Хакерите, откраднали криптоактиви за над 6,3 млрд. долара от Binance, са използвали фалшиви интервюта за работа, зловреден софтуер и вътрешен инструмент с изкуствен интелект, за да проникнат в системите на най-голямата криптоборса в света.

Атаката, извършена на 29 октомври, е била подготвяна в продължение на месеци. Първоначалният пробив е станал още през юни, когато служител на компанията неволно е изтеглил зловреден софтуер, съобщава The Guardian, позовавайки се на резултатите от вътрешното разследване на Binance.

Според информацията, публикувана от криптоборсата на 3 ноември, нападателите постепенно са получили достъп до системите за управление на криптопортфейлите, което впоследствие им е позволило да източат дигитални активи за милиарди долари.

Американското Федерално бюро за разследване (ФБР) обвинява Северна Корея за атаката, но Пхенян отхвърля твърденията.

Фалшиво интервю за работа отваря пътя към системите на Binance

Разследването показва, че проникването е започнало през юни, когато инженер от екипа, отговарящ за инфраструктурата на криптопортфейлите, е изтеглил зловреден софтуер. Това е позволило на хакерите да съберат информация за неговите служебни задължения и ролята на останалите членове на екипа.

През септември нападателите са се свързали с друг инженер чрез реална платформа за търсене на работа, представяйки се за представители на несъществуваща компания.

Те са организирали две интервюта. Първото е било видеоразговор с човек, представящ се за специалист по подбор на персонал, а второто е проведено чрез приложение за комуникация с предполагаемия главен изпълнителен директор на компанията.

Именно по време на втория разговор служителят е бил подведен да изтегли зловреден софтуер на компютъра си.

Така хакерите са получили допълнителен достъп до вътрешната инфраструктура на Binance чрез компрометирани служебни устройства.

Северна Корея отрича връзка с хакерската атака срещу Binance, докато анализатори проследяват откраднатите милиарди

На 20 октомври нападателите са използвали вече заразения компютър и вътрешен AI инструмент на Binance, за да получат контрол върху системите на още двама служители, работещи по инфраструктурата на криптопортфейлите.

Девет дни по-късно те са използвали компютъра на единия инженер и откраднати данни за достъп от другия, за да задействат зловреден скрипт и да започнат източването на средства.

Атаката е била насочена към т.нар. „горещи портфейли“ (hot wallets), които са свързани с интернет и се използват за извършване на криптовалутни трансакции.

По данни на Binance общата стойност на засегнатите дигитални активи достига приблизително 6,34 млрд. долара. От тях около 2,85 млрд. долара са били замразени или трансферите им са били блокирани.

Компанията заявява, че ще поеме финансовите загуби, без да ги прехвърля върху клиентите си. Към 31 октомври тя е попълнила резервите си с 98% от засегнатите криптоактиви, като продължава да осигурява останалите.

В официалното си изявление Binance признава, че подобен инцидент не е трябвало да се случва, и се извинява за притесненията и несигурността, които е причинил на потребителите, партньорите и останалите участници на пазара.

Binance отчете 3,64 млрд. долара нетен отлив след възстановяването на тегленията

ФБР обвинява Северна Корея, Пхенян отрича

Американските власти свързват атаката със Северна Корея, която от години е обвинявана в организиране на кибератаки срещу криптовалутни компании.

Според The Guardian използването на фалшиви интервюта за работа е позната тактика на севернокорейските хакерски групи.

Обикновено обаче схемата действа по обратния начин. Хора, представящи се за IT специалисти, кандидатстват за работа в западни компании, за да получават възнаграждения, които впоследствие се пренасочват към Северна Корея.

При атаката срещу Binance предполагаемите извършители са използвали фиктивна компания, за да подведат служител и да получат достъп до компютъра му.

На 31 октомври ФБР обяви, че зад кражбата стои Северна Корея.

Ким Йо-чен, сестра на севернокорейския лидер Ким Чен-ун и влиятелна фигура в управляващата партия, отхвърли обвиненията.

В изявление, разпространено от държавната информационна агенция KCNA, тя определи американските твърдения като политическа провокация и обвини Вашингтон, че се опитва да представи Северна Корея като държава, отговорна за киберпрестъпления по света.

След удара за $6,3 млрд. по Binance: В София идва изследовател на севернокорейски хакерски операции

Какво предприема Binance след атаката?

Компанията съобщава, че вече е възстановила засегнатите системи за управление на криптопортфейлите в нова среда, подменила е компрометираните устройства и е ограничила използването на откраднатите данни за достъп.

Преработен е и вътрешният AI инструмент, използван при атаката, като са въведени допълнителни мерки за контрол на достъпа.

Binance също така е засилила проверките за сигурност на служебните устройства и системите за откриване на подозрителна активност.

Предстои независим одит на киберсигурността, а компанията планира допълнителни инвестиции в технологии с изкуствен интелект за откриване на заплахи и предотвратяване на подобни инциденти.

Разследването продължава, като Binance уточнява, че част от техническите подробности няма да бъдат публично оповестени, за да не бъдат използвани при бъдещи атаки.