Редакция OMM
Кража криптовалюты на сумму $6,3 млрд с биржи «Binance» стала результатом многомесячного сбора разведданных, фиктивных собеседований и использования внутренних инструментов искусственного интеллекта, сообщили эксперты агентству Anadolu, указав на предполагаемую причастность Северной Кореи.
Операцию называют крупнейшей кражей криптовалюты в истории. Она продемонстрировала, как злоумышленники могут сочетать манипулирование сотрудниками с техническими вторжениями, чтобы получить доступ к системам, разрешающим переводы цифровых активов.
Ари Редборд, глобальный руководитель направления политики и взаимодействия с государственными структурами американской компании по анализу блокчейна «TRM Labs», возложил ответственность за атаку на Северную Корею, заявив, что киберкражи помогают финансировать находящееся под санкциями правительство и его программы вооружений.
Эрсин Динчелли, доцент кафедры информационных систем Университета Колорадо в Денвере, отметил, что этот случай продемонстрировал масштаб разведывательной работы и планирования, лежащих в основе современных кибератак.
Фиктивный найм открыл доступ к системам компании
Согласно опубликованному 3 ноября отчёту «Binance», злоумышленники впервые нацелились на инженера в июне, когда тот пытался установить инструмент для программирования на основе ИИ.
Служба безопасности компании обнаружила подозрительную активность и заменила устройство и учётные данные инженера. Однако к тому времени злоумышленники уже собрали сведения о его обязанностях и коллегах.
В сентябре люди, выдававшие себя за рекрутеров несуществующей компании, пригласили другого инженера «Binance» на фиктивное собеседование. Затем ему дали тестовое задание по программированию, в рамках которого сотрудник загрузил на рабочий компьютер файлы с вредоносным кодом, обеспечив злоумышленникам доступ к системам компании.
20 октября злоумышленники воспользовались внутренним инструментом искусственного интеллекта, чтобы получить доступ к компьютерам ещё двух инженеров.
29 октября они установили вредоносное ПО, используя учётные данные, украденные у другого инженера, а затем получили несанкционированный доступ к внутреннему сервису подписания кошельковых транзакций.
За четыре минуты они перевели 233,46 млн XRP с пяти кошельков «Binance» на контролируемый ими адрес. Впоследствии были переведены около 970 500 SOL, 44,2 млн OP и 18 270 биткоинов.
Обнаружив необычные переводы, «Binance» приостановила вывод средств, однако уже имевшиеся у злоумышленников разрешения не позволили компании немедленно остановить все несанкционированные транзакции.
30 октября биржа сообщила, что общий ущерб от инцидента составил примерно $6,3 млрд. По её данным, благодаря взаимодействию с партнёрами по отрасли удалось заморозить около $3 млрд активов в блокчейне.
Похищенная сумма примерно в 4,2 раза превышает около $1,5 млрд, украденных у «Bybit» в феврале 2025 года. До этого тот инцидент считался крупнейшей кражей криптовалюты в истории.
Эксперты говорят о многомесячной разведке
Редборд заявил, что для выявления инженеров, отвечающих за кошельки, установления лиц, обладающих правом подписи, и понимания взаимодействия команд потребовались бы месяцы исследований.
По его словам, должности, профессиональные профили и участие в конференциях помогают злоумышленникам определять цели и составлять карту их обязанностей.
Он назвал фиктивные предложения о работе, мошеннические собеседования и вредоносные задания по программированию повторяющимися методами, связанными с операциями Северной Кореи. Инженеры могут воспринимать такие предложения всерьёз, поскольку сообщения от рекрутеров и тестовые задания по программированию — обычная часть найма.
Редборд отметил, что путь от первоначального проникновения в июне до последующей кражи указывает на терпеливо проводившуюся разведывательную операцию, в которой каждый этап опирался на доступ, полученный ранее.
Он рекомендовал запускать полученный извне код в одноразовых виртуальных средах на отдельном оборудовании. По его словам, биржам также следует устанавливать лимиты для горячих кошельков и вывода средств, а также задержки для крупных переводов.
Динчелли заявил, что даже сложные технические меры защиты могут оказаться неэффективными, если сотрудники не знают о методах социальной инженерии, использующих любопытство, страх, чувство срочности и другие человеческие мотивы.
По его словам, подобным схемам могут поддаться и опытные инженеры. Атаку на «Binance» он назвал тщательно скоординированной операцией, проводившейся на протяжении нескольких месяцев.
Динчелли добавил, что инструменты разведки по открытым источникам и автоматизация на основе ИИ позволяют собирать информацию и создавать подробные профили потенциальных целей практически бесплатно.
31 октября ФБР обвинило Северную Корею в краже цифровых активов на $6,3 млрд у «Binance», связав операцию с деятельностью, известной как TraderTraitor. Бюро призвало криптовалютные компании блокировать транзакции, связанные с соответствующими адресами.
Северная Корея отвергла обвинения. Ким Ё Чжон, сестра лидера страны Ким Чен Ына, обвинила Вашингтон в попытке представить Пхеньян киберпреступным государством и предположила, что США могут быть заинтересованы в возвращении похищенной криптовалюты для пополнения своих стратегических резервов.
Динчелли отметил, что различие между кибероперациями, поддерживаемыми государством, и преступлениями, совершаемыми ради финансовой выгоды, становится всё менее чётким.
По его словам, если ранее атаки, поддерживаемые государствами, традиционно были направлены на шпионаж и достижение геополитических целей, то пример Северной Кореи показывает, что такие операции могут также использоваться для кражи криптовалюты и пополнения государственных доходов.
