Binance заявляет, что заблокировала 57 подозрительных киберугроз, связанных с Северной Кореей, в 2026 году, и заменила 98% токенов, украденных в результате взлома на $6,34 млрд.
Краткое содержание
- Binance обнаружила мошеннические схемы найма, вредоносные инструменты разработчика и поддельные приложения для видеоконференций среди подозрительных угроз.
- И Хэ признала серьезные последствия атаки, которая обошла системы защиты биржи.
- Биржа заявляет, что все еще закупает менее ликвидные токены для завершения пополнения активов.
- Американские следователи приписали кражу 29 октября северокорейской деятельности TraderTraitor.
Соучредитель и со-генеральный директор Binance И Хэ описала попытки вторжений в публикации в X от 3 ноября, поделившись выводами биржи о нарушении безопасности 29 октября.
В ее сообщении описывались неоднократные попытки выйти на сотрудников через трудоустройство, загрузку программного обеспечения и социальную инженерию. Методы включали мошеннические собеседования при приеме на работу, скомпрометированные программные пакеты и расширения для браузера, а также вредоносные программы, представленные как популярные инструменты разработчика.
Поддельные приложения для видеоконференций стали еще одним путем, наряду с кампаниями, направленными на кражу учетных данных или установку вредоносного ПО, дающего злоумышленникам удаленный доступ к компьютеру.
«Мы перехватили многие из них, но цена неспособности остановить хотя бы одну была серьезной — и этого никогда не должно было случиться», — написала И Хэ.
Binance описывает, как фальшивое собеседование позволило выйти на сотрудника
Согласно первоначальным выводам Binance, к инженеру-программисту в сентябре обратились через легитимную платформу по поиску работы, притворившись директором проекта.
Предполагаемый представитель отдела кадров провел видеособеседование и поделился профилем в социальных сетях, содержащим личные фотографии и видео. Второй интервьюер, представленный как генеральный директор фиктивной компании, поручил инженеру загрузить задание на рабочий компьютер.
Binance заявила, что задание содержало вредоносный код, который запускался во время установки и избежал обнаружения используемыми инструментами защиты конечных точек.
20 октября злоумышленник использовал скомпрометированный компьютер и внутренний ИИ-инструмент, чтобы выйти на двух инженеров по кошелькам. Учетные данные, полученные в ходе этого вторжения, впоследствии позволили получить доступ к операциям подписи кошельков.
В сообщении биржи описываются несколько этапов вторжения, хотя в публикации И Хэ не уточняется, сколько из 57 подозрительных случаев включали приманки, связанные с трудоустройством.
Более ранние выводы об авторизации кошелька связали часть кражи с Binance 14, горячим кошельком Ethereum. Blockaid выявила 50 отправленных авторизаций EIP-7702, одна из которых успешно делегировала права на исполнение вредоносному контракту.
Binance сообщает о 98% пополнении, пока закупки токенов продолжаются
В своем отчете от 3 ноября Binance заявила, что 98% затронутых токен-активов были пополнены, и что она покупает оставшиеся, менее ликвидные активы. Компания заявила, что выделила больше средств, чем требуется для покрытия убытка.
Как ранее сообщал crypto.news, Binance возобновила вывод биткоинов 1 ноября, когда Ричард Тенг оценил пополнение примерно в 95%.
Биржа определила BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD и ZEC как полностью обеспеченные. В ее уведомлении о восстановлении говорилось, что оставшиеся токены вне этой группы требовали больше времени для закупки в необходимых объемах.
Замещающие закупки осуществлялись за счет Фонда безопасных активов для пользователей, избыточных резервов Фонда страхования фьючерсов и корпоративной казны Binance, согласно ее более ранним раскрытиям о восстановлении.
Доступ к выводу средств продолжал возвращаться по отдельным активам и сетям. 3 ноября Binance восстановила дополнительные выводы для 31 дополнительного актива в Ethereum и 20 в Solana после возобновления вывода пяти стейблкоинов Ethereum.
Американские следователи выявили активность TraderTraitor
В кибероповещении ФБР от 31 октября cyber alert кража была приписана Северной Корее, а активность идентифицирована как TraderTraitor.
Работая совместно с Секретной службой США и Уголовным расследованием IRS, бюро установило, что злоумышленники конвертировали украденные активы преимущественно в Ether. Ожидалось дальнейшее отмывание через децентрализованные финансы и сервисы мгновенного обмена.
Агентства призвали биржи, фирмы блокчейн-аналитики, DeFi-сервисы и операторов инфраструктуры блокировать транзакции, связанные с указанными адресами или производными от них активами.
Северная Корея 3 ноября отвергла причастность. Согласно Associated Press, Ким Ё Чжон отклонила обвинение ФБР в заявлении, распространённом государственными СМИ.
Украденные средства поступают в транзакции CoinJoin
Отдельная работа по отслеживанию задокументировала перемещение украденных активов, пока Binance закупает замену.
Elliptic выявила, что примерно 28 BTC стоимостью 2,2 млн долларов поступили в 18 транзакций CoinJoin в период с 1 ноября по начало 2 ноября. Биткоин происходил из конвертированных украденных активов, тогда как 18 270 BTC, взятые напрямую у Binance, на момент этой оценки оставались на 19 адресах.
Расследование фирмы охватило примерно 12 000 кошельков, 11 блокчейнов и более 40 000 транзакций. Адреса, связанные с кражей, по-прежнему удерживали оценочно 3,24 млрд долларов, в основном в Ethereum и Bitcoin.
