29 октября 2024 года в 20:24 UTC Binance подверглась атаке с ущербом в $6,3 млрд после пятимесячной кампании социальной инженерии, организованной северокорейцами. Вот цепочка атаки:
Июнь: инженер устанавливает скомпрометированный инструмент для разработки, найденный через рекламу → Binance обнаруживает его, очищает устройство и меняет учётные данные. Но к тому моменту злоумышленник уже изучил внутреннюю структуру организации.
Сентябрь: второй инженер получает сообщение в LinkedIn от рекрутера. Два этапа собеседования с поддельным гендиректором несуществующей компании. Тестовое задание по программированию на дом оказалось вредоносной нагрузкой.
20 октября: через заражённый ноутбук и внутренний ИИ-инструмент злоумышленники переключаются на двух разработчиков кошельков. У одного на локальном компьютере в открытом виде хранился токен для развёртывания контейнеров.
29 октября: за время менее часа вывели 522,409 $ETH + 18,270 $BTC + $2B в $USDT/$USDC.
Шесть дней спустя: средства не двигались. Все средства заморожены. У ФБР есть личности злоумышленников, более 600 адресов помечены. Binance покрыла 98% убытков из резервов, вывод средств возобновлён. Цена $ETH не изменилась.
Злоумышленники не могут обналичить ни одного сатоши.
Технические сбои:
• Ненадёжный исполняемый файл из рекламной сети запустили на компьютере разработчика
• Рабочий ноутбук использовали для выполнения внешнего кода (тестового задания на собеседовании)
• Токен для развёртывания хранился локально в открытом виде, а не в хранилище секретов или HSM
• Инфраструктура подписания по умолчанию не блокировала авторизацию EIP-7702
Список мер защиты:
• Применять модель нулевого доверия ко всем внешним исполняемым файлам, особенно полученным из рекламы
• Использовать изолированную песочницу для проверки любого внешнего кода
• Хранить все учётные данные для развёртывания в аппаратных модулях безопасности
• Явно задавать в подписывающем устройстве список разрешённых типов транзакций
Самое дорогое собеседование в истории. Пять месяцев работы, украдено $6,3 млрд, доступно для траты — $0.
Июнь: инженер устанавливает скомпрометированный инструмент для разработки, найденный через рекламу → Binance обнаруживает его, очищает устройство и меняет учётные данные. Но к тому моменту злоумышленник уже изучил внутреннюю структуру организации.
Сентябрь: второй инженер получает сообщение в LinkedIn от рекрутера. Два этапа собеседования с поддельным гендиректором несуществующей компании. Тестовое задание по программированию на дом оказалось вредоносной нагрузкой.
20 октября: через заражённый ноутбук и внутренний ИИ-инструмент злоумышленники переключаются на двух разработчиков кошельков. У одного на локальном компьютере в открытом виде хранился токен для развёртывания контейнеров.
29 октября: за время менее часа вывели 522,409 $ETH + 18,270 $BTC + $2B в $USDT/$USDC.
Шесть дней спустя: средства не двигались. Все средства заморожены. У ФБР есть личности злоумышленников, более 600 адресов помечены. Binance покрыла 98% убытков из резервов, вывод средств возобновлён. Цена $ETH не изменилась.
Злоумышленники не могут обналичить ни одного сатоши.
Технические сбои:
• Ненадёжный исполняемый файл из рекламной сети запустили на компьютере разработчика
• Рабочий ноутбук использовали для выполнения внешнего кода (тестового задания на собеседовании)
• Токен для развёртывания хранился локально в открытом виде, а не в хранилище секретов или HSM
• Инфраструктура подписания по умолчанию не блокировала авторизацию EIP-7702
Список мер защиты:
• Применять модель нулевого доверия ко всем внешним исполняемым файлам, особенно полученным из рекламы
• Использовать изолированную песочницу для проверки любого внешнего кода
• Хранить все учётные данные для развёртывания в аппаратных модулях безопасности
• Явно задавать в подписывающем устройстве список разрешённых типов транзакций
Самое дорогое собеседование в истории. Пять месяцев работы, украдено $6,3 млрд, доступно для траты — $0.