Аннотация:
Последние детали расследования, раскрытые Binance, крупнейшей в мире биржей криптовалют, показывают, что кибератака, которая привела к краже криптоактивов на сумму 6,3 миллиарда долларов, была не внезапной операцией, а тщательно спланированной операцией по проникновению с помощью социальной инженерии, которая длилась несколько месяцев. На самом деле, исследователи безопасности уже много лет предупреждают отрасль о подобных атаках, но этот инцидент, установивший рекорд крупнейшей кражи в истории криптовалютной индустрии, все же произошел.
Согласно последнему описанию, опубликованному Binance 3 ноября, северокорейские хакеры выдавали себя за рекрутеров и связались с инженером-программистом, ответственным за бизнес кошельков, используя ложную личность в социальной сети. После двух раундов, казалось бы, обычных собеседований, другая сторона попросила инженера загрузить так называемое тестовое задание по программированию. Однако в этом документе был спрятан вредоносный код, который после успешного запуска проник в компьютеры компании, используемые сотрудниками, а существующие инструменты безопасности Binance не смогли обнаружить соответствующее вредоносное ПО.
После того как хакеры получили первоначальный доступ, они в дальнейшем использовали внутренние системы компании для расширения своих результатов. Они получили доступ к внутреннему набору инструментов, который позволил им удаленно управлять компьютерами других сотрудников, и при этом завладели устройствами двух других инженеров из команды кошелька.
Расследование показало, что несколько месяцев назад один из инженеров по ошибке загрузил поддельное приложение во время поиска программного обеспечения, в результате чего в устройство было имплантировано вредоносное ПО для кражи паролей. Хотя позже Binance заменила зараженный компьютер, хакеры продолжили свою деятельность, используя ранее украденные учетные данные, и в конечном итоге скомпрометировали устройство третьего инженера. Сотрудник имел доступ к критически важным системам, которые управляли криптоактивами на миллиарды долларов, что подготовило почву для возможной кражи.
В своем заявлении Binance признала, что инцидента «не должно было произойти», и сообщила, что после инцидента компания усилила меры сетевой безопасности. Пострадавшая от атаки компания Binance на прошлой неделе временно приостановила услуги по выводу средств для клиентов платформы.
ФБР и агентство по расследованию блокчейна приписывают атаку Северной Корее. В последние годы Северную Корею обвиняли в неоднократной краже криптоактивов в крупных масштабах для финансирования своей программы создания ядерного оружия, которая подлежит международным санкциям.
Этот инцидент еще раз подчеркивает тактику, которую северокорейские хакеры использовали на протяжении длительного времени. Исследователи кибербезопасности уже много лет предупреждают, что северокорейские атакующие группы часто выдают себя за венчурные компании, инвесторов, консультантов по подбору персонала и удаленных ИТ-работников, используя украденную идентификационную информацию гражданина США, чтобы создать достоверный имидж и обманом заставить цели открыть системные разрешения.
На самом деле, этот тип атаки уже давно известен в криптовалютной индустрии. За последние годы правительство США и многие крупные компании, занимающиеся кибербезопасностью, выпустили несколько предупреждений. Соответствующие данные показывают, что почти половина сетевых вторжений, произошедших в технологической отрасли США только в прошлом году, была связана с северокорейскими хакерами, выдававшими себя за удаленных ИТ-сотрудников или фальшивых рекрутеров.
Согласно данным, раскрытым Binance, компания ранее зафиксировала как минимум 57 попыток атак, предположительно со стороны Северной Кореи. В Binance заявили, что это полностью иллюстрирует сохраняющуюся угрозу, исходящую от атакующих групп национальных государств против криптовалютной индустрии.
Однако в будущем следователи могут по-прежнему сосредоточиться на двух ключевых вопросах: как хакерам удалось убедить сотрудников загрузить вредоносные программы, когда такие методы атаки широко раскрыты; и почему внутренняя сеть Binance не смогла эффективно предотвратить дальнейшее горизонтальное проникновение злоумышленников и получение более высоких привилегий.
Аналитики отмечают, что, хотя этот случай еще раз продемонстрировал, что северокорейские хакеры хорошо умеют использовать возможности вербовки и соблазны карьерного роста для проведения атак социальной инженерии, компании также несут важную ответственность. Компаниям необходимо не только повысить осведомленность сотрудников о безопасности, но также обеспечить, чтобы внутренние системы не могли запускать неавторизованное или ненадежное программное обеспечение по своему желанию, и технически снизить риск того, что единственная точка сбоя превратится в серьезный инцидент безопасности.
Что касается конкретных деталей инцидента, представитель Binance Росс О'Лири отказался далее отвечать на вопросы СМИ о механизмах защиты терминалов сотрудников, ограничениях на выполнение вредоносного кода и о том, проводился ли сторонний аудит сетевой безопасности до инцидента. Он лишь заявил, что компания пригласит внешних экспертов по безопасности для участия в расследовании и приняла новые меры защиты, чтобы избежать повторения подобных инцидентов.
В настоящее время эта кража на сумму 6,3 миллиарда долларов остается крупнейшей кражей в истории криптовалют.
Комментарии