Как взломали Binance на $6,34 млрд: от собеседования до горячих кошельков

Как атакующие добрались до команды кошельков

Июнь: подменённый установщик Homebrew

Инженер команды кошельков искал инструмент для программирования с ИИ. При его установке он скачал подменённый установщик Homebrew — менеджера пакетов для macOS. Служба безопасности Binance заметила подозрительную активность, заменила устройство и обновила связанные учётные данные.

Но за это время атакующие узнали роль сотрудника и состав команды, которая разрабатывает и обслуживает кошельки. Следующий заход был направлен уже на конкретных людей.

Сентябрь: работа в вымышленной компании

С другим инженером связались через настоящую платформу поиска работы. В его профиле был указан опыт в Binance. Собеседник представился руководителем проекта и организовал два этапа отбора: сначала встречу с «HR», затем с «генеральным директором» вымышленной компании.

Первое собеседование прошло по видеосвязи. Чтобы вызвать доверие, псевдорекрутер показал личный аккаунт с фотографиями и видео. В конце второго этапа инженеру предложили скачать на рабочий компьютер репозиторий с тестовым заданием.

Вредоносный код запускался при настройке проекта. Он подменял компонент pyenv, инструмента управления версиями Python, и устанавливал связь с сервером атакующих. По данным Binance, защита устройства тогда не обнаружила эту программу, а следы её работы скрывались.

20 октября: переход к другим сотрудникам

Используя заражённый компьютер и внутренний ИИ-инструмент Binance, злоумышленники получили контроль над устройствами ещё двух инженеров, отвечавших за кошельки. На одном из компьютеров они нашли токен, разрешавший развёртывать контейнеры — отдельные среды для запуска программ — внутри инфраструктуры биржи.

Так доступ к компьютеру сотрудника превратился в возможность запускать свой код рядом с системами, которые обслуживали кошельки.

29 октября: доступ к службе подписи и вывод из нескольких сетей

Между 20:15 и 22:56 МСК атакующие вошли на компьютер инженера, воспользовались ранее похищенными учётными данными, развернули контейнер и запустили вредоносный скрипт. Он дал им несанкционированный доступ к внутренней службе подписи кошельков. Транзакции можно было инициировать в обход штатного процесса клиентского вывода.

В отчёте перечислены несколько направлений атаки:

• С 23:05 до 23:09 МСК пять горячих кошельков отправили 233,46 млн XRP на адрес атакующего.
• Из кошельков в Solana и Optimism вывели примерно 970 500 SOL и 44,2 млн OP.
• Отдельным переводом ушли 18 270 BTC.
• В Ethereum атакующий использовал механизм EIP-7702, чтобы назначить кошельку код подконтрольного ему смарт-контрактаПрограмма, записанная в блокчейн. Она выполняет заданные действия со средствами и данными, когда получает подходящий вызов; например, обменивает токены по правилам приложения..

Горячие кошельки подключены к рабочей инфраструктуре биржи и используются для текущих операций. Здесь злоумышленники добрались до системы, которая могла санкционировать переводы сразу в нескольких сетях.

Что EIP-7702 изменил для кошелька Binance

Почему остановка вывода не сразу остановила атаку

Биржа приостановила клиентский вывод, начала замораживать активы вместе с партнёрами и отзывать несанкционированные полномочия. Но уже установленные авторизации EIP-7702 работали независимо от её обычной инфраструктуры вывода.

В отчёте Binance объясняет задержку и устройством кошелька: он использовал MPC, при котором подпись формируется совместно несколькими участниками. Для отзыва вредоносных авторизаций команда разработала отдельную процедуру. Выключение сервиса горячих кошельков само по себе не удаляло разрешения из блокчейна.

Согласно отчёту, последний несанкционированный перевод 2 961,9 ETH подтвердился 30 октября в 02:56 МСК. Binance указывает, что транзакция была отправлена ранее и некоторое время ожидала подтверждения. В 03:10 МСК биржа выполнила новую авторизацию Binance 14 на нулевой адрес, очистив код делегирования.

Куда пошли активы и что удалось заблокировать

Похищенные токены обменивали и перемещали между адресами и сетями. Chainalysis описала тысячи быстрых транзакций и повторные переводы через уже использованные адреса. Аналитики предположили автоматизацию, которая усложняла отслеживание.

Переводы между известными адресами атакующего в Ethereum, продажи токенов и оставшиеся активы можно смотреть в Binance Hack Watch. Время в его таблицах указано по тихоокеанскому часовому поясу.

Что Binance восстановила за свой счёт

Биржа взяла финансовые последствия на себя и, по её заявлению, выделила больше средств, чем требуется для покрытия потерь. В отчёте указано, что к 31 октября были восполнены 98% затронутых токеновых активов. Оставшиеся, менее ликвидные активы компания продолжала покупать. Восполнение резервов производится средствами Binance; возврат похищенного идёт отдельным процессом.

Вывод начали восстанавливать поэтапно 1 ноября с 09:00 МСК. 3 ноября Binance сообщила об открытии дополнительных пар «сеть — актив» в Ethereum и Solana и продолжении поэтапного запуска. Депозиты работают. Доступность вывода зависит от конкретного токена и сети.

Кто расследует взлом и что изменила биржа

В предварительном отчёте Binance со ссылкой на FBI возложила ответственность на КНДР. Отдельно Секретная служба США подтвердила расследование кражи совместно с FBI, IRS и Министерством юстиции.

Binance сообщила о переносе затронутой системы кошельков в новую среду, перестройке внутреннего ИИ-инструмента и его прав доступа, замене устройств и отзыве учётных данных и токенов сотрудников, через которых прошла атака. Для проверки выводов компания привлекает независимых специалистов по кибербезопасности.

Центральная часть этой истории — путь от компьютеров разработчиков к полномочиям службы подписи. Подменённая утилита помогла изучить команду, тестовое задание дало доступ к рабочему устройству, а найденные разрешения позволили приблизиться к кошелькам. EIP-7702 закрепил доступ в Ethereum уже на уровне блокчейна — там его и пришлось отзывать отдельно.

Другие механизмы атак и случаи потери средств собраны в разделе безопасности Yieldo.