Биржа Binance заявила во вторник на брифинге для СМИ, что хакерская атака, в результате которой были украдены 6,3 миллиарда долларов, началась с поддельного собеседования. Это была многомесячная кампания, организованная хакерами, связанными с Северной Кореей, целью которой было проникновение в систему биржи и совершение крупнейшего ограбления в истории криптовалют.

Ричард Тенг, представитель Binance, заявил журналистам, что атака была "кампанией, разработанной в течение многих месяцев", и что ФБР приписало ее ответственность Северной Корее.

Джимми Су, главный специалист по безопасности Binance, рассказал, что в сентябре с одним из инженеров-программистов связался человек, представившийся руководителем проекта, через легальную платформу для поиска работы. Поддельный сотрудник отдела кадров провел с ним видеоинтервью и создал аккаунт в социальной сети с личными фотографиями, чтобы завоевать доверие. На втором интервью, с человеком, представившимся генеральным директором, инженеру было предложено загрузить задание по программированию на свой рабочий компьютер. Этот файл содержал вредоносное ПО, которое обошло систему защиты.

В июне другой инженер установил модифицированный пакет Homebrew, ища инструмент для искусственного интеллекта. Binance обнаружила и заменила устройство, но, по словам представителей биржи, инженер и его коллеги, работавшие в отделе кошельков, оставались уязвимыми.

20 октября хакеры использовали скомпрометированный компьютер, полученный в результате поддельного собеседования, и внутренний инструмент для искусственного интеллекта, чтобы получить доступ к компьютерам двух инженеров, работающих с кошельками, сообщил Су. 29 октября они использовали украденные учетные данные для развертывания контейнера и запуска вредоносного скрипта. Переводы средств начались в 20:05 по всемирному времени (UTC).

По словам Су, хакер использовал функцию Ethereum под названием EIP-7702, чтобы получить права на управление горячим кошельком. Поскольку горячие кошельки Binance используют многосторонние вычисления, ни один отдельный ключ не мог отменить эту операцию, и локализация угрозы заняла до 00:10 по всемирному времени (UTC) 30 октября.

Тенг сообщил, что было заморожено около 2,85 миллиарда долларов, и что около 98% затронутых токенов были восстановлены за счет средств компании. Он также заявил, что пользователи не пострадали. Binance сообщила, что заблокировала 57 предполагаемых попыток атак, связанных с Северной Кореей, в этом году, и привлечет независимых экспертов для анализа произошедшего.