Эксперты указали на ускорение кибератак из-за 20-минутного взлома Binance

Взлом криптобиржи Binance демонстрирует ускорение кибератак: если раньше подобные процессы длились неделями, то теперь занимают часы. Об этом РБК сообщили эксперты департамента киберразведки компании F6. По их данным, неизвестные злоумышленники вывели цифровые активы из кошельков биржи на десяти блокчейнах, причем основная часть похищенных средств была переведена в течение 20 минут.

Специалисты F6 отметили сходство атаки с предыдущими взломами криптобиржи Bybit и проекта KelpDAO. Среди общих черт названы тщательная подготовка задолго до вывода средств, заранее подписанные транзакции и небольшие операции через криптовалютный миксер Tornado Cash, использовавшиеся для пополнения кошелька оператора. Затронутые кошельки Binance в сетях Solana, Optimism, Tron, Avalanche и Polygon используют разные блокчейны, типы ключей и схемы подписи, однако все они выдали хакерам действительные подписи примерно за полчаса. Единственное заметное отличие — метод отмывания денег: вместо схемы перекрестного обмена цепочками, наблюдавшейся при взломе Bybit, злоумышленники применяли крупные свопы через маркет-мейкеров и кредитные протоколы.

По предварительным данным Binance, неизвестные сначала получили доступ к рабочему ноутбуку DevOps-инженера, затем проникли в служебный контейнер и отправили через него запросы на вывод средств. Свидетельств утечки приватных ключей пока нет. После вывода активов эмитенты стейблкоинов начали принимать меры по их блокировке, однако атакующий пытался опередить эти действия: в первые часы он обменивал стейблкоины, которые можно заблокировать, на другие активы, не подконтрольные эмитентам, неся при этом значительные потери.

Директор по консалтингу Positive Technologies Юлия Воронова связала рост скорости и сложности кибератак с развитием искусственного интеллекта. По ее оценке, ситуация, при которой взлом одного ноутбука DevOps-инженера мог привести к хищению на миллиарды долларов, противоречит принципам эшелонированной защиты. Задача команды безопасности — не сделать компанию невозможной для взлома, а максимально удлинить цепочку атаки до недопустимого события, чтобы команда успела отреагировать; в случае Binance эта цепочка оказалась недостаточно длинной для своевременного реагирования.

Аналитик вредоносного ПО центра исследования киберугроз Solar 4RAYS Василий Штырков отметил, что возможность возврата похищенной криптовалюты зависит от вида активов: эмитенты централизованных стейблкоинов USDT и USDC могут замораживать средства, тогда как Bitcoin и Ethereum не имеют централизованного механизма блокировки. Технически заморозить монеты непосредственно в сети невозможно, однако похищенные средства можно пометить, отслеживать их перемещение и попытаться заблокировать при выводе через криптобиржу, обменный сервис или банк. Блокчейн представляет собой публичный журнал транзакций с адресами отправителей и получателей, суммами, временем операций и всей цепочкой переводов, поэтому отследить заказчиков атаки во многих случаях удается, а расследования иногда приводят к аресту подозреваемых и возврату средств.

Эксперты F6 отметили, что зарубежные исследователи приписывают атаку группировке TraderTraitor, которую относят к северокорейской хакерской инфраструктуре Lazarus. Этой же группе ранее приписывали взломы Bybit и KelpDAO. Материал дополняется.