Цифровая торговая платформа Binance пояснила, что недавний взлом, приведший к хищению активов на сумму 6,34 миллиарда долларов, стал результатом сложной кампании, длившейся несколько месяцев и нацеленной на компьютеры трех инженеров инфраструктуры кошельков. Кампания включала взлом через поддельное собеседование при приеме на работу и вредоносное программное задание, а также использование внутреннего инструмента искусственного интеллекта.
Согласно первоначальному отчету платформы, властям и группам реагирования удалось заморозить и восстановить около 2,85 миллиарда долларов украденных активов на данный момент, в то время как Федеральное бюро расследований США (FBI) приписало атаку хакерской группировке TraderTraitor, связанной с Северной Кореей.
Подробности проникновения злоумышленников через социальную инженерию
Процесс проникновения начался в июне, когда инженер по эксплуатации кошельков (Wallet DevOps) попытался загрузить инструмент программирования на базе искусственного интеллекта через поисковую систему, что привело к установке модифицированной вредоносной версии пакета Homebrew. Несмотря на то, что команда кибербезопасности платформы обнаружила угрозу, заменила устройство инженера и сбросила его учетные данные, злоумышленникам удалось собрать ценную информацию о характере его работы и его команде.
В сентябре злоумышленники нацелились на второго инженера с помощью мошеннической схемы трудоустройства, в ходе которой с ним провели два собеседования: первое — с поддельным представителем отдела кадров, который предоставил верифицированные социальные аккаунты с личными фотографиями для завоевания доверия, а второе — с человеком, выдававшим себя за генерального директора фиктивной компании. Собеседование закончилось просьбой скачать «программное задание» для проверки его навыков, которое содержало вредоносный репозиторий кода, запустившийся сразу после настройки. Вредоносное ПО заменило ключевой компонент инструментов разработки и открыло канал связи с управляющим сервером злоумышленников, что не было обнаружено системами защиты конечных точек (EDR), так как использовалась уязвимость нулевого дня (0-day).
Использование инструмента ИИ и уязвимостей протоколов
20 октября злоумышленники использовали зараженный компьютер в дополнение к внутреннему инструменту искусственного интеллекта для доступа к системе первого инженера и системе третьего инженера в команде кошельков. 29 октября они получили доступ к компьютеру третьего инженера и развернули среду контейнеров (Container), используя учетные данные первого инженера, а затем запустили вредоносный скрипт для перевода активов.
Злоумышленники использовали несанкционированный доступ к сервису подписи горячих кошельков для перевода таких валют, как XRP, SOL, OP и BTC. Они также использовали механизм (EIP-7702) в сети Ethereum, чтобы предоставить определенному смарт-контракту частичные полномочия на выполнение операций с горячим кошельком. Поскольку кошелек был защищен технологией многосторонних вычислений (MPC), не было единых ключей, которые могли бы немедленно аннулировать авторизацию, и переводы продолжались до тех пор, пока авторизация не была отменена после полуночи.
Почему эта новость важна для технологического и киберсектора?
Этот инцидент раскрывает качественный сдвиг в методах социальной инженерии: угроза больше не ограничивается традиционными фишинговыми сообщениями, а распространяется на полностью спланированные собеседования при приеме на работу и внедрение вредоносного кода в повседневные инструменты разработки. Это также подчеркивает двойную проблему, возникающую при интеграции инструментов искусственного интеллекта в корпоративные среды без строгих ограничений полномочий, поскольку они могут быть использованы как мост для доступа к чувствительным системам и горизонтального перемещения (Lateral Movement) между авторизованными устройствами.
Восстановление и принятые меры безопасности
Binance подтвердила перестройку системы кошельков и затронутого инструмента искусственного интеллекта с нуля, замену оборудования и аннулирование всех предыдущих токенов и учетных данных. Компания также привлекла независимые компании по безопасности для расследования инцидента и объявила о создании специализированного исследовательского фонда по безопасности искусственного интеллекта в блокчейн-средах.
Со своей стороны, со-генеральный директор Ричард Тенг заявил, что 98% пострадавших активов были компенсированы, а их стабильность восстановлена; кроме того, пользователям была постепенно предоставлена возможность вывода средств параллельно с внедрением доказательств с нулевым разглашением (Zero-Knowledge Proofs) для подтверждения полного покрытия резервов платформы.