Фото: Wired
Северокорейские киберпреступники на протяжении почти десяти лет атакуют криптовалютную отрасль, выбирая как крупные, так и небольшие цели. На прошлой неделе, по данным Wired, хакеры, предположительно связанные с КНДР, совершили самую масштабную кражу за всё время: с кошельков криптобиржи Binance было выведено 6,34 миллиарда долларов. Об этом компания рассказала в обновлении по безопасности, опубликованном во вторник.
В Binance раскрыли первые результаты расследования инцидента и описали, как злоумышленникам удалось похитить миллиарды всего за 20 минут. По версии компании, причиной взлома стал инженер, который попался на фальшивое собеседование и загрузил вредоносное программное обеспечение. После этого хакеры получили возможность перемещаться по внутренней сети, использовали корпоративный инструмент на базе искусственного интеллекта и добрались до сервиса подписи кошельков, что позволило проводить транзакции в обход обычной процедуры вывода средств.
«Этого не должно было случиться, и мы приносим извинения за беспокойство, сбои и неопределённость, которые это вызвало у наших пользователей, партнёров и всей отрасли», — говорится в сообщении Binance. Компания также указала, что зарезервировала средства для покрытия убытков и «перестроила или заменила» внутренние системы, затронутые атакой. В Binance подчеркнули, что речь идёт не о единичном взломе и не о простом фишинговом инциденте.
Хотя со счетов Binance было похищено более 6 миллиардов долларов, почти половину этой суммы там, где это оказалось возможным, заморозили участники криптовалютной отрасли, и хакеры не смогли получить к ней доступ. Тем не менее миллиарды остаются под контролем северокорейских злоумышленников, которые пытаются отмыть украденные деньги и перевести их в форму, позволяющую снять средства. Этот процесс, по данным Wired, может занять месяцы.
Анализ Binance показывает, что взлом стал итогом многомесячной работы хакеров, а сама атака произошла 29 октября. Вскоре после того, как средства начали выводить из горячих кошельков Binance через более чем 10 разных блокчейнов, несколько компаний по отслеживанию криптовалют связали атаку с хакерами КНДР, в частности с изощрённой группировкой TraderTraitor, которая ранее похитила более 1,5 миллиарда долларов в ходе отдельного взлома. ФБР 31 октября быстро установило связь TraderTraitor с атакой на Binance.
«Отчёт Binance совпадает с тем, что мы знаем о методах TraderTraitor, — заявил старший директор по анализу угроз в компании Sophos Рейф Пиллинг. — Злоумышленники не просто украли ключ от кошелька. Они скомпрометировали инженеров, использовали этот доступ, чтобы изучить среду и перемещаться по ней, и в итоге подчинили себе системы, с помощью которых авторизуются транзакции». При этом Binance напрямую не обвиняет хакеров TraderTraitor, но ссылается на выводы ФБР о причастности КНДР и признаёт, что северокорейские киберпреступники уже атаковали компанию ранее: в 2026 году служба безопасности Binance выявила и предотвратила 57 подозрительных случаев, связанных с киберугрозами со стороны КНДР.