Viltus darba intervija, ļaunprātīgs kodēšanas uzdevums un uzlauzts iekšējais AI rīks palīdzēja hakeriem no Binance nozagt 6,34 miljardus dolāru, kas varētu būt vēsturē lielākā finanšu zādzība. Pasaulē lielākā kriptovalūtu birža otrdien atklāja, ka uzbrucēji pavadīja mēnešus, iefiltrējoties tās sistēmās, pirms 29. oktobrī no tās makiem tika iztērēti miljardiem dolāru.
Uzbrukums bija daudz vairāk aprēķināts nekā tipiska pikšķerēšanas krāpniecība. Hakeri uzdevās kā vervētāji, mānīja inženierus, lai tie instalētu ļaunprātīgu programmatūru un piekļuva infrastruktūrai, kas ir atbildīga par kriptovalūtas darījumu autorizāciju.
Binance līdzdirektors Ričards Tens pastāstīja CNBC raidījumam “Squawk on the Street”, ka uzbrucēji “pavadīja mēnešus, veidojot savu ceļu”, atstājot pretim apgalvojumiem, ka pārkāpumu izraisījis viens kompromitēts klēpjdators.
“Jūnijā (uzbrucēji) izveidoja viltotu izstrādātāja rīka versiju un pievilināja vienu no mūsu inženieriem to instalēt,” piebilda Tens. “Septembrī viņi uzstājās kā vervētāji un vadīja vairākas darba intervijas ar citu inženieri, un tas beidzās ar kodēšanas vingrinājumu, kurā bija ietverta slēpta ļaunprogrammatūra, lai izvairītos no drošības… no turienes viņi vardarbīgi pārvietojās caur mūsu iekšējiem AI rīkiem un ieguva piekļuvi sistēmai, kas atļāva mūsu maka darījumu.”
Birža atklāja sīkāku informāciju 3. novembra drošības ziņojumā, piedāvājot savu pirmo visaptverošo pārskatu par to, kā uzbrucēji no darbinieku datoriem pārcēlās uz sistēmām, kas kontrolē miljardu dolāru klientu aktīvus.
FIB zādzību saista ar Ziemeļkorejas hakeriem, kas saistīti ar Trader Traitor grupu. Tengs atzina FIB atklājumus, taču apstājās, lai neatkarīgi nodēvētu uzbrukumu Ziemeļkorejai.
Kā viltus darba intervija atvēra durvis uz Binansa maciņiem
Saskaņā ar Binance izmeklēšanu operācija sākās jūnijā, kad maka infrastruktūras inženieris tiešsaistē meklēja AI kodēšanas rīku un lejupielādēja bojātu Homebrew instalāciju.
Binance drošības komanda atklāja aizdomīgas darbības, nomainīja inženiera datoru un pagrieza ietekmētos akreditācijas datus. Iejaukšanās notika pārāk vēlu, lai neļautu uzbrucējiem uzzināt par darbinieka pienākumiem un identificēt kolēģus, kas strādā pie biržas maka infrastruktūras.
Hakeri atgriezās septembrī ar citu pieeju.
Šoreiz viņi uzrunāja citu Binance inženieri, izmantojot likumīgu personāla atlases platformu, uzdodoties par uzņēmumu, kas piedāvā darba iespēju.
Inženieris piedalījās, šķiet, parastās intervijās ar vervētāju un uzņēmuma vadītāju. Pēc tam iespējamais darba devējs uzdeva kodēšanas uzdevumu un lūdza inženieri lejupielādēt programmatūru darba datorā.
Uzdevumā bija ļaunprātīga programmatūra, kas spēj izvairīties no Binance galapunkta drošības rīkiem.
Līdz 20. oktobrim uzbrucēji bija izmantojuši uzlauzto datoru un iekšējo AI rīku, lai sasniegtu divas papildu maka inženieru ierīces. Vienā no šīm ierīcēm bija izvietošanas akreditācijas dati, kas galu galā sniedza hakeriem piekļuvi Binance maka parakstīšanas infrastruktūrai.
Deviņas dienas vēlāk uzbrucēji sita.
29. oktobrī nozagtie akreditācijas dati ļāva maka vidē izvietot ļaunprātīgu kodu. Dažu minūšu laikā kriptovalūta sāka izplūst no Binance kontrolētajiem makiem.
Sākotnēji uzbrucēji aptuveni četru minūšu laikā pārskaitīja 233,46 miljonus XRP no pieciem karstajiem makiem, kam sekoja ievērojama izņemšana, iesaistot Bitcoin, Solana, Ethereum un citas kriptovalūtas.
Hakeri izmantoja Ethereum EIP-7702 autorizācijas mehānismu, lai izveidotu atļaujas, kas ļāva veikt turpmāku nesankcionētu pārsūtīšanu. Šīs atļaujas sarežģīja Binance reakciju, ļaujot dažiem darījumiem turpināties pēc tam, kad birža apturēja izņemšanu.
Rezultātā zaudējumi sasniedza aptuveni 6,34 miljardus ASV dolāru.
Binance saka, ka 98% ietekmēto aktīvu ir papildināti
Binance saka, ka uz 31. oktobri ir papildinājusi 98% no ietekmētajiem marķiera aktīviem, izmantojot uzņēmuma līdzekļus, lai segtu zaudējumus. Birža joprojām iepērk mazāk likvīdas kriptovalūtas, kas nepieciešamas atlikušo aktīvu aizstāšanai.
Uzņēmums ir apsolījis, ka klienti nenesīs uzbrukuma finansiālo ietekmi.
Binance ziņoja, ka, saskaņojot ar tiesībaizsardzības iestādēm, blokķēdes izmeklētājiem un nozares partneriem, ir iesaldēti vai aizturēti nozagti aktīvi aptuveni 2,85 miljardu dolāru vērtībā. Šis skaitlis joprojām ir atkarīgs no saskaņošanas un kriptovalūtu cenu izmaiņām.
Kopš tā laika birža ir pārbūvējusi savu ietekmēto maka infrastruktūru un iekšējo AI rīku, nomainījusi apdraudētās darbinieku ierīces, atsaukusi atklātos akreditācijas datus un paplašinājusi drošības skenēšanu visiem darbiniekiem.
Tengs sacīja, ka Binance plāno piesaistīt neatkarīgus kiberdrošības ekspertus, lai pārskatītu incidentu un ieteiktu turpmākus uzlabojumus.
Pārkāpums rada neērtus jautājumus nozarei, kas tērē lielus līdzekļus kriptogrāfijas drošībai, bet joprojām ir atkarīga no darbiniekiem, programmatūras izstrādes vidēm un iekšējās piekļuves kontroles.
Uzbrucējiem nebija nepieciešams pārtraukt Bitcoin šifrēšanu vai uzvarēt blokķēdes tehnoloģiju. Viņi atrada ceļu caur parastajām darbībām darba vietā, tostarp programmatūras instalēšanu un personāla atlases intervijas, pirms sasniedza sistēmas, kurām uzticas darījumu autorizācija.
Kompromitētais AI rīks rada vēl vienas bažas finanšu iestādēm, kuras izmanto AI inženierzinātnēs un iekšējās darbībās. Rīki, kas savienoti ar jutīgām uzņēmuma sistēmām, var kļūt par papildu ceļiem uzbrucējiem, ja piekļuves kontroles neizdodas.
Binance nozagto līdzekļu aizstāšana novērš tūlītēju finansiālo kaitējumu. Uzticības atjaunošana tās infrastruktūras drošībai var izrādīties ilgāks izaicinājums.
Lielāka mācība sniedzas tālāk par kriptovalūtu: uzņēmums var ieguldīt miljardus savu aktīvu aizsardzībā un joprojām saskarties ar katastrofāliem zaudējumiem, kad uzbrucēji iegūst kontroli pār sistēmām, kurām ir tiesības tos pārvietot.
