Binance раскрыла схему кражи $6,3 млрд через фальшивый найм
Binance сообщила, что в результате атаки, которую ФБР и блокчейн-расследователи связывают с КНДР, были похищены криптоактивы на рекордные $6,3 млрд. Злоумышленники использовали поддельные профили в соцсетях и легенду о вакансии, чтобы убедить инженера команды кошельков запустить вредоносный файл на корпоративном ноутбуке.
После раскрытия инцидента крупнейшая криптобиржа приостанавливала вывод средств по своей сети. Компания признала, что атака не должна была произойти, и сообщила о новых мерах защиты и планах привлечь внешних экспертов по кибербезопасности для разбора случившегося.
Как развивалось проникновение
По версии Binance, атакующие представились рекрутерами компании, которая якобы нанимала специалистов. Сотрудник, отвечавший за кошельки, прошёл два собеседования, после чего получил задание по программированию. Открытый файл содержал вредоносный код и скомпрометировал рабочий ноутбук инженера.
Биржа отдельно указала, что её средства защиты не обнаружили вредоносное ПО. Первоначальный доступ позволил атакующим воспользоваться внутренним инструментом, который мог брать под контроль рабочие компьютеры ещё двух инженеров команды кошельков.
Цепочка учётных данных и доступа
Один из этих сотрудников несколькими месяцами ранее скачал подменённое приложение с программой для кражи паролей. Он нашёл его через результаты поисковой выдачи. Binance заменила скомпрометированный ноутбук, однако злоумышленники сохранили украденные учётные данные.
С их помощью атакующие получили доступ к компьютеру третьего инженера. Его рабочие обязанности давали доступ к системам, способным управлять криптоактивами на миллиарды долларов. Так сочетание вредоносного файла, учётных данных и внутренних средств администрирования стало частью одной цепочки компрометации.
Давняя тактика против криптоиндустрии
Схема с ложным трудоустройством давно известна исследователям угроз. Группы, связанные с КНДР, выдают себя за инвесторов, венчурных капиталистов и рекрутеров, используя похищенные личности американцев для установления доверия. Такие кампании нацелены на криптокомпании и состоятельных владельцев цифровых активов.
Binance заявила как минимум о 57 подозрительных атаках, связанных с КНДР. В компании назвали это свидетельством постоянной угрозы со стороны поддерживаемых государством групп, которые нацеливаются на криптовалютную отрасль.
Что важно проверить компаниям
Инцидент показывает, что проверка файлов от кандидатов и собеседников должна быть частью корпоративной защиты, а не только правил HR-процесса. Практический вывод для бизнеса: нужно ограничивать запуск непроверенного кода на рабочих устройствах, изолировать среды для тестовых заданий и минимизировать доступ по учётным данным сотрудников к критическим системам.