Соисполнительный директор Binance Ричард Тенг сообщил, что злоумышленники проникли в системы биржи с помощью поддельных инструментов для разработчиков, фиктивных собеседований, вредоносного ПО и внутренних ИИ-инструментов. 29 октября с инфраструктуры кошельков было похищено криптоактивов на $6,34 млрд. Binance заявляет, что вернула 98% затронутых активов; работа над оставшейся частью продолжается, в частности по менее ликвидным токенам.
Инцидент вновь поставил вопрос о порядке подтверждения операций с кошельками, защите устройств сотрудников и контроле доступа к внутренним инструментам крупных централизованных бирж. Binance сообщила, что восстановила затронутые системы кошельков и внутренние ИИ-инструменты, а также привлечет независимых экспертов для оценки своих действий.
Binance обнаружила следы подготовки атаки с июня
В отчете по безопасности, опубликованном во вторник, биржа указала, что подготовка к атаке могла начаться еще в июне. Инженер, занимавшийся DevOps для Binance Wallet, искал в интернете популярный ИИ-инструмент для программирования и скачал модифицированный установщик Homebrew.
После обнаружения подозрительной активности Binance в качестве меры предосторожности заменила устройство инженера и обновила связанные с ним учетные данные. Однако, как говорится в отчете, к этому моменту злоумышленники уже собрали сведения о его должности и коллегах из команды, отвечавшей за инфраструктуру кошельков.
По словам Тенга, злоумышленники на протяжении нескольких месяцев расширяли доступ к системам. Он отверг версию о том, что причиной инцидента стала единственная уязвимость — ноутбук одного сотрудника: в сентябре атакующие также нацелились на другого инженера.
Поддельные собеседования помогли внедрить вредоносный код
В сентябре злоумышленники выдавали себя за рекрутеров и провели с инженером несколько собеседований. В ходе отбора ему предложили тестовое задание по программированию со встроенным вредоносным кодом, рассчитанным на обход средств защиты. Затем атакующие использовали внутренние ИИ-инструменты Binance, чтобы расширить свои действия и получить доступ, позволивший обойти систему подтверждения транзакций с кошельков.
Описание биржи указывает, что атака не ограничилась взломом одного устройства: злоумышленники сочетали личное взаимодействие, установку программ и доступ к внутренним системам. Binance отключила затронутые устройства и отозвала связанные с участвовавшими в инциденте инженерами учетные данные и токены. Кроме того, биржа расширила проверки устройств сотрудников.
Binance вернула 98% активов, часть выводов ограничивали
По данным Binance, биржа восстановила 98% затронутых активов и выкупает те, которые пока не удалось заменить, включая менее ликвидные токены. После инцидента платформа временно ограничила часть выводов, пообещала компенсировать потери клиентов и пополнила затронутые активы за счет собственных резервов.
Tether, Circle, Ripple и другие участники отрасли совместно с Binance и партнерами заморозили активы примерно на $3 млрд. Тем не менее часть похищенных средств прошла через каналы отмывания денег. Coinbase заявила, что заблокировала переводы на связанные с инцидентом кошельки и оказала Binance прямую помощь.
Тенг не стал напрямую приписывать атаку Северной Корее, но отметил, что ФБР связало инцидент с северокорейскими хакерами и группировкой TraderTraitor. Атрибуция остается частью расследования. Binance сотрудничает с правоохранительными органами и участниками отрасли, чтобы отследить и заморозить похищенные средства.
Независимые эксперты оценят действия биржи
Тенг сообщил, что Binance привлечет независимых экспертов для проверки того, как биржа отреагировала на инцидент, и продолжит укреплять защиту по мере расследования. По заявлению компании, затронутые системы кошельков и внутренние ИИ-инструменты восстановлены, устройства заменены, соответствующие учетные данные и токены отозваны, а проверки рабочих устройств сотрудников расширены.
Атака на короткое время поставила под испытание доверие к централизованным криптобиржам. Binance заявляет, что ее финансовое положение остается устойчивым; среди приоритетов биржи — выявление уязвимостей, возврат оставшихся активов и предотвращение повторения подобных инцидентов. Для пользователей и рынка важны дальнейшие сведения о судьбе невозвращенных средств, их перемещении и выводах независимой проверки.