Binance: кража на $6,34 млрд началась с фальшивого собеседования и заражённого тестового задания, отправленного инженеру в сентябре

Во вторник Binance опубликовала первые выводы о краже 29 октября, и они ведут к фальшивому предложению о работе. В сентябре с инженером-программистом Binance через легальную платформу поиска работы связался человек, представившийся руководителем проекта, сообщила биржа. После собеседований с якобы сотрудницей отдела кадров и якобы генеральным директором инженера попросили скачать задание по программированию, которое установило вредоносную программу нулевого дня, не замеченную средствами защиты рабочих компьютеров компании.

Это была не первая попытка. В июне инженер из команды Wallet DevOps Binance, искавший ИИ-инструмент для программирования, установил подменённый пакет Homebrew; Binance заменила устройство и сменила учётные данные. К тому времени, по данным Fortune, злоумышленники уже узнали о роли этого инженера и о других сотрудниках, управлявших кошельками компании.

20 октября, по словам Binance, злоумышленник с помощью заражённого компьютера и внутреннего ИИ-инструмента получил контроль над компьютерами ещё двух инженеров, работающих с кошельками, и нашёл токен для развёртывания контейнеров. 29 октября он использовал его, чтобы начать атаку. С 20:05 до 20:09 UTC пять горячих кошельков отправили 233,46 млн XRP на адрес под контролем злоумышленника, а другие горячие кошельки отправили около 970 500 SOL, 44,2 млн OP и 18 270 BTC; последний перевод, около 2962 ETH, завершился в 23:56 UTC. Злоумышленник использовал механизм Ethereum EIP-7702, чтобы дать своему смарт-контракту частичные права исполнения над горячим кошельком, а поскольку кошелёк работал на основе многосторонних вычислений (MPC), ни один отдельный ключ не мог сразу отозвать эти права, пояснила Binance. Вредоносное делегирование было удалено 30 октября в 00:10 UTC.

«Этого не должно было случиться, и мы приносим извинения за беспокойство, сбои и неопределённость, которые это вызвало у наших пользователей», — написала Binance. По её данным, около $2,85 млрд заморожено или перехвачено, к 31 октября было возмещено 98% затронутых токенов, а в этом году биржа выявила и предотвратила 57 предполагаемых киберугроз, связанных с Северной Кореей. ФБР возложило ответственность за кражу на Северную Корею, которая это отрицает.