Как хакеры из КНДР проникают в криптокомпании и атакуют Binance

Что произошло

Северокорейские хакеры используют разные векторы атак, из-за чего их действия сложнее обнаружить. В числе методов — фиктивный найм в криптокомпании, атаки через инфраструктуру третьих сторон и заражение широко используемых библиотек кода.

В описанном взломе Binance злоумышленники получили доступ к рабочему компьютеру инженера через фиктивное собеседование, затем использовали внутренний инструмент на базе ИИ для доступа к компьютерам других инженеров и украденные учетные данные для захвата внутреннего сервиса подписания транзакций кошелька.

Какие методы используют атакующие

По словам директора по безопасности Binance Jimmy Su, биржа ежедневно отбраковывает резюме, которые считает связанными с КНДР. Он также говорил, что на тот момент почти все крупные взломы, связанные с КНДР, включали фиктивного сотрудника, помогавшего организовать атаку.

Иногда злоумышленники проходят до этапа собеседования и используют дипфейки для изменения лица и голоса. После найма они могут выглядеть подозрительно эффективными: по словам Su, несколько человек могут совместно выполнять одну роль из разных часовых поясов.

В одном из описанных случаев инженера в чате попросили скачать на рабочий компьютер «задание». Репозиторий содержал ранее неизвестное вредоносное ПО, которое запускалось во время установки, заменяло легитимный инструмент разработчика на вредоносную версию и подключалось к серверу под контролем атакующих, обходя средства защиты Binance.

Почему это важно

Атаки сочетают социальную инженерию, дипфейки, вредоносное ПО и компрометацию учетных данных. Это позволяет злоумышленникам маскироваться под сотрудников и использовать обычные рабочие процессы для проникновения в инфраструктуру компаний.

По данным Binance, в 2026 году биржа предотвратила 57 предполагаемых угроз, связанных с КНДР, включая фиктивные собеседования и поддельные приложения для видеоконференций.

Другая связанная с КНДР группа получила средства или учетные данные более чем из 7 000 криптокошельков и перевела в КНДР около $10,71 млн.