Binance раскрыла детали многоэтапной атаки на криптовалютные кошельки

Что произошло

Злоумышленники начали подготовку не позднее июня и продолжали операцию до прошлого четверга. В итоге они скомпрометировали ноутбук инженера и вывели активы из нескольких кошельков Binance.

По словам биржи, это была многоэтапная кампания, а не единичный взлом или обычная фишинговая атака. Хакеры сочетали поддельные собеседования при найме, загрузку вредоносного ПО, компрометацию внутреннего AI-инструмента и устройств сотрудников, а также продвинутый метод авторизации транзакций.

Как действовали злоумышленники

Первый связанный с атакой инцидент, вероятно, произошел в июне: инженер установил измененную версию Homebrew. В сентябре другой сотрудник получил сообщения на легитимной платформе для поиска работы от человека, выдававшего себя за директора проекта.

Сотруднику организовали два собеседования — с фиктивными представителями отдела кадров и руководителем несуществующей компании. Во время второго этапа ему предложили скачать тестовое задание, связанное с репозиторием с вредоносным кодом. Код выполнился на устройстве во время установки.

Вредоносная программа заменяла компонент легитимного инструмента разработки на модифицированную версию, выполняла команды и связывалась с внешним сервером под контролем атакующих. Вредоносное ПО нулевого дня не обнаружили средства защиты конечных устройств, а злоумышленники пытались скрыть активность и удалить следы компрометации.

20 октября атакующие использовали скомпрометированный компьютер инженера и внутренний AI-инструмент, чтобы получить контроль над устройствами еще двух сотрудников. Девять дней спустя они вошли на устройство третьего инженера, применили украденные учетные данные, развернули контейнер и запустили скрипт для перевода средств. Затем злоумышленники получили доступ к внутреннему сервису подписи кошельков и провели транзакции в обход обычного процесса вывода.

Почему это важно

Атака показала, что доступ к криптовалютной инфраструктуре может быть получен не только через прямой взлом, но и через сотрудников, рабочие устройства и внутренние инструменты. Масштаб первоначально затронутой суммы делает инцидент крупнейшей заявленной целью в истории криптовалютных краж.