Хакеры атаковали Binance под видом рекрутеров: сотрудников биржи заманивали на фальшивые собеседования
Злоумышленники использовали необычную схему для проникновения в инфраструктуру криптовалютной биржи Binance. Вместо прямого взлома систем они представились потенциальными работодателями, организовали фиктивные собеседования и предложили сотруднику компании выполнить тестовое задание с вредоносным программным обеспечением.
По информации Binance, эта атака стала частью масштабной операции, в результате которой хакерам удалось вывести активы на сумму около $6,3 млрд. При этом злоумышленники не использовали классическую техническую уязвимость платформы — ключевую роль сыграла социальная инженерия.
Как началась подготовка к атаке
Первые действия злоумышленников были зафиксированы еще в июне. Тогда один из инженеров Binance, отвечавший за инфраструктуру криптовалютных кошельков, искал инструменты для разработки программного обеспечения.Для поиска подходящих решений специалист воспользовался ИИ-поисковиком. Среди результатов ему попалась поддельная версия менеджера пакетов Homebrew, подготовленная хакерами. После загрузки этого инструмента вредоносный код оказался внутри инфраструктуры биржи.
Служба безопасности Binance обнаружила подозрительную активность. Компания заменила скомпрометированное устройство и обновила связанные с ним учетные данные. Однако к тому моменту преступники уже собрали информацию о должностных обязанностях инженера и его коллегах.
Полученные сведения впоследствии помогли организовать следующую стадию атаки.
Фальшивое собеседование стало ловушкой для инженера
В сентябре хакеры решили использовать собранную информацию для выхода на другого сотрудника Binance. Они связались с инженером через платформу для поиска работы, представившись представителями несуществующей компании.Злоумышленники организовали полноценный процесс найма, состоявший из двух этапов.
Сначала с инженером провел видеособеседование человек, выдававший себя за HR-специалиста. Для убедительности он использовал личный аккаунт в социальной сети, где присутствовали фотографии и видеоматериалы.
После этого общение продолжилось в отдельном мессенджере. На следующем этапе сотруднику предложили выполнить техническое тестовое задание, для чего требовалось загрузить специальный репозиторий с программным кодом.
Однако вместо обычного задания инженер получил вредоносную программу. В Binance не смогли объяснить, каким образом сотруднику удалось загрузить и запустить зараженный файл на рабочем компьютере и почему защитные механизмы не остановили его.
Как злоумышленники получили доступ к инфраструктуре Binance
После установки вредоносное ПО проникло в инструмент, используемый для разработки программного обеспечения. Затем программа установила соединение с удаленным сервером хакеров.По объяснению представителей Binance, преступники применили специальную технологию, позволившую обойти действующие механизмы обнаружения угроз.
20 октября злоумышленники использовали уже скомпрометированный компьютер для проникновения на устройства еще двух сотрудников. Среди них оказался инженер, непосредственно связанный с инфраструктурой криптовалютных кошельков.
На его рабочем устройстве хакеры обнаружили токен, предоставлявший возможность развертывать программные контейнеры. Именно этот доступ стал одним из ключевых элементов дальнейшей операции.
В ночь проведения атаки преступники подключились к компьютеру еще одного инженера, воспользовались похищенными учетными данными и запустили несанкционированный программный контейнер. Внутри него был выполнен скрипт, позволивший инициировать транзакции и вывести криптовалютные активы.
Версия о северокорейской хакерше оказалась неподтвержденной
После инцидента в социальных сетях появилась альтернативная версия произошедшего. Анонимный пользователь X под ником doomerfied утверждал, что сотрудник Binance мог стать жертвой романтической вербовки со стороны девушки, предположительно связанной с северокорейскими хакерами.Согласно этой истории, злоумышленница познакомилась с инженером в интернете, постепенно наладила с ним личное общение и начала узнавать подробности его профессиональной деятельности.
Якобы под предлогом совместного проекта она предложила установить определенную программу, которая впоследствии оказалась вредоносной.
Однако эта версия распространялась анонимным пользователем и не была подтверждена официальными материалами расследования.
Сама атака на Binance произошла в ночь с 29 на 30 октября. Федеральное бюро расследований США возложило ответственность за инцидент на хакерскую группировку из КНДР.
История с Binance демонстрирует, что даже крупные криптовалютные платформы с развитыми системами информационной безопасности уязвимы перед тщательно подготовленными атаками на сотрудников.
Злоумышленники могут использовать поддельные вакансии, фальшивые собеседования, зараженные инструменты разработки и украденные учетные данные, чтобы постепенно расширять доступ к корпоративной инфраструктуре.
Особую опасность представляет использование ИИ-поисковиков и других привычных рабочих инструментов для распространения поддельного программного обеспечения.
Случай Binance показывает, что защита криптобирж должна охватывать не только серверы и программный код, но и процессы найма, проверку сторонних инструментов, контроль доступа и действия самих сотрудников.