Биржа Binance сообщила во вторник на брифинге для СМИ, что хакерская атака, в результате которой были похищены 6,3 миллиарда долларов, началась с поддельного собеседования. Это была многомесячная кампания, организованная хакерами, связанными с Северной Кореей, целью которой было проникновение в систему биржи и совершение крупнейшего ограбления в истории криптовалют.

Ричард Тенг, представитель Binance, заявил журналистам, что атака была "кампанией, подготовленной в течение многих месяцев", и что ФБР приписало ее ответственность Северной Корее.

Джимми Су, главный специалист по безопасности Binance, рассказал, что в сентябре с одним из инженеров-программистов связался человек, представившийся руководителем проекта, через легитимную платформу для поиска работы. Поддельный сотрудник отдела кадров провел с ним видеоинтервью и создал аккаунт в социальной сети с личными фотографиями, чтобы завоевать доверие. На втором интервью, с человеком, представившимся генеральным директором, инженеру было предложено скачать задание по программированию на свой рабочий компьютер. В этом задании содержался вредоносный код, который обошел систему защиты.

В июне другой инженер установил модифицированный пакет Homebrew во время поиска инструмента для искусственного интеллекта. Binance обнаружила и заменила устройство, но, по словам представителей компании, инженер и его коллеги из отдела, занимающегося кошельками, оставались уязвимыми.

Хронология хакерской атаки на Binance (брифинг для СМИ Binance)

20 октября хакеры использовали компьютер, скомпрометированный в результате поддельного собеседования, и внутренний инструмент искусственного интеллекта, чтобы получить доступ к компьютерам двух инженеров, работающих с кошельками, сообщил Су. 29 октября они использовали украденные учетные данные для запуска контейнера и выполнения вредоносного скрипта. Переводы средств начались в 20:05 по всемирному времени.

По словам Су, хакер использовал функцию Ethereum под названием EIP-7702, чтобы получить права на управление горячим кошельком. Поскольку горячие кошельки Binance используют многосторонние вычисления, ни один отдельный ключ не мог отменить эту операцию, и процесс локализации продолжался до 00:10 по всемирному времени 30 октября.

Тенг заявил, что заморожено около 2,85 миллиарда долларов, и что около 98% затронутых токенов были восстановлены за счет средств компании. Он также заявил, что пользователи не пострадали. Binance сообщила, что заблокировала 57 предполагаемых попыток атак, связанных с Северной Кореей, в этом году, и привлечет независимых экспертов для анализа произошедшего.