Binance раскрывает, как фальшивые собеседования и злоупотребление инструментами искусственного интеллекта привели к краже 6,43 миллиарда долларов.

[admin]

Во вторник компания Binance заявила, что кража активов на рекордную сумму в 6,43 миллиарда долларов с крупнейшей в мире криптовалютной биржи стала кульминацией «сложной многоэтапной кампании», включавшей использование модифицированной версии Homebrew и атаки с применением методов социальной инженерии, направленных на привлечение к работе двух инженеров компании.

«Это не было единичным случаем взлома или простой фишинговой атакой», — заявила компания . «Злоумышленники использовали целый ряд методов, включая социальную инженерию с помощью фальшивых собеседований при приеме на работу, загрузку вредоносного программного обеспечения, компрометацию внутренних инструментов искусственного интеллекта, взлом конечных устройств и сложный метод авторизации транзакций».

Начало атаки было установлено в результате атаки на цепочку поставок, направленной против одного из инженеров команды Wallet DevOps (инженер А), который, скачал троянизированный установщик Homebrew для установки популярного инструмента искусственного интеллекта (ИИ). Инцидент произошел в июне 2026 года. найдя его в поисковой системе,

Хотя Binance заявила, что обнаружила атаку и в качестве меры предосторожности сменила все связанные с ней учетные данные, компания сообщила, что информация о «роли инженера А и его коллег из нашей команды по инфраструктуре кошелька была раскрыта хакеру».

Вторая часть атаки произошла в сентябре 2026 года, когда злоумышленник связался с другим инженером (названным «Инженер Б») через легитимную платформу по поиску работы, замаскировавшись под директора проекта.

Созданный под видом руководителя проекта человек организовал первый раунд собеседования с представителем отдела кадров, за которым последовал второй раунд собеседования с человеком, утверждавшим, что он является генеральным директором несуществующей компании. Binance не раскрыла подробности о фиктивной компании.

В ходе первого раунда видеоинтервью представитель отдела кадров продемонстрировал аккаунт в социальных сетях, включая личные фотографии и видео, размещенные на платформе, пытаясь таким образом завоевать доверие. Второй раунд, напротив, проходил в популярном приложении для общения.

«Ближе к концу собеседования инженеру Б было поручено загрузить на свой рабочий компьютер „задание“, содержащее репозиторий вредоносного кода», — сообщила компания Binance. «Репозиторий содержал вредоносный код, который выполнялся в процессе установки, запуская серию несанкционированных действий».

Необнаруженное вредоносное ПО использовало сложные методы обфускации и обхода защиты, включая замену легитимного компонента инструмента разработки на зараженную версию для выполнения команд и установления связи с внешним сервером, контролируемым злоумышленником. Кроме того, злоумышленник предпринял шаги по сокрытию следов, удалив артефакты, связанные с взломом.

Вторжение перешло на следующий этап 20 октября 2026 года, когда злоумышленник, используя взломанный компьютер инженера B, применил внутренний инструмент искусственного интеллекта для получения контроля над инженером A и другим инженером-программистом Wallet Software, C.

«Вскоре злоумышленник обнаружил, что у инженера DevOps A, работающего с Wallet, на компьютере есть токен разрешения на развертывание контейнеров», — пояснили в Binance. «29 октября в период с 17:15 до 19:56 злоумышленник вошел в систему на компьютере инженера-программиста C, использовал учетные данные, украденные у инженера DevOps A, развернул контейнер и запустил вредоносный скрипт для осуществления атаки».

В конечном итоге атака заключалась в использовании несанкционированного доступа к внутренней службе подписи кошельков для инициирования транзакций вне обычного процесса вывода средств.

В ответ на инцидент Binance восстановила затронутую систему кошельков в новой среде, а также переработала внутренний инструмент искусственного интеллекта и средства контроля доступа. Другие шаги, предпринятые по состоянию на 3 ноября, перечислены ниже.

• Заменены неисправные устройства.
• Удалены учетные данные и токены, относящиеся к затронутым инженерам.
• Проведено расширенное сканирование безопасности всех устройств сотрудников.
• Усовершенствованная система обнаружения поведенческих аномалий на основе искусственного интеллекта.
• Усилены меры контроля рисков, связанных с использованием электронных кошельков.
• Сотрудничал с правоохранительными органами, компаниями, занимающимися анализом блокчейн-технологий, и отраслевыми партнерами для отслеживания и замораживания затронутых активов.

«Установленные точки входа, использованные в атаке, закрыты. Системы, затронутые атакой, были восстановлены или заменены», — заявили в Binance. «Мы также внедрили более строгий контроль за устройствами, улучшили контроль рисков, связанных с услугами кошельков, и расширили возможности обнаружения поведенческих аномалий на основе ИИ».

«Мы увеличиваем инвестиции в обнаружение угроз с использованием ИИ, защиту конечных точек, безопасность среды разработчиков и мониторинг поведенческих аномалий».


По оценкам, с начала года Binance предотвратила 57 случаев киберугроз, предположительно связанных с Северной Кореей, что подчеркивает непрекращающийся характер атак на криптовалютную индустрию.


«Эти методы включают в себя мошеннические собеседования, вредоносное программное обеспечение, замаскированное под популярные инструменты для разработчиков, скомпрометированные программные пакеты и расширения для браузеров, поддельные приложения для видеоконференций, а также кампании социальной инженерии, направленные на кражу учетных данных или развертывание вредоносного ПО для удаленного доступа», — заявили в Binance.

Источник