Binance оповести предварителни подробности от разследването на мащабната кибератака, която се случи в края на миналия месец и доведе до незаконно изтегляне от криптоборсата на цифрови активи на стойност около 6,34 млрд. долара. Оказа се, че първите опити за проникване са били направени още през юни, докато при действителния опит за пробив са помогнали фалшиво интервю със служител и вътрешен инструмент с изкуствен интелект.
През юни инженер от Wallet DevOps екипа на Binance е изтегли модифициранл инсталатор на Homebrew, за да инсталира популярния инструмент за вайбкодинг, който е намерил чрез търсачка. Службата за сигурност на криптоборсата веднага е засякъл необичайна активност, подменил е устройството и от съображения за сигурност е актуализирал всички свързани потребителски данни. В същия момент злоумишлениците вече са имали информация за ролята на инженера и неговите колеги, които са работели по инфраструктурата на портфейлите, което им е помогнал при последвалата мащабна атака.
Още през септември е било компрометирано устройството на друг инженер-програмист от Binance по време на интервю за друга работа. В профила му на платформата за търсене на свободни работни места е било посочено текущото му работно място.
„По време на първото интервю фалшивият HR специалист проведе видеоразговор с инженера в реално време. За да спечели доверието му, събеседникът сподели линк към своя профил в социална мрежа, където имаше лични снимки и видеоклипове. Този метод на социално инженерство беше значително по-сложен и убедителен от онези, с които сме се сблъсквали преди.“
споделят от BinanceСледващото интервю с предполагаемия генерален директор e включвало изпълнение на тестова задача, за което инженерът е трябвало да изтегли хранилище със софтуерен код на служебния си компютър. По време на настройката се задействал злонамерен код, който извършил редица неразрешени действия.
Впоследствие хакерите са използвали компрометираното устройство и вътрешен AI инструмент на Binance, за да получат достъп до устройствата на други служители – включително и на инженера, който през юни беше изтеглил Homebrew. Скоро злоумишлениците открили, че на компютъра му се съхраняваше токен с разрешение за разгръщане на контейнери.На 29 октомври хакерите използвали откраднатите данни за достъп, за да разгърнат контейнер и да стартират злонамерен скрипт. Чрез неразрешен достъп до вътрешната услуга за подписване на транзакции те успяли да прехвърлят активи, заобикаляйки стандартната процедура за теглене на средства.
В рамките на няколко минути пет „горещи“ портфейла на Binance са прехвърлили 233,46 милиона XRP на адрес, контролиран от хакерите. Впоследствие те са получили още приблизително 970 500 SOL, 44 милиона OP и 18 270 BTC, както и се възползвали от механизма за оторизация EIP-7702 в Ethereum, който им позволило да предоставят на контролирания от тях смарт-договор частични права за извършване на операции с портфейла на борсата.
В разгара на атаката Binance е получила вътрешно уведомление за преводи с голям обем, започнала е спешно разследване и е спряла операциите по теглене. Впоследствие компанията потвърди, че в резултат на инцидента са засегнати дигитални активи на стойност около 6,34 млрд. долара – от които около 2,85 млрд. долара са били замразени или прехванати.
Според информация на ФБР отговорността за този инцидент носят хакери от Северна Корея.Основното разследване на Binance все още продължава, но някои технически подробности ще останат поверителни и занапред, за да не могат злоумишлениците да ги използват за планиране на нови атаки. Криптоборсата също така заяви, че ще отпусне пълната сума средства, необходими за покриване на загубите на потребителите: към 31 октомври 98% от загубените активи са възстановени, а в момента Binance изкупува останалите токени.
„Веднага предприехме мерки, за да локализираме инцидента и да засилим защитата на съответните системи. Откритите точки за достъп, които са били използвани от злоумишлениците са затворени. Системите, включени във веригата на атаката, са преконфигурирани или заменени. Също така въведохме по-строг контрол на устройствата, засилихме механизмите за управление на риска в услугите за портфейли и разширихме използването на изкуствен интелект за откриване на аномално поведение.“
допълват от Binance