Криптобиржа Binance раскрыла детали взлома на $6,3 млрд. Согласно официальной версии, злоумышленники не эксплуатировали технические уязвимости, а обманули сотрудников биржи — они маскировались под работодателей и устраивали поддельные собеседования.
Подготовка к атаке стартовала в июне. Один из инженеров, который работал над инфраструктурой кошельков Binance, искал инструменты для разработки. Он воспользовался поисковой ИИ‑системой и скачал подменённую злоумышленниками версию менеджера пакетов Homebrew — так вредоносный код попал в инфраструктуру компании.
Служба безопасности Binance обнаружила аномалию: устройство одного из сотрудников было заменено, а все связанные с ним учётные данные изменены. К этому моменту хакеры уже выяснили роли инженера и его коллег — эти данные помогли им приступить к основной атаке.
В сентябре злоумышленники использовали украденные данные о сотрудниках и связались с другим инженером Binance через платформу для поиска работы. Они представились руководителями вымышленной компании и организовали двухэтапное собеседование. На первом этапе фальшивый HR‑специалист провёл с сотрудником биржи видеовстречу и даже поделился личным аккаунтом в соцсети с фото и видео. На втором этапе в личной переписке в неназванном мессенджере инженеру предложили скачать «тестовое задание» — на самом деле это был репозиторий с вредоносным кодом. Binance не смогла объяснить, как сотруднику удалось загрузить вирус на рабочий компьютер и почему система защиты не сработала.
После установки вредоносная программа внедрилась в один из инструментов для программной разработки и установила связь с сервером злоумышленников. Для этого была применена некая специальная технология, из‑за которой системы защиты не смогли выявить угрозу, пояснили в Binance.
20 октября хакеры, используя скомпрометированный компьютер, получили доступ к устройствам ещё двух сотрудников, включая инженера из команды, которая работает с инфраструктурой кошельков. На компьютере одного из них злоумышленники нашли токен, который позволял разворачивать программные контейнеры. В ночь атаки хакеры подключились к компьютеру третьего инженера, использовали украденные учётные данные, развернули несанкционированный контейнер и запустили скрипт, который позволил провести транзакции по выводу средств.
После взлома в соцсетях появилась версия о том, что инженер Binance состоял в тайных отношениях с девушкой‑хакером из КНДР — якобы именно через эту связь злоумышленники получили доступ к системам компании. Аноним в соцсети Х с ником doomerfied рассказал, что работник Binance познакомился с девушкой онлайн, между ними завязалась переписка, а затем — романтические отношения. Со временем девушка начала осторожно выяснять рабочие детали: как устроены процессы, какие инструменты используют сотрудники, как проходят согласования. Она задавала вопросы в рамках бытовых тем, чтобы не вызвать подозрений. Затем девушка попросила инженера установить «полезную утилиту» или скачать файл «для общего проекта» — так на рабочем устройстве сотрудника оказался вредоносный код.
Атака на биржу произошла в ночь с 29 на 30 октября. Федеральное бюро расследований США считает, что за инцидентом стоят хакеры из КНДР.