Криптобиржа Binance выпустила предварительный отчет о взломе. Раскрыты детали многоэтапной атаки

В результате взлома криптобиржи Binance 29 октября пострадали цифровые активы на сумму около 6,34 миллиарда долларов. Об этом говорится в предварительном отчете об инциденте, опубликованном 3 ноября на сайте криптобиржи.

Ко вторнику, как утверждается, было восстановлено 98% затронутых токенов. Биржа зарезервировала более 100% средств, необходимых для покрытия убытков, и заверила, что пользователи не понесут финансовых потерь. На данный момент заморожено или перехвачено около 2,85 миллиарда долларов; окончательная сумма зависит от сверки данных и изменений рыночных цен.

Согласно отчету биржи, злоумышленник использовал несанкционированный доступ к внутреннему сервису подписания транзакций кошелька, чтобы запускать транзакции в обход обычного процесса вывода средств. С 20:05 до 20:09 UTC пять горячих кошельков отправили 233,46 млн XRP на адрес, контролируемый злоумышленником; кошельки Solana и Optimism отправили около 970 500 SOL и 44,2 млн OP, затем последовал перевод 18 270 BTC. После этого преступник воспользовался механизмом авторизации EIP-7702 в Ethereum, чтобы предоставить вредоносному контракту частичные права на выполнение операций с горячим кошельком, отправив 50 транзакций с подписями для манипуляции nonce аккаунта (от англ. number used once — число, используемое один раз) и закрепления делегирования.

Приостановка вывода средств и отключение сервисов горячих кошельков автоматически не аннулировали разрешения в блокчейне. Поскольку в кошельке использовались многосторонние вычисления, единого приватного ключа, который можно было бы отозвать, не существовало, а специальная процедура заняла дополнительное время. Последний несанкционированный перевод на сумму 2 961,9 ETH был завершён в 23:56 UTC; 30 октября в 00:10 UTC Binance удалила код делегирования EIP-7702 из своего горячего кошелька Binance14.

«Атака состояла из нескольких этапов, а не была единичным взломом», — говорится в отчете.

В июне инженер скачал модифицированный установочный пакет Homebrew при настройке инструмента ИИ для программирования; Binance обнаружила это, заменила устройство и обновила учётные данные, однако команда по работе с кошельками оказалась под угрозой. В сентябре фальшивый рекрутер на платформе для поиска работы проводил видеоинтервью и отправил репозиторий с «тестовым заданием», содержавший не замеченное средствами защиты конечных устройств вредоносное ПО нулевого дня. 20 октября злоумышленник использовал внутренний инструмент ИИ как плацдарм, чтобы получить доступ к токену развёртывания контейнеров, а 29 октября с 17:15 до 19:56 развернул контейнер для запуска атаки.

Binance заявила, что в этом году заблокировала 57 угроз, предположительно связанных с Северной Кореей. По данным ФБР, за атакой стояла КНДР.

Пхеньян официально отрицает свою причастность к взлому.

Binance заявила, что восстановила затронутую систему кошельков и внутренний инструмент ИИ, заменила устройства, отозвала связанные учётные данные и токены, проверила все устройства сотрудников и расширила систему выявления поведенческих аномалий на основе ИИ. Компания заказывает независимую проверку, увеличивает инвестиции в безопасность ИИ и меры предотвращения атак, а также работает над созданием фонда исследований в области безопасности совместно с партнёрами из сферы ИИ и отрасли.

2 ноября биржа поэтапно возобновила вывод основных криптовалют.