Binance прослеживает кражу на $6,34 млрд до пятимесячной схемы с фальшивым наймом

Пятимесячное вторжение привело к опустошению кошельков Binance

По словам Binance, кража, ущерб от которой компания оценивает в $6,34 млрд, началась за несколько месяцев до перемещения активов. В первом публичном отчёте об атаке 29 октября биржа описала кампанию, в которой сочетались заражённая загрузка программного обеспечения, инсценированный процесс найма, вредоносное ПО и злоупотребление внутренним инструментом на базе ИИ. В этом отчёте внимание смещается с единичного момента взлома кошелька на последовательность действий, в результате которых под угрозой оказались сотрудники, устройства и учётные данные команды разработчиков кошельков.

Согласно описанию Binance, первая точка проникновения появилась в июне: инженер DevOps, отвечавший за кошельки, искал популярный ИИ-инструмент для программирования и скачал подменённый установщик Homebrew. Binance обнаружила аномалию, заменила устройство и сменила учётные данные. Однако инцидент также раскрыл обязанности инженера и имена коллег, работавших над инфраструктурой кошельков. Компания устранила последствия для затронутого устройства и данных доступа, но из более позднего отчёта следует, что эта утечка могла помочь злоумышленникам подготовить дальнейшие атаки.

В сентябре со вторым инженером связался через легитимную платформу для поиска работы человек, представившийся директором проекта. По словам Binance, затем состоялись видеоинтервью с людьми, заявившими, что они представляют отдел кадров и руководство компании; для укрепления доверия инженер получил ссылку на личный аккаунт в соцсетях. Затем предполагаемый генеральный директор поручил ему установить репозиторий кода на рабочий компьютер. Постановочный процесс создал правдоподобный повод для установки вредоносного ПО на рабочее устройство.

Процесс найма стал способом проникновения

По словам Binance, в репозитории легитимный компонент pyenv был заменён вредоносной версией, которая устанавливала соединение с сервером под контролем злоумышленников. Вредоносная программа, как сообщается, использовала уязвимость нулевого дня, и на тот момент средства защиты конечных устройств её не обнаруживали. Это указывает на практическую слабость, связанную с опорой только на стандартные оповещения устройств: задание по программированию, внешне связанное с работой, могло доставить код, который существующие средства защиты не распознавали как вредоносный. Binance не раскрыла все технические подробности вторжения.

20 октября злоумышленники использовали взломанный компьютер и внутренний ИИ-инструмент, чтобы добраться до ещё двух инженеров, работавших с кошельками; у одного из них был токен для развёртывания контейнеров. По словам Binance, 29 октября злоумышленники вошли в компьютер третьего инженера, развернули контейнер с помощью похищенных учётных данных и начали выводить активы. Эта последовательность показывает, как доступ, полученный через одного сотрудника, можно расширить с помощью внутренних инструментов и привилегий, хотя в описании компании не уточняются все взаимодействия между целевыми системами.

Binance заявила, что в этом году заблокировала ещё 57 предполагаемых попыток, связанных с Северной Кореей и использовавших схожие приманки, однако биржа не стала самостоятельно приписывать эту кражу кому-либо. ФБР возложило ответственность за атаку на Северную Корею; Пхеньян отверг это обвинение, а Ким Ё Чжон назвала его политической провокацией в государственных СМИ. Из-за этих противоречивых заявлений вопрос об ответственности в публичном поле остаётся спорным. В отчёте Binance описаны метод и хронология событий, но вопрос об атрибуции не разрешён.

Делегированная подпись затянула реагирование

Переводы начались вскоре после этого, 29 октября. С 20:05 до 20:09 UTC пять горячих кошельков отправили 233,46 млн XRP на адрес злоумышленника, затем с кошельков в сетях Solana и Optimism было переведено около 970 500 SOL и 44,2 млн OP. После этого горячий кошелёк Binance отправил 18 270 BTC. Масштаб и скорость этих перемещений показывают, почему для реагирования было недостаточно выявить скомпрометированные учётные данные: бирже также пришлось остановить каналы, которые могли санкционировать переводы в блокчейне.

Binance заявила, что злоумышленники воспользовались скомпрометированным сервисом подписания транзакций, чтобы задействовать EIP-7702 Ethereum. Этот стандарт позволяет учетной записи делегировать права на выполнение операций смарт-контракту, не раскрывая ключ. Контракт, контролируемый злоумышленниками, получил частичный контроль над горячим кошельком Binance. Приостановка вывода средств не закрыла этот канал: злоумышленники уже отправили 50 транзакций с подписями, установивших делегирование в блокчейне вне инфраструктуры вывода средств. Этот инцидент выявил разрыв между привычными мерами контроля вывода средств и делегированным исполнением операций.

Кошелек использовал многосторонние вычисления, поэтому, по словам Binance, не существовало единственного ключа, который можно было бы просто отозвать, чтобы отменить делегирование. Команде пришлось разрабатывать процедуру уже во время инцидента. Последний несанкционированный перевод — 2 961,9 ETH — был завершен в 23:56 UTC; Binance отменила делегирование в 00:10 UTC 30 октября. Компания признала, что сложность этой задачи затянула локализацию инцидента, и сообщила о пересмотре охвата политик подписания и мер контроля горячих кошельков. В отчете новая процедура не описана.

Возмещение средств, изменения в системе безопасности и нерешенные вопросы

Binance сообщила, что заморозила или перехватила активы на сумму около 2,85 млрд долларов и восполнила 98% затронутых токенов за счет собственных средств; оставшуюся часть компания покупает на открытом рынке. Эти цифры отражают меры биржи по возврату средств и компенсации клиентам, а не полный публичный отчет о конечном местонахождении каждого актива. Компания также сообщила, что вывод средств возобновлялся поэтапно: во вторник после ранее введенных ограничений вновь стали доступны еще десятки активов в девяти сетях.

Потоки средств клиентов стали еще одним показателем непосредственных последствий инцидента. Binance сообщила, что за 46 часов после возобновления вывода средств в воскресенье пользователи вывели 10,97 млрд долларов, а чистый отток составил 5,28 млрд долларов. К 03:00 UTC почасовой объем депозитов превысил объем выводов — это Ричард Тенг, со-генеральный директор компании, назвал признаком стабилизации. Эти цифры показывают, что значительный отток средств продолжался, даже когда почасовой баланс стал положительным; они не позволяют судить о поведении пользователей в более длительной перспективе и о том, восстановилось ли доверие полностью.

Binance заявляет, что в новых средах пересоздала свою систему кошельков и внутренний ИИ-инструмент, заменила затронутые устройства, отозвала учетные данные инженеров и расширила систему обнаружения поведенческих аномалий. Компания проводит независимую проверку, увеличивает расходы на защиту конечных устройств и сред разработки, а также планирует создать фонд исследований безопасности ИИ совместно с внешними компаниями. В Вашингтоне председатель CFTC Майкл Селиг использовал этот инцидент, чтобы выступить за создание федерального механизма регистрации для офшорных бирж. Результаты проверки и более подробные технические сведения от Binance еще не опубликованы; часть информации останется конфиденциальной.

Источник: BitcoinMagazine