Binance: хакеры украли $6,3 млрд через фальшивое собеседование
Крупнейшая в мире криптобиржа Binance, как сообщает NBC News, опубликовала первичный отчёт о взломе. По её данным, хакеры использовали фальшивое собеседование, чтобы скомпрометировать компьютер, и внутренний инструмент на основе искусственного интеллекта, чтобы получить контроль над кошельками компании. После этого из них вывели криптовалюту на $6,3 млрд. NBC News пишет, что это может быть крупнейшее ограбление в финансовой истории.
Хронология по версии Binance. В июне сотрудник команды разработчиков кошельков скачал подменённый ИИ-инструмент; атака началась с рекламного объявления о взломанной версии инструмента для программирования. Binance заметила это, заменила устройство и сменила учётные данные, однако роль этого сотрудника и других членов команды кошельков стала известна злоумышленнику.
В сентябре второй программист, искавший новую работу, скачал на свой компьютер «вредоносный репозиторий кода» после собеседования на, как он полагал, настоящую вакансию. В ходе собеседования он, в частности, виртуально встречался с гендиректором вымышленной компании.
20 октября атакующий с помощью скомпрометированного компьютера и внутреннего ИИ-инструмента получил контроль над системой разработчика кошельков и над системой второго разработчика кошельков из той же команды. 29 октября он воспользовался компьютером второго разработчика с украденными учётными данными первого и запустил вредоносный скрипт, с которого началась сама атака.
ФБР возложило вину на северокорейскую хакерскую группировку; Северная Корея это утверждение отвергла. Binance заявила, что возмещает убытки всем клиентам, потерявшим средства из-за взлома. В отчёте биржа извинилась: «Этого не должно было случиться, и мы приносим извинения за беспокойство, сбои и неопределённость, которые это вызвало у наших пользователей, партнёров и всей отрасли». Из-за взлома Binance наращивает инвестиции в обнаружение угроз с помощью ИИ и работает над созданием фонда исследований безопасности и целевых инициатив с ведущими ИИ-компаниями.
Ключевые факты
- По данным Binance, 29 октября из её кошельков вывели криптовалюту на $6,3 млрд; NBC News называет это возможно крупнейшим ограблением в финансовой истории.
- Цепочка атаки: в июне сотрудник команды кошельков скачал подменённый ИИ-инструмент, в сентябре второй программист получил вредоносный репозиторий кода на фальшивом собеседовании с «гендиректором» вымышленной компании.
- 20 октября атакующий с помощью скомпрометированного компьютера и внутреннего ИИ-инструмента получил контроль над системами двух разработчиков кошельков, 29 октября запустил вредоносный скрипт.
- ФБР винит северокорейскую хакерскую группировку, Северная Корея это отвергает.
- Binance возмещает потери всем пострадавшим клиентам и увеличивает инвестиции в обнаружение угроз на базе ИИ.
Почему это важно
Если верить первичному отчёту Binance, речь о краже криптовалюты на $6,3 млрд у крупнейшей в мире криптобиржи; NBC News оговаривается, что это может быть крупнейшее ограбление в финансовой истории (сравнительных цифр в тексте нет). Показательно и то, как оно произошло: не прямой взлом защиты биржи, а многомесячная цепочка из подменённого ИИ-инструмента, фальшивого собеседования и внутреннего ИИ-инструмента, оказавшегося в руках атакующего.
Кому это важно
Командам безопасности криптобирж и финансовых компаний, разработчикам с доступом к кошелькам и ключам, а также всем, кто скачивает ИИ-инструменты и инструменты для программирования из непроверенных источников. Отдельно, клиентам Binance: компания заявляет, что возмещает потери всем, кто лишился средств.
Как это применить
Из описанной цепочки следуют практические выводы. Скачанный инструмент для программирования или ИИ-инструмент, потенциальная точка входа, а после обнаружения подмены недостаточно заменить устройство и сменить учётные данные: в июньском эпизоде Binance роль сотрудника и его коллег по команде всё равно стала известна злоумышленнику. Предложения о работе с присланным кодом и репозиториями стоит проверять так же, как любой другой непроверенный код, а доступ внутренних ИИ-инструментов к критичным системам нужно ограничивать. Это выводы из изложенных фактов, а не рекомендации из отчёта Binance.
Можно ли доверять
Все подробности взлома, со слов самой Binance из первичного отчёта, который пересказывает NBC News; независимого подтверждения в тексте нет. Атрибуция ФБР северокорейской группировке оспаривается Пхеньяном, доказательства в материале не приводятся. Не названы ни скомпрометированный инструмент, ни группировка, ни сотрудники, ни вымышленная компания; не сказано, вернули ли похищенные средства, сколько уже выплачено клиентам и как оценены $6,3 млрд. Формулировка о рекордном ограблении у NBC News осторожная («может быть»).
Риски и подводные камни
Отчёт предварительный («initial report»), детали могут уточниться. Неясно, как именно внутренний ИИ-инструмент был использован для захвата контроля над кошельками, поэтому делать выводы о риске ИИ-инструментов как класса рано. Заявленные меры, рост инвестиций в обнаружение угроз с помощью ИИ и работа над фондом исследований безопасности и инициативами с ведущими ИИ-компаниями, пока без суммы и сроков, а фонд ещё только создаётся.
«Этого не должно было случиться, и мы приносим извинения за беспокойство, сбои и неопределённость, которые это вызвало у наших пользователей, партнёров и всей отрасли.»
— Binance, из отчёта о взломе