Binance заявляє, що заблокувала 57 підозрюваних кіберзагроз, пов'язаних із Північною Кореєю, у 2026 році, та замінила 98% токенів, викрадених під час злому на $6,34 млрд.
Резюме
- Binance виявила шахрайські схеми вербування, шкідливі інструменти розробника та підроблені додатки для відеоконференцій серед підозрюваних загроз.
- Ї Хе визнала серйозну ціну атаки, яка обійшла засоби захисту біржі.
- Біржа заявляє, що досі купує менш ліквідні токени для завершення поповнення активів.
- Американські слідчі приписують крадіжку 29 жовтня північнокорейській діяльності TraderTraitor.
Співзасновниця та співгенеральна директорка Binance Ї Хе описала спроби вторгнення в публікації в X від 3 листопада, поділившись висновками біржі щодо порушення безпеки 29 жовтня.
У її дописі описано неодноразові спроби вийти на співробітників через вербування, завантаження програмного забезпечення та соціальну інженерію. Методи включали шахрайські співбесіди щодо роботи, скомпрометовані програмні пакети та розширення для браузера, а також шкідливі програми, представлені як популярні інструменти розробника.
Підроблені додатки для відеоконференцій були ще одним шляхом, поряд із кампаніями, розробленими для викрадення облікових даних або встановлення шкідливого програмного забезпечення, яке надає зловмисникам віддалений доступ до комп'ютера.
«Ми перехопили багато з них, але ціна невдачі зупинити хоча б один була серйозною — і цього ніколи не повинно було статися», — написала Ї.
Binance описує, як фальшива співбесіда дісталася співробітника
Згідно з первинними висновками Binance, до інженера-програміста у вересні звернувся через легітимну платформу для пошуку роботи хтось, видаючи себе за директора проєкту.
Імовірний представник відділу кадрів провів відеоспівбесіду та поділився профілем у соціальних мережах, що містив особисті фотографії та відео. Другий інтерв'юер, представлений як генеральний директор вигаданої компанії, доручив інженеру завантажити завдання на робочий комп'ютер.
Binance заявила, що завдання містило шкідливий код, який запускався під час встановлення та уникнув виявлення інструментами захисту кінцевих точок, що використовувалися.
20 жовтня зловмисник використав скомпрометований комп'ютер і внутрішній інструмент штучного інтелекту, щоб вийти на двох інженерів гаманця. Облікові дані, отримані під час цього вторгнення, згодом уможливили доступ до операцій підпису гаманця.
У дописі біржі описано кілька етапів вторгнення, хоча публікація Ї не розкриває, скільки з 57 підозрюваних випадків включали приманки з вербування.
Раніші висновки щодо авторизації гаманця простежили частину крадіжки до Binance 14, гарячого гаманця Ethereum. Blockaid ідентифікувала 50 поданих авторизацій EIP-7702, одна з яких успішно делегувала права на виконання шкідливому контракту.
Binance повідомляє про 98% поповнення, тоді як закупівля токенів триває
У своєму звіті від 3 листопада Binance заявила, що 98% постраждалих токен-активів було поповнено, і що вона купує решту менш ліквідних активів. Компанія заявила, що виділила більше коштів, ніж потрібно для покриття збитків.
Як раніше повідомляло crypto.news, Binance відновила виведення Bitcoin 1 листопада, коли Річард Тенг оцінив поповнення приблизно у 95%.
Біржа визначила BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD і ZEC як повністю забезпечені. У її повідомленні про відновлення зазначалося, що токени поза цією групою потребували більше часу для закупівлі в необхідних обсягах.
Закупівлі для заміни здійснювалися за рахунок Фонду безпечних активів для користувачів, надлишкових резервів Фонду страхування ф'ючерсів і корпоративної скарбниці Binance, згідно з її попередніми розкриттями щодо відновлення.
Доступ до виведення продовжував повертатися через окремі активи та мережі. 3 листопада Binance відновила більше виведень для 31 додаткового активу на Ethereum та 20 на Solana після відновлення п'яти стейблкоїнів Ethereum.
Американські слідчі ідентифікували активність TraderTraitor
Кібероповіщення ФБР від 31 жовтня cyber alert приписало крадіжку Північній Кореї та ідентифікувало цю активність як TraderTraitor.
Працюючи з Секретною службою США та Кримінальним розслідуванням IRS, бюро спостерігало, як зловмисники конвертували викрадені активи переважно в Ether. Воно заявило, що очікується подальше відмивання через децентралізовані фінанси та сервіси миттєвого обміну.
Агентства закликали біржі, фірми блокчейн-аналітики, DeFi-сервіси та операторів інфраструктури блокувати транзакції, що стосуються зазначених адрес або активів, похідних від них.
Північна Корея заперечила свою причетність 3 листопада. За даними Associated Press, Кім Йо Чжон відкинула звинувачення ФБР у заяві, поширеній державними медіа.
Викрадені кошти надходять у транзакції CoinJoin
Окрема робота з відстеження задокументувала рух викрадених активів, тоді як Binance купує заміну.
Elliptic ідентифікувала приблизно 28 BTC вартістю 2,2 мільйона доларів, що надійшли в 18 транзакцій CoinJoin між 1 листопада та початком 2 листопада. Біткоїн походив із конвертованих викрадених активів, тоді як 18 270 BTC, взятих безпосередньо з Binance, на момент цієї оцінки залишалися на 19 адресах.
Розслідування фірми охопило приблизно 12 000 гаманців, 11 блокчейнів і понад 40 000 транзакцій. Адреси, пов'язані з крадіжкою, все ще утримували орієнтовно 3,24 мільярда доларів, переважно в Ethereum та Bitcoin.
