Хакеры взломали Binance при помощи фейкового собеседования и внутреннего ИИ компании

Binance выпустила отчёт с первыми выводами о прошедшей хакерской атаке. Из них следует, что большую часть взлома обеспечили уязвимости систем и социальная инженерия. 

Речь идёт о взломе, который позволил хакерам украсть у биржи криптовалюты на 6,3 миллиарда долларов. ФБР США утверждает, что за этим стоят группировки из Северной Кореи, включая TraderTraitor. В Пхеньяне в очередной раз отрицают причастность к преступлениям.

С самого начала стало известно, что взлом каким-то образом связан со скомпрометированным устройством одного из сотрудников. Тем не менее, была неизвестна цепочка событий, за счёт которой произошёл взлом. Именно её попытались восстановить авторы отчёта.

Как сообщается, подготовка к крупнейшему грабежу в истории криптовалют началась несколько месяцев назад. Всё началось в июне, когда один из инженеров, как сообщается, скачал модифицированную версию приложения Homebrew. В компании заметили аномалию и заменили устройство, но было уже поздно. Злоумышленники поняли, как устроена «внутренняя кухня» компании и начали действовать. 

В сентябре хакеры начали действовать. Они отправили одному из программистов Binance приглашение на новую работу. Один из преступников притворился менеджером проекта и начал проводить фейковое собеседование, чтобы усыпить бдительность программиста. После этого появился такой же «гендиректор». Он отправил программисту файл с «проверочным заданием» для получения вакансии. Как выяснилось, в коде содержался вирус. Сообщается, что в процессе атаки использовался внутренний ИИ биржи.

«Вредоносная программа использовала сложные методы обфускации и обхода защиты, включая замену легитимного компонента инструмента разработки вредоносной версией для выполнения команд и установления связи с внешним сервером, контролируемым злоумышленником. В тот момент эта вредоносная программа нулевого дня не была обнаружена средствами защиты конечных точек. Злоумышленник также предпринял шаги для сокрытия вредоносной активности и удаления следов взлома, что затруднило обнаружение и последующее расследование.Скрипт выполнил описанные ниже шаги, используя методы обфускации для обхода обнаружения системой безопасности», — говорится в новом сообщении компании. 

После установки программа взломала компьютеры того самого инженера, которому заменили устройство летом, и ещё одного его коллеги, который разрабатывает кошельки. Так группировка получила «токен разрешения на развертывание контейнеров». Атака была делом техники: хакерам нужно было быстро вывести деньги раньше, чем компания предпримет меры. 29 октября за два с половиной часа злоумышленник вошел в систему с компьютера разработчика кошельков, использовал логин изначального инженера и запустил вредоносный скрипт.

В Binance обещают инвестировать ещё больше денег в кибербезопасность и создать свой «Фонд исследований в области безопасности».