Binance: фальшивые собеседования и ИИ-инструмент стали основой кражи на $6,3 млрд

В сентябре мишенью стал другой инженер. Человек, представившийся потенциальным работодателем, назначил серию звонков и несколько раундов собеседований, делился страницами в соцсетях для создания доверия, а затем уговорил жертву скачать «тестовое задание», оказавшееся вредоносной программой.

Binance утверждает, что её службы безопасности заметили первое заражение в июне и заменили устройство сотрудника. Однако вторую атаку средства защиты не обнаружили: вредонос удалил исполняемый файл pyenv и подменил его вредоносной версией с бэкдором. Компания называет его 0-day-малварью, которая к тому же заметала следы взлома.

Внутренний ИИ-инструмент и запоздалая реакция

К 20 октября, как следует из отчёта, атакующие с помощью внутреннего ИИ-инструмента Binance получили контроль над кошельками первого инженера, взломанного в июне, и третьего сотрудника. 29 октября они вошли в компьютер третьего сотрудника и начали атаку.

Постмортем объясняет и то, почему не удалось остановить транзакции, прошедшие почти через два часа после первых несанкционированных переводов. Поскольку горячий кошелёк использовал многосторонние вычисления (MPC), не существовало единого закрытого ключа, которым можно было бы сразу отозвать вредоносные авторизации EIP-7702.

Binance сообщает, что предотвратила 57 случаев киберугроз, предположительно связанных с КНДР. Глава компании Ричард Тэн заявляет, что ни один пользователь не несёт убытков, а около $2,85 млрд похищенных активов заморожено или перехвачено. По его словам, 98% затронутых токенов восполнено, оставшиеся 2% компания завершает возвращать, а выводы средств в целом возобновлены.

Неясно другое: почему атака оказалась успешной. Об опасности собеседований, где просят скачать и запустить код на устройствах с доступом к рабочим данным, предупреждают годами, а подробностей о внутреннем ИИ-инструменте и о том, как он помог злоумышленникам, почти нет.