Хакери, пов'язані з КНДР, потрапили на пристрій працівника Binance приблизно за вісім тижнів до крадіжки на $6,3 млрд. До такого висновку дійшла організація Security Alliance (SEAL) у звіті від четверга. Пробитися вдалося через ноутбуки інженерів, а не через код біржі.
Що саме показав звіт SEAL?
SEAL оцінила, що комп'ютер програміста Binance скомпрометували у вересні через фальшиву пропозицію роботи. Після першого проникнення зловмисники можуть місяцями рухатися всередині мережі непомітно, і тут вони скористалися саме цим. До самої крадіжки 29 жовтня минуло близько восьми тижнів.
Сама Binance уточнила хронологію. За словами її представника, перші пристрої постраждали ще в червні та вересні, але до гаманців зловмисники не мали доступу до 20 жовтня. Тож вісім тижнів від SEAL описують вікно між вереснем і жовтнем, а не всю кампанію.
Як вони дійшли до гаманців?
Схему легко простежити по датах. Ось що розповіла біржа.
- Червень: співробітник завантажив підроблений інсталятор Homebrew, коли ставив ШІ-інструмент для кодингу. Binance помітила інцидент і замінила пристрій, але хакери вже зібрали дані про людей, які працюють з інфраструктурою гаманців.
- У вересні заражений комп'ютер отримав інженер, якого атакували через фальшивий набір на роботу. SEAL знайшла щонайменше чотири компанії-ширми, через які КНДР вела такі кампанії 2026 року.
- 20 жовтня з цього комп'ютера та внутрішнього ШІ-інструмента зловмисники взяли під контроль пристрої двох інженерів, що відповідають за гаманці.
- Там знайшовся токен дозволу на розгортання. Його й використали 29 жовтня.
Фальшива вакансія, підроблений інсталятор, внутрішній ШІ-інструмент. Криптографію ніхто не ламав. Хакери скористалися звичною розробницькою рутиною.
Чи це унікальний випадок?
Ні, і в цьому головна небезпека. SEAL знайшла схожий малюнок у кількох гучних крадіжках. Перед зломом Bitget на $388 млн нападники мали близько шести тижнів доступу. До експлойту Kelp DAO на $293 млн вони приблизно стільки ж сиділи в LayerZero. Менший злам AFX на $24 млн випередили приблизно три тижні.
Чим довше хакери ходять мережею, тим точніше знають, де лежить дозвіл на переказ. ФБР у суботу назвало автором атаки угруповання TraderTraitor із КНДР, а Кім Є Чжон, сестра північнокорейського лідера, звинувачення відкинула.
Скільки вкраденого вже відмили?
Менше, ніж можна було б очікувати. За даними аналітиків Elliptic, на адресах злодіїв досі лежить близько $3,11 млрд, переважно в Ethereum і Bitcoin. 18 270 BTC розбили на 19 адрес у день зламу, і відтоді їх не чіпали. Дев'ять найбільших ефірних адрес із 89% викраденого ETH мовчать від 30 жовтня.
Відмивання вже йде. Хакери задіяли понад 20 000 гаманців у 16 блокчейнах. Найбільше, близько $220 млн у TRX, пройшло через Tron: один гаманець розіслав 684,6 млн TRX на сотні нових адрес за 51 годину, у тому числі вночі за пхеньянським часом. Усі вкрадені SOL (приблизно $87 млн) обміняли, перекинули мостами або змішали. З XRP конвертували близько $50 млн, ще $226 млн чекають своєї черги. Частина біткоїнів з'явилася через THORChain, а 33 BTC пройшли через коїнджоіни.
Що з цього виносить користувач біржі?
Заморозка спрацювала. Емітенти стейблкоїнів, як-от Tether і Circle, блокували токени протягом години, і 44% здобичі виявилося недосяжним для хакерів. Після зламу Bybit у лютому 2025 року заморозили близько 3%.
Для тих, хто тримає USDT на біржі й виводить його в гривню через P2P, висновок буденний. Не зберігайте на біржі більше, ніж потрібно для найближчої угоди, і не відкривайте вакансії від невідомих компаній на робочому ноутбуці. Судячи зі звіту, саме з цього ця історія й почалася.
Коментарі
Ваша e-mail адреса не оприлюднюватиметься. Обов'язкові поля позначені *