"Переманили сотрудника" на 6,3 млрд долларов: как хакеры взломали Binance

В сентябре инженеру Binance на платформе по поиску работы написал «руководитель проекта» перспективной компании. Платформа была настоящей, работодатель нет. Сначала с инженером побеседовала «сотрудница отдела кадров», которая, чтобы завоевать доверие, показывала ему свои соцсети, личные фото и видео.

Второе собеседование, уже с «гендиректором» несуществующей компании, прошло в популярном мессенджере. Инженер сидел за рабочим ноутбуком, и его попросили скачать тестовое задание. Вредоносный код из задания тихо подменил pyenv, привычный инструмент разработчиков.

Через несколько недель с кошельков крупнейшей криптобиржи мира ушло около 6,3 млрд долларов. Так начало атаки описывает сама Binance в опубликованном отчете о взломе.

Профиль, которого не должно было быть

По словам руководства биржи, на которые ссылается Fortune, хакеры нашли инженера в LinkedIn. В профиле было указано, что он работает в Binance.

Представитель компании пояснил, что сотрудникам на непубличных должностях вообще запрещено держать профиль в LinkedIn. Почему инженер с доступом к инфраструктуре кошельков общался с «работодателем», биржа не объясняет.

Хакеры готовились с лета

Собеседование было уже вторым шагом атаки. Первую зацепку злоумышленники получили еще в июне. Тогда другой инженер, обслуживающий кошельки биржи, искал ИИ-помощника для программирования и скачал подделанную версию менеджера пакетов Homebrew.

Служба безопасности заметила проблему, заменила ноутбук и сменила ключи доступа. Однако хакеры успели узнать, чем занимается инженер и кто из коллег работает с кошельками. По этим сведениям они и выбрали следующую цель.

Захват системы кошельков

20 октября хакеры через зараженный компьютер и внутренний ИИ-инструмент Binance получили контроль над ноутбуками двух инженеров, работающих с кошельками. У одного из них был токен, открывающий доступ к выкладке программ в рабочую инфраструктуру биржи.

29 октября злоумышленники внедрили вредоносный код в систему кошельков и получили доступ к внутреннему сервису подписи транзакций. Обычную процедуру вывода средств они просто обошли.

Почему остановка вывода не помогла

По подсчетам аналитиков TRM Labs, большую часть денег вывели примерно за 20 минут через десяток блокчейнов. Binance приостановила ввод и вывод средств, однако переводы в сети Ethereum продолжились.

Хакеры заранее выдали себе права через механизм EIP-7702, и остановка вывода эти разрешения не отменила. Чтобы их снять, бирже понадобилась отдельная процедура.

«Это была кампания»

Перекладывать вину на одного сотрудника в Binance не стали. Один из гендиректоров биржи Ричард Тенг заявил, что это была не единичная ошибка и не один взлом, а кампания, которую выстраивали много месяцев. По его словам, злоумышленники совмещали фейковые собеседования, вирусы под видом инструментов для разработчиков, захваченные устройства и приемы с ИИ.

Биржа также извинилась перед клиентами. В заявлении компании сказано, что такого не должно было случиться и Binance сожалеет о беспокойстве и неопределенности, которые инцидент вызвал у пользователей, партнеров и всей отрасли.

Основатель Binance Чанпэн Чжао еще прошлой осенью писал, что злоумышленники выдают себя за кандидатов и рекрутеров и даже подкупают сотрудников, и призывал учить персонал не скачивать непроверенные файлы.

Сколько удалось заморозить

Binance сообщила, что заморозила или перехватила около 2,85 млрд долларов. Сумма может измениться после сверки и с колебаниями курсов.

Большую часть заблокировали эмитенты стейблкоинов. Tether заморозила около 1,6 млрд долларов в USDT, свою часть средств заблокировала и компания Circle.

По оценке аналитической компании Elliptic, в кошельках, связанных с хакерами, остается около 3,18 млрд долларов, в основном в биткоинах и эфире.

Кто покроет убытки

Потери клиентов биржа обещает покрыть из собственных средств. Ричард Тенг заявил, что ни один пользователь не понесет убытков.

Биржа сообщила, что восполнила 98% затронутых токенов и докупает оставшиеся, менее ликвидные активы. Это пополнение кошельков за счет самой компании, на возврат украденного у хакеров цифра не указывает.

Для покрытия ущерба Binance выделила внутри компании около 6,34 млрд долларов. Кроме того, у биржи есть резервный фонд в биткоинах для защиты клиентов на случай взломов.

Реакция рынка

После новостей о взломе биткоин подешевел больше чем на 3%. Снизились и другие криптовалюты.

Старший исследователь HashKey Group Тим Сунь считает, что инцидент может снизить аппетит инвесторов к риску. По его словам, многие задумаются, насколько безопасно держать активы на централизованных биржах.

Перепалка с Маском

В ночь взлома Чанпэн Чжао успокаивал клиентов в соцсети X. «Больно, но мы выживем», написал основатель биржи.

Илон Маск в ответ на пост о потерях Binance выложил гримасничающий эмодзи. Чжао попросил его остановиться, написав, что очень уважает Маска, но сейчас не время для троллинга.

Что меняет Binance

Биржа перестроила систему кошельков в новой среде, заново собрала скомпрометированный ИИ-инструмент, заменила зараженные устройства и отозвала все связанные доступы. Проверить выводы расследования поручено независимым компаниям по кибербезопасности.

Binance также увеличит вложения в обнаружение угроз с помощью ИИ и создаст фонд исследований в области безопасности.