоуровневую систему безопасности, чтобы предотвратить ситуацию, когда одного компромисса, такого как взлом ноутбука сотрудника, достаточно для авторизации перевода», — сказал Марио Ривас, руководитель отдела безопасности блокчейна и цифровых активов NCC Group.
Сообщаемая атака схожа с взломом Bybit в феврале 2025 года, в ходе которого злоумышленники скомпрометировали машину разработчика в Safe{Wallet} и манипулировали интерфейсом, представленным подписантам транзакций. Однако инцидент с Binance включал другой механизм.
Департамент анализа угроз (TID) F6 сообщил, что атака на Binance предположительно была нацелена на автоматизированный процесс вывода средств, а не на прямое обманное воздействие на авторизованных подписантов. Евгений Янов, руководитель отдела аудита и консалтинга F6, сослался на платформу безопасности криптовалют Blockaid, отметив партию из 50 авторизаций EIP-7702 в рамках одной транзакции, а также делегирование вредоносному контракту «sweeper» как необычную особенность предполагаемой атаки.
«Этот конкретный механизм ранее не наблюдался в крупномасштабных взломах такого размера», — сказал Янов.
ФБР указывает на операцию TraderTraitor из Северной Кореи
ФБР приписало атаку группе TraderTraitor, элитной северокорейской хакерской группе, считающейся частью более широкой инфраструктуры Lazarus.
Агентство, работая с Секретной службой США и налоговым управлением (IRS Criminal Investigation), заявило, что наблюдали, как злоумышленники конвертировали украденные активы в Ethereum в частном порядке. Оно предупредило, что средства впоследствии могут быть отмыты через платформы децентрализованных финансов и сервисы мгновенного обмена.
TID F6 заявил, что атрибуция основана на комбинации данных из блокчейна и вне его. «Сигнатура группы совпадает с предыдущими кражами: небольшие выводы через Tornado Cash для финансирования кошелька оператора, обширная подготовка задолго до фактического ограбления и предварительно подписанные транзакции, выполненные одним пакетом», — добавили там.
Исследователи TID отметили сходство с предыдущими кражами криптовалют, связанными с Северной Кореей, включая инциденты с Bybit и KelpDAO. Однако они предостерегли, что Binance не назвала виновных самостоятельно, и полные доказательства атрибуции не были опубликованы.
Binance не сразу ответила на запрос о комментарии.
Роулинс из NCC Group отметил, что растущее использование ИИ может помочь злоумышленникам объединять уязвимости и операционные слабости, в то время как организации все чаще сталкиваются с противниками, готовыми вкладывать значительные усилия, когда потенциальная финансовая отдача существенна. «Хорошая кибергигиена и эффективные основы безопасности являются ключом к защите от атак, которые многие организации до сих пор упускают из виду», — сказал он.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Shweta Sharma
