Ключові моменти
- Binance заявляє, що зловмисники використали заражене завантаження програмного забезпечення та інсценований процес найму, який тривав п’ять місяців, щоб отримати внутрішній доступ.
- Під час атаки 29 жовтня п’ять гарячих гаманців переказали 233,46 млн XRP; завдяки делегованому підписанню перекази тривали навіть після призупинення виведення коштів.
- Binance заявляє, що заморозила або перехопила близько $2,85 млрд і відновила 98% постраждалих токенів.
П’ятимісячне проникнення призвело до виведення коштів із гаманців Binance
За словами Binance, крадіжка, збитки від якої біржа оцінює в $6,34 млрд, почалася за кілька місяців до переміщення активів. У своєму першому публічному звіті про атаку 29 жовтня біржа описала кампанію, у якій поєднувалися заражене завантаження програмного забезпечення, інсценований процес найму, шкідливе ПЗ та зловживання внутрішнім інструментом штучного інтелекту. Цей звіт переносить увагу з одного моменту компрометації гаманців на послідовність дій, унаслідок яких під загрозою опинилися люди, пристрої та облікові дані команди з розробки гаманців.
За даними Binance, найперший описаний етап проникнення датується червнем: тоді інженер DevOps, який відповідав за гаманці, шукав популярний інструмент для програмування зі штучним інтелектом і завантажив підмінений інсталятор Homebrew. Binance виявила аномалію, замінила пристрій і змінила облікові дані. Однак цей інцидент також розкрив обов’язки інженера та імена колег, які працювали над інфраструктурою гаманців. Компанія відреагувала на проблему з ураженим пристроєм і доступом, а з пізнішого звіту випливає, що ця інформація могла стати підґрунтям для подальших цілеспрямованих атак.
У вересні до другого інженера звернулися через легітимну платформу для пошуку роботи: співрозмовник видавав себе за директора проєкту. За словами Binance, після цього відбулися відеоспівбесіди з людьми, які називалися представниками відділу кадрів і керівництва компанії; щоб викликати довіру, вони поділилися особистим акаунтом у соцмережі. Потім гаданий генеральний директор доручив інженерові встановити репозиторій коду на робочу машину. Такий інсценований процес створив правдоподібний привід для проникнення шкідливого ПЗ на робочий пристрій.
Процес найму став шляхом для проникнення
За словами Binance, репозиторій підмінив легітимний компонент pyenv шкідливою версією та відкрив з’єднання із сервером, контрольованим зловмисниками. Шкідливе ПЗ описали як zero-day, і на той час засоби захисту кінцевих пристроїв його не виявляли. Це вказує на практичну слабкість покладання лише на звичайні сповіщення систем безпеки пристроїв: завдання з програмування, яке нібито стосувалося роботи, могло доставити код, який наявні засоби захисту не розпізнавали як шкідливий. Binance не розкрила всіх технічних подробиць проникнення.
20 жовтня зловмисники скористалися скомпрометованою машиною та внутрішнім інструментом ШІ, щоб дістатися до ще двох інженерів, які працювали з гаманцями; один із них мав токен для розгортання контейнерів. За словами Binance, 29 жовтня зловмисники увійшли до комп’ютера третього інженера, розгорнули контейнер, використавши викрадені облікові дані, і почали виводити активи. Ця послідовність показує, як доступ, здобутий через одного працівника, можна розширити за допомогою внутрішніх інструментів і привілеїв, хоча в описі компанії не уточнено кожну взаємодію між цільовими системами.
Binance заявляє, що цього року заблокувала ще 57 підозрілих спроб, пов’язаних із Північною Кореєю, у яких використовували схожі приманки, однак біржа не стала самостійно приписувати їй цю крадіжку. ФБР поклало відповідальність за атаку на Північну Корею; Пхеньян відкинув це звинувачення, а Кім Йо Чжон назвала його політичною провокацією в державних ЗМІ. Через ці суперечливі заяви в публічному просторі відповідальність залишається предметом спору. У звіті Binance описано метод і хронологію подій, але питання про причетність до атаки не вирішено.
Делегований підпис затягнув реагування
Перекази почалися невдовзі — 29 жовтня. З 20:05 до 20:09 UTC п’ять гарячих гаманців переказали 233,46 млн XRP на адресу зловмисника, після чого гаманці в мережах Solana та Optimism надіслали близько 970 500 SOL і 44,2 млн OP. Потім гарячий гаманець Binance переказав 18 270 BTC. Масштаб і швидкість цих переміщень показують, чому для реагування було недостатньо лише виявити скомпрометовані облікові дані: біржі також довелося зупинити канали, здатні санкціонувати перекази в блокчейні.
Binance заявила, що зловмисники скористалися скомпрометованим сервісом підписання, щоб задіяти EIP-7702 в Ethereum, який дозволяє обліковому запису делегувати права на виконання смартконтракту, не розкриваючи ключ. Контракт під контролем зловмисників отримав частковий контроль над гарячим гаманцем Binance. Призупинення виведення коштів не перекрило цей шлях, оскільки зловмисники подали 50 транзакцій на підпис, які встановили делегування в блокчейні поза інфраструктурою виведення коштів. Цей інцидент виявив розрив між звичними засобами контролю за виведенням коштів і делегованим виконанням.
У гаманці використовували багатосторонні обчислення, тож, за словами Binance, не існувало єдиного ключа, який можна було б просто відкликати, щоб скасувати делегування. Команді довелося розробляти процедуру вже під час інциденту. Останній несанкціонований переказ на суму 2 961,9 ETH було завершено о 23:56 UTC; Binance скасувала делегування о 00:10 UTC 30 жовтня. Компанія визнала, що складність завдання затягнула локалізацію інциденту, і заявила, що переглядає охоплення політик підписання та засоби контролю гарячих гаманців. У звіті нову процедуру не описано.
Відшкодування, зміни безпеки та відкриті питання
Binance повідомила, що заморозила або перехопила активи на суму близько 2,85 млрд доларів і відновила 98% постраждалих токенів за власний кошт, а решту придбала на відкритому ринку. Ці цифри описують заходи біржі з повернення активів і відновлення коштів клієнтів, а не повний публічний облік остаточного призначення кожного активу. Компанія також повідомила, що виведення коштів відновлювали поетапно: у вівторок, після попередніх обмежень, знову відкрили можливість роботи з десятками інших активів у дев’яти мережах.
Потоки клієнтів дали ще один показник безпосередніх наслідків. Binance повідомила, що протягом 46 годин після відновлення виведення коштів у неділю користувачі вивели $10,97 млрд, тоді як чистий відтік становив $5,28 млрд. До 03:00 UTC погодинні депозити перевищили обсяги виведення, що співгенеральний директор Річард Тенг назвав стабілізацією. Ці цифри свідчать, що значні обсяги коштів продовжували виводити навіть після того, як погодинний баланс став позитивним; вони не дають змоги визначити, як користувачі поводитимуться впродовж тривалішого періоду та чи повністю відновилася довіра.
Binance повідомляє, що відновила систему гаманців і внутрішній інструмент ШІ в нових середовищах, замінила уражені пристрої, відкликала облікові дані інженерів і розширила виявлення аномалій поведінки. Компанія замовляє незалежну перевірку, збільшує витрати на безпеку кінцевих пристроїв і середовищ розробки, а також планує створити фонд досліджень безпеки ШІ за участю зовнішніх компаній. У Вашингтоні голова CFTC Майкл Селіг використав цей злам як аргумент на користь створення федерального механізму реєстрації для офшорних бірж. Результати перевірки та докладніші технічні розкриття інформації від Binance ще очікуються; частина деталей залишиться конфіденційною.
Джерело: BitcoinMagazine
