Основы Интернет - технологий.

Представители криптобиржи Binance опубликовали подробный отчет, посвященный недавней кибератаке, в ходе которой северокорейские хакеры похитили активы стоимостью 6,34 млрд долларов США. Выяснилось, что хакеры готовились к ограблению несколько месяцев и использовали сразу несколько точек входа: вредоносную версию Homebrew, фальшивые собеседования, кастомную малварь и внутренний ИИ-инструмент компании. Напомним, что взлом Binance произошел 29 октября 2026 года, а позднее ФБР подтвердило, что атака была связана с северокорейскими хакерами TraderTraitor, чью активность исследователи также связывают с Lazarus Group, Jade Sleet и APT38. Согласно отчету Binance, первые следы атаки относятся еще к июню 2026 года. Тогда один из DevOps-инженеров компании, работавший с инфраструктурой криптокошельков, скачал поддельный установщик Homebrew, пытаясь установить популярный ИИ-инструмент для программирования. Хотя специалисты по безопасности вскоре обнаружили заражение, после чего сменили сотруднику ноутбук и учетные данные, хакеры успели собрать информацию о нем и его коллегах. Следующая фаза атаки началась в сентябре: злоумышленники вышли на другого инженера Binance через легитимную платформу для поиска работы и пригласили его на собеседование в несуществующую компанию. Сначала с жертвой общался фальшивый HR-специалист, который даже продемонстрировал свой профиль в соцсети с личными фотографиями и видео, чтобы вызвать доверие. Затем состоялось второе собеседование с якобы генеральным директором несуществующей компании. В конце собеседования инженеру Binance предложили скачать тестовое задание из репозитория, где на самом деле размещался вредоносный код. При настройке этого проекта на рабочем Mac жертвы запустилась малварь, которую не обнаружили защитные решения. Вредонос подменил легитимный исполняемый файл pyenv в директории Homebrew, изменил символическую ссылку и запустил шелл zsh, связавшись с сервером злоумышленников. При этом малварь скрывала свою активность и удаляла следы компрометации. 20 октября хакеры использовали этот зараженный ноутбук и внутренний ИИ-инструмент Binance, чтобы получить доступ к машинам еще двух инженеров. На одном из этих устройств они обнаружили токен с правами на развертывание контейнеров. Спустя еще девять дней, 29 октября, хакеры воспользовались похищенными учетными данными, вошли на компьютер скомпрометированного сотрудника, развернули контейнер и запустили вредоносный скрипт. Таким образом они получили доступ к внутреннему сервису подписи транзакций и сумели организовать перевод средств в обход штатной системы вывода. Сообщается, что дополнительно атакующие злоупотребили механизмом Ethereum EIP-7702: отправили 50 транзакций для настройки вредоносных делегированных разрешений, благодаря которым подконтрольный хакерам смарт-контракт продолжил вывод активов даже после того, как специалисты Binance приостановили операции. В отчете сказано, что по состоянию на 3 ноября специалистам биржи удалось заморозить или перехватить украденные активы на сумму примерно 2,85 млрд долларов США. Также подчеркивается, что после атаки в Binance перестроили затронутую инфраструктуру кошельков и внутренний ИИ-инструмент, заменили скомпрометированные устройства и отозвали все связанные с ними учетные данные и токены. Расследование инцидента еще продолжается, и к нему привлекли независимых ИБ-экспертов.