Binance опубликовала отчёт о взломе 29 октября, в результате которого были украдены криптоактивы на $6,3 млрд. По версии биржи, это была многоэтапная операция, а не единичный фишинговый инцидент: злоумышленники сочетали социальную инженерию, вредоносное ПО, компрометацию внутреннего AI-инструмента и захват рабочих компьютеров. ФБР приписало кражу северокорейской группе TraderTraitor, связанной с Lazarus Group.
Подготовка началась ещё в июне. Один из инженеров загрузил вредоносную установку Homebrew. Служба безопасности обнаружила угрозу, заменила устройство и сменила затронутые учётные данные, однако, как теперь считает Binance, атакующие получили представление о роли этого специалиста и его коллегах из команды кошельковой инфраструктуры.
В сентябре другому разработчику предложили работу через легитимную платформу поиска вакансий. С ним провели видеособеседование с участием мнимого HR-специалиста, который показывал личные фотографии и видео для укрепления доверия. На второй встрече человек, представившийся генеральным директором, предложил скачать тестовое задание с репозиторием кода. При настройке проекта на рабочем компьютере выполнился вредоносный код.
Вредоносная программа подменила компонент инструмента разработки, выполняла команды и связывалась с внешним сервером атакующих. Скрипт был скрыт, а системы защиты конечных устройств сразу его не заметили.
20 октября злоумышленники использовали скомпрометированный компьютер и внутренний AI-инструмент, чтобы получить доступ к машинам DevOps-инженера и ещё одного разработчика кошельков. На компьютере первого они нашли токен с правом развёртывания контейнеров. 29 октября атакующие использовали украденные учётные данные для развёртывания контейнера и запуска скрипта кражи активов.
Binance сообщила, что пересобрала затронутую кошельковую систему и AI-инструмент, заменила устройства и отозвала соответствующие учётные данные и токены. Биржа работает с правоохранительными органами, блокчейн-аналитиками и исследователями над отслеживанием и заморозкой активов. Независимые эксперты должны провести проверку безопасности. Компания также планирует создать исследовательский фонд и совместные инициативы по безопасности AI в блокчейн-средах.