Binance раскрыла, как её взломали
Binance раскрыла, как хакеры пять месяцев готовили атаку, после которой с биржи 29 октября вывели активы на $6,34 млрд.
По данным предварительного отчёта, всё началось в июне. Инженер Binance настраивал ИИ-инструмент для программирования и скачал модифицированный установщик Homebrew, популярного менеджера пакетов для macOS. Биржа это обнаружила, заменила устройство и сменила учётные данные, но злоумышленники успели выяснить, кто в компании отвечает за кошельки.
В сентябре фальшивый рекрутер на сайте для поиска работы провёл с сотрудником видеособеседование и прислал репозиторий с «тестовым заданием». Внутри было вредоносное ПО, использовавшее уязвимость нулевого дня, и защита рабочих устройств его не заметила. 20 октября атакующий использовал внутренний ИИ-инструмент Binance как плацдарм и получил токен для развёртывания контейнеров. 29 октября он развернул контейнер, из которого и запустил атаку.
Через внутренний сервис подписи транзакций злоумышленник выводил средства в обход обычной процедуры. За четыре минуты, с 20:05 до 20:09 по UTC, пять горячих кошельков, то есть постоянно подключённых к сети, отправили на его адрес 233,46 млн XRP. Затем ушли около 970 500 SOL, 44,2 млн OP и 18 270 BTC.
В сети Ethereum хакер воспользовался механизмом EIP-7702, который позволяет обычному кошельку передать часть полномочий смарт-контракту. С помощью 50 подписанных транзакций он закрепил за вредоносным контрактом право распоряжаться горячим кошельком. Остановка вывода средств эти разрешения в блокчейне не отменила. Кошелёк работал на многосторонних вычислениях (MPC), где нет единого приватного ключа, который можно было бы быстро отозвать. Последний перевод на 2961,9 ETH прошёл в 23:56 UTC, а делегирование Binance сняла только в 00:10 UTC 30 октября.
По словам биржи, к 31 октября восстановлено 98% затронутых токенов, а около $2,85 млрд заморожено или перехвачено. Binance заявляет, что зарезервировала больше 100% суммы, нужной для покрытия убытков, и пользователи ничего не потеряют. Компания извинилась и признала, что инцидента не должно было произойти. По данным ФБР, за атакой стоит КНДР. Сама Binance сообщила, что за год заблокировала 57 угроз, предположительно связанных с Северной Кореей.
После атаки Binance восстановила систему кошельков и ИИ-инструмент, заменила устройства, отозвала учётные данные и проверила технику всех сотрудников. Биржа также закажет независимый аудит и вместе с партнёрами создаст фонд исследований безопасности ИИ.
Ранее «Код.ру» рассказывал, что Binance возобновила вывод биткоина и Ethereum после взлома.