Binance сообщила, как злоумышленники похитили криптоактивы на $634 млн: они использовали скомпрометированный компьютер сотрудника и внутренние AI-инструменты биржи, чтобы получить доступ к двум инженерам, отвечавшим за кошельковую инфраструктуру. Затем атакующие проникли в процессы подписания транзакций и провели несанкционированные переводы между блокчейнами. Около $285 млн затронутых активов удалось заморозить или перехватить. Инцидент показывает, что сочетание корпоративных AI-инструментов, сред разработки и учетных данных сотрудников может создавать дополнительные пути к критически важным системам.
От скомпрометированного компьютера — к операциям с кошельками
По данным Binance, 20 октября злоумышленники получили контроль над учетными данными двух инженеров, воспользовавшись зараженным компьютером сотрудника и внутренними AI-инструментами. Позже они завладели токенами доступа для развертывания контейнеров, а 29 октября проникли в рабочий процесс подписания транзакций и инициировали переводы в нескольких блокчейн-сетях.
Опубликованные сведения не указывают на то, что AI-модель самостоятельно спланировала или провела кражу. В цепочке атаки фигурировали похищенные учетные данные, скомпрометированное ПО для разработки и методы социальной инженерии; внутренний AI-инструмент был лишь одним из элементов.
Расследование выявило и более ранние атаки на сотрудников. В июне инженер Binance скачал подмененный установщик при установке популярного AI-инструмента для программирования. Биржа обнаружила подозрительную активность, заменила устройство и обновила связанные учетные данные, однако к тому времени злоумышленники уже получили информацию о сотруднике и его коллегах.
В сентябре атакующие использовали фиктивный процесс найма: они организовали ненастоящие собеседования и заразили компьютер инженера через вредоносное тестовое задание по программированию. Binance сообщила, что затем это устройство использовали для дальнейшего проникновения во внутренние системы. ФБР связало более широкую кампанию с Северной Кореей.
Исследователи предупреждают об атаках на разработчиков с помощью AI
Инцидент произошел на фоне предупреждений специалистов по кибербезопасности: AI расширяет возможности злоумышленников, одновременно создавая новые потенциальные точки входа в корпоративные системы. В феврале команда Google по кибербезопасности Mandiant сообщила, что северокорейские хакеры, нацеленные на криптоиндустрию, применяли методы с использованием AI.
Исследователи зафиксировали атаку с поддельной видеовстречей и вредоносным ПО. Они также предположили, что злоумышленники использовали созданное AI видео, чтобы выдать себя за руководителя компании. Независимо подтвердить, было ли видео дипфейком, исследователям не удалось, однако они установили, что группа применяла AI-инструменты для разведки и социальной инженерии.
В сентябре команда Google по анализу угроз заявила, что некоторые атакующие переходят от создания вредоносного контента с помощью AI к автоматизации этапов вторжений. В одном случае менее чем через шесть часов после компрометации облачных ресурсов хакеры организовали масштабную операцию по краже учетных данных с использованием AI. Google также выявила попытки манипулировать AI-помощниками для программирования и инструментами сканирования безопасности в рамках атак на цепочки поставок ПО.
В том же месяце Anthropic сообщила, что преступники и предполагаемые участники операций, поддерживаемых государствами, использовали модель Claude для разведки, разработки инструментов атак и автоматизации кражи данных. Некоторые операции включали AI-агентов, выполнявших несколько этапов при ограниченном участии человека. Случай Binance показывает, что разработчики и используемые ими AI-инструменты также могут стать каналом доступа к чувствительной инфраструктуре.
Binance перестраивает системы и готовит сотрудничество с отраслью
Binance заявила, что перестроила затронутые внутренние AI-инструменты и кошельковую инфраструктуру, заменила скомпрометированные устройства сотрудников и ужесточила контроль доступа. Биржа также заказала независимую проверку кибербезопасности, чтобы подтвердить выводы расследования и определить дополнительные меры защиты.
Компания намерена увеличить вложения в обнаружение угроз с помощью AI, защиту конечных устройств, безопасность сред разработки и поведенческий мониторинг. Кроме того, Binance планирует создать фонд исследований в области безопасности и развивать адресное сотрудничество с AI-компаниями, участниками блокчейн-индустрии и фирмами по кибербезопасности. Размер фонда, его участники и дата запуска пока не раскрыты.
Из $634 млн затронутых цифровых активов около $285 млн удалось заморозить или перехватить. По состоянию на 31 октября было восстановлено 98% затронутых токенов. Независимая проверка пока не установила все уязвимости, которыми злоумышленники могли воспользоваться через внутреннюю AI-среду Binance; ее выводы должны лечь в основу дальнейших мер защиты и планов по созданию отраслевого фонда.