$6,3 млрд за липовое собеседование: как APT из КНДР вынес ликвидность Binance через уязвимость человеческого фактора

Северокорейский APT-актор вывел с горячих кошельков Binance $6,34 млрд, использовав банальную социальную инженерию на этапе найма. ФБР уже повесило ярлык на Пхеньян, хотя КНДР традиционно открещивается.

Открещивается — но операция готовилась месяцами и началась еще в июне, когда первый инженер скачал модифицированный установщик Homebrew, что дало хакерам первичный слепок инфраструктуры, несмотря на замену устройства и ротацию учеток. В сентябре второй разработчик, активно ищущий сторону, прошел два этапа фейкового интервью с «HR» и «CEO» несуществующей компании, после чего по рекомендации скачал тестовый репозиторий. Внутри — вредонос, подменивший компонент pyenv и тихо установивший бэкдор, который штатный антивирус биржи даже не заметил. К 20 октября злоумышленники, используя скомпрометированный ноутбук и внутренний AI-инструмент, пробили периметр еще двух инженеров. Они нашли токен с правами на деплой контейнеров в инфраструктуре крипто-кошельков. 29 октября, применив украденные ранее креды, хакеры развернули контейнер и запустили скрипт, инициировавший вывод 233,46 млн XRP из пяти горячих кошельков.

Кошельков.

Кошельков, которые биржа попыталась остановить стандартным suspend — но хакеры предвидели этот сценарий и переключились на EIP-7702. Делегирование прав позволило им обходить системные стопы, вынудив инженеров тратить критическое время на ручное отключение MPC-схем, пока с биржи утекало 2961,9 ETH.

ETH — последняя несанкционированная транзакция по которому прошла 29 октября, а через 20 минут биржа просто отозвала вредоносные разрешения.

Никита Карпов

Главный редактор

Пишу о гаджетах, нейросетях и том, как технологии меняют нашу жизнь. Проверяю всё на себе, чтобы вы не тратили деньги зря.