Binance заявила 3 листопада, що хакери використали фальшиві співбесіди щодо роботи, шкідливе програмне забезпечення та скомпрометований внутрішній ШІ-інструмент, щоб отримати доступ до її гаманцевих систем і викрасти 6,34 мільярда доларів 29 жовтня.
Резюме
- Зловмисники використали скомпрометовані комп'ютери співробітників і викрадені облікові дані для розгортання, щоб дістатися до інфраструктури підпису гаманців Binance.
- Шкідливі авторизації Ethereum дозволили переказам продовжуватися після того, як Binance призупинила свої звичайні послуги з виведення коштів.
- Binance заявляє, що приблизно 2,85 мільярда доларів було заморожено або перехоплено, а збитки клієнтів покрито.
- Експерти очікують посилення попиту на засоби захисту зберігання, водночас застерігаючи, що регульовані платформи все ще стикаються з ризиками.
Згідно з початковим звітом Binance про інцидент, атака розвивалася протягом кількох місяців, поєднуючи обман співробітників зі скомпрометованим програмним забезпеченням і несанкціонованим доступом до внутрішніх систем.
Біржа заявила, що до 31 жовтня вона поповнила 98% постраждалих токен-активів і купує решту менш ліквідних криптовалют. Генеральний директор Річард Тенг сказав, що виведення коштів загалом відновлено, і користувачі не зазнають збитків.
Зловмисники, які атакували Binance, перейшли від інструментів розробника до гаманцевих систем
У звіті простежується ранній інцидент до червня, коли інженер Wallet DevOps завантажив підроблену інсталяцію Homebrew, шукаючи інструмент для ШІ-кодування. Співробітники служби безпеки виявили аномалію, замінили пристрій і змінили відповідні облікові дані.
Однак Binance заявила, що цей інцидент розкрив роль інженера та колег, які працюють над інфраструктурою гаманців.
У вересні до другого інженера звернулися через легітимну платформу з працевлаштування, видаючи себе за директора проєкту. Після відеоспівбесіди з нібито представником відділу кадрів відбулася ще одна співбесіда з нібито генеральним директором фіктивної компанії.
Наприкінці інженеру було наказано завантажити репозиторій із завданням на робочий комп'ютер. Під час встановлення запустився шкідливий код, замінивши легітимний інструмент розробки pyenv на скомпрометовану версію.
Binance описала шкідливе програмне забезпечення як таке, що раніше не виявлялося її інструментами захисту кінцевих точок, і заявила, що воно приховувало активність і видаляло сліди.
20 жовтня зловмисник використав скомпрометований комп'ютер і внутрішній ШІ-інструмент, щоб отримати контроль над комп'ютерами двох інженерів гаманців. На одному з них зберігався токен розгортання контейнера.
Через кілька днів, 29 жовтня, зловмисник використав ці викрадені облікові дані для розгортання контейнера та запуску шкідливого скрипту, який дістався до операцій підпису гаманців.
Дозволи Ethereum дозволили переказам тривати після зупинки виведення коштів
Згідно зі звітом, між 20:05 та 20:09 UTC 29 жовтня п'ять гарячих гаманців Binance переказали 233,46 мільйона XRP на адресу, контрольовану зловмисником. Інші гаманці надіслали приблизно 970 500 SOL, 44,2 мільйона OP та 18 270 BTC.
Потім зловмисник використав службу підпису, щоб встановити шкідливі дозволи через механізм Ethereum EIP-7702, який дозволяє гаманцю делегувати виконання коду смарт-контракту.
Раніші висновки щодо атаки на гаманець пояснювали, як зловмисник використав функцію Ethereum EIP-7702, щоб надати шкідливому смарт-контракту дозвіл переміщати кошти з гарячого гаманця Binance, відомого як Binance 14.
Binance заявила, що призупинення виведення коштів не могло анулювати дозволи, уже встановлені в Ethereum. Її гаманець з багатосторонніми обчисленнями вимагав спеціальної процедури для їх відкликання, оскільки не було єдиного приватного ключа для негайного відкликання.
Останній несанкціонований переказ на суму 2 961,9 ETH було завершено о 23:56 UTC після того, як його раніше було транслювано, і він залишався в очікуванні. Binance очистила делегування Binance 14 о 00:10 UTC 30 жовтня.
У повідомленні від 31 жовтня ФБР приписало крадіжку діяльності Північної Кореї під назвою TraderTraitor. Агентство заявило, що працює з Секретною службою США та Кримінальним розслідуванням IRS, і закликало постачальників послуг блокувати транзакції, пов'язані з ідентифікованими адресами.
Експерти вважають, що впровадження триватиме, з акцентом на захист кастодіальних послуг
Джо Стікко, співзасновник і генеральний директор Cryptex Finance, сказав crypto.news, що не очікує, що інцидент спричинить багаторічний відкат у впровадженні.
Він вказав на дії Tether, Circle та DeFi-протоколів щодо заморожування постраждалих активів як на доказ того, що учасники галузі можуть координувати дії під час серйозних збоїв. Стікко очікує, що інцидент може збільшити попит на регульовані біржі та посилені практики кастодії, включаючи холодне зберігання.
Джеймс Баттерфілл, керівник досліджень у CoinShares, наголосив на правових гарантіях, пов'язаних із кастодією.
«Інцидент підкреслює, чому правова база, що регулює кастодію, має значення. MiCA забезпечує суттєво сильніші гарантії для клієнтів авторизованих суб'єктів, таких як Coinbase Luxembourg, включаючи відокремлення активів клієнтів і відповідальність за втрати при кастодії, спричинені інцидентами, що відносяться до постачальника послуг», — сказав Баттерфілл crypto.news.
«Ці гарантії посилюють підзвітність, але авторизація не може запобігти кожному злому, захистити інвесторів від ринкових втрат або забезпечити загальну схему компенсації інвесторам».
Баттерфілл додав, що регульована криптокастодія пропонує сильніший захист, не роблячи активи еквівалентними банківським депозитам, покритим схемою гарантування депозитів.
Binance відновлює постраждалі системи та замовляє перевірки
Binance заявила, що приблизно 2,85 мільярда доларів було заморожено або перехоплено, з урахуванням звірки та змін ринкових цін. Її попереднє зобов'язання щодо відшкодування виділило більше, ніж повна оцінена втрата, на заміну постраждалих активів.
Біржа заявила, що відновила постраждале середовище гаманця та внутрішній ШІ-інструмент, замінила скомпрометовані пристрої, вивела з експлуатації облікові дані та просканувала пристрої співробітників.
Binance залучає незалежні фірми з кібербезпеки для перевірки інциденту та планує збільшити витрати на безпеку розробників, захист кінцевих точок і моніторинг поведінки.
