Binance описала крадіжку 6,43 млрд доларів через фальшиві співбесіди та зловживання інструментом ШІ

Binance повідомила у вівторок, що крадіжка активів вартістю 6,43 млрд доларів з найбільшої у світі криптовалютної біржі стала результатом складної багатоетапної кампанії із соціальної інженерії, шкідливого програмного забезпечення та зловживання внутрішніми інструментами. Компанія заявила, що атака була спрямована на двох інженерів і поєднувала фальшиві співбесіди для працевлаштування, пошкоджене встановлення Homebrew, скомпрометовані внутрішні інструменти ШІ, компрометацію кінцевих пристроїв та передовий метод авторизації транзакцій.

Як почалася атака

Початком стала атака на ланцюг постачання проти інженера з команди Wallet DevOps, якого позначено як інженер A; він завантажив троянізовану програму встановлення Homebrew під час пошуку популярного інструменту штучного інтелекту у червні 2026 року. Binance повідомила, що виявила цю атаку та з метою обережності оновила пов'язані облікові дані, але було розкрито інформацію про інженера A та пов'язаних колег із команди інфраструктури гаманців. У вересні 2026 року зловмисник зв'язався з другим інженером, інженером B, через легітимну платформу пошуку роботи, видаючи себе за директора проєкту, а потім організував співбесіди з представником відділу кадрів і особою, яка називала себе виконавчим директором неіснуючої компанії.

Під час співбесіди першого раунду по відеозв'язку представник відділу кадрів поділився соціальним мережевим акаунтом із особистими світлинами та відео, щоб здобути довіру. У другому раунді, який відбувся в популярному чат-застосунку, інженеру B сказали завантажити завдання, що містило шкідливий репозиторій коду, на його робочий комп'ютер. Репозиторій виконав шкідливий код під час налаштування, а шкідливе програмне забезпечення використовувало техніки обфускації та обходу захисту, замінило легітимний компонент інструменту розробки отруєною версією, спілкувалося з сервером під контролем нападника та видалило сліди розслідування.

Зловживання внутрішніми системами

20 жовтня 2026 року нападник використав скомпрометований комп'ютер інженера B і зловживав внутрішнім інструментом ШІ, щоб отримати контроль над інженером A та ще одним інженером-розробником програмного забезпечення гаманців, якого позначено як інженер C. Нападник виявив, що на комп'ютері інженера A був токен дозволу на розгортання контейнерів. Між 17:15 та 19:56 29 жовтня нападник увійшов у комп'ютер інженера C, використав облікові дані, викрадені в інженера A, розгорнув контейнер і запустив шкідливий скрипт. Зрештою атака використала несанкціонований доступ до внутрішньої служби підпису гаманців, щоб ініціювати транзакції поза звичайним процесом виведення коштів.

Реагування та ширші загрози

Станом на 3 листопада Binance повідомила, що реконструювала уражену систему гаманців у новому середовищі та перебудувала внутрішній інструмент ШІ і контроль доступу. Вона замінила уражені пристрої, вивела з експлуатації облікові дані та токени, пов'язані з ураженими інженерами, завершила посилене сканування безпеки на всіх пристроях працівників, посилила виявлення аномалій поведінки на основі ШІ, зміцнила контролі ризику служби гаманців, а також співпрацювала з правоохоронними органами, компаніями блокчейн-розвідки та галузевими партнерами для відстеження та замороження уражених активів. Компанія заявила, що точки входу, використані в атаці, закрито, а системи, які перебували на шляху атаки, перебудовано або замінено.

Binance також повідомила, що збільшує інвестиції у виявлення на основі ШІ, захист кінцевих пристроїв, безпеку середовища розробки та моніторинг аномалій поведінки. З початку року вона оцінює, що запобігла 57 підозрюваним кіберзагрозам, пов'язаним із Північною Кореєю. Техніки в цих випадках включають фальшиві співбесіди для працевлаштування, шкідливе програмне забезпечення, замасковане під популярні інструменти розробників, скомпрометовані пакети програмного забезпечення та розширення браузерів, фальшиві застосунки відеоконференцій, а також кампанії соціальної інженерії, спрямовані на викрадення облікових даних або розгортання шкідливого програмного забезпечення для віддаленого доступу.

Попереднє висвітлення: Binance відновлює виведення коштів після покриття 95% втрат від злому · Північнокорейських хакерів звинувачують у крадіжці 6,3 млрд доларів з Binance

Джерела: The Hacker News