Binance пов’язала крадіжку $6,3 млрд із хакерами КНДР

Binance заявила, що рекордне викрадення $6,3 млрд стало наслідком багатомісячної фішингової схеми з фальшивими вакансіями та шкідливим ПЗ.

Криптобіржа Binance заявила, що за рекордним викраденням $6,3 млрд стояли північнокорейські хакери. За версією компанії, вони діяли через фальшиві профілі в соцмережах і виманювали доступ під приводом можливої роботи. Схема тривала місяцями й зрештою мала змусити співробітника завантажити шкідливе програмне забезпечення на робочий ноутбук. Після інциденту Binance призупинила виведення коштів клієнтів у своїй мережі.

Ця історія привернула увагу не лише масштабом крадіжки. Вона також показала, що добре знайомі для кібербезпеки методи — підроблені контакти рекрутерів, шкідливі файли та викрадення облікових даних — можуть спрацювати навіть проти великої компанії.

Як хакери отримали перший доступ до мережі Binance

В оновленій заяві, опублікованій у вівторок на X, Binance описала багатоступеневу атаку. За словами компанії, хакери, які видавали себе за рекрутерів, зв’язалися з програмним інженером, що працює з гаманцями. Після двох співбесід йому запропонували виконати нібито тестове завдання для інтерв’ю.

Коли інженер відкрив файл, у ньому містився шкідливий код, який скомпрометував його робочий ноутбук. Binance визнала, що її інструменти безпеки не виявили це шкідливе ПЗ.

Саме цей доступ, за даними компанії, став точкою входу для подальших дій хакерів у внутрішній мережі.

Атака поширилася на комп’ютери інших інженерів

Отримавши перший плацдарм, зловмисники змогли використати внутрішній інструмент Binance, який дозволяв контролювати робочі комп’ютери ще двох інженерів команди гаманців.

Один із них раніше, за словами компанії, ненавмисно завантажив підроблений застосунок зі шкідливим кодом для викрадення паролів після пошуку програми в результатах пошуковика. Binance замінила його скомпрометований ноутбук, але хакери скористалися викраденими обліковими даними цього інженера, щоб проникнути в комп’ютер третього співробітника.

Саме його доступ, як стверджує компанія, відкривав шлях до систем, здатних керувати криптовалютою на мільярди доларів. Як повідомляють Новини IT-PUB, ланцюг компрометації розвивався не через один збій, а через кілька послідовних точок доступу всередині команди.

Чому атаку пов’язують із Північною Кореєю

FBI та блокчейн-дослідники поклали відповідальність за крадіжку на Північну Корею. Країну давно підозрюють у масштабних крадіжках криптовалюти, які, за оцінками та звинуваченнями, можуть використовуватися для фінансування міжнародно санкціонованої ядерної програми.

У своїй заяві Binance назвала цей випадок частиною “постійної загрози з боку державних акторів”, які націлюються на криптоіндустрію. Компанія також заявила, що вже мала щонайменше 57 підозрюваних атак з боку Північної Кореї.

Окремо Binance підкреслила, що схема відповідає давній тактиці північнокорейських хакерів: вони видають себе за венчурних капіталістів, інвесторів або рекрутерів і використовують досьє з викраденими американськими особистостями, щоб обманом отримати доступ до систем компаній.

Binance визнала проблеми із захистом робочих ноутбуків

Історія з Binance показує, що навіть знайомі кіберзагрози не втрачають сили, якщо їх подають у переконливій людській формі — через пропозицію роботи, співбесіду або “тестове завдання”. Ключовою частиною атаки стала саме соціальна інженерія, а не лише технічний злам.

У матеріалі TechCrunch також наголошується, що відповідальність лежить не лише на зловмисниках, а й на самій компанії: її системи мали б не дозволяти запускати несанкціоноване або ненадійне програмне забезпечення, здатне призвести до компрометації.

Після інциденту Binance заявила, що залучить фахівців із кібербезпеки для розслідування та вже впровадила нові заходи захисту, щоб не допустити повторення. Компанія також сказала, що цей злам “не повинен був статися”.

Це найбільша крадіжка криптовалюти в історії

Наразі цей випадок залишається найбільшою крадіжкою криптовалюти в історії. І увагу привертає не лише сума, а й те, як хакери змогли пройти через кілька рівнів довіри та доступу всередині великої криптокомпанії.

У Binance не відповіли на запитання TechCrunch про те, як саме компанія запобігає запуску несанкціонованого коду на ноутбуках співробітників і чи проходила її мережа сторонній кібер-аудит до атаки. Представник компанії лише відслав до публічної заяви Binance.

Для криптоіндустрії це ще одне нагадування: загроза може починатися не зі злому серверів, а з повідомлення від “рекрутера” чи файла, який виглядає як звичайне робоче завдання.