Эксперты указали на ускорение кибератак из-за 20-минутного взлома Binance

Взлом крупнейшей криптовалютной биржи Binance свидетельствует об ускорении кибератак — раньше такие процессы могли продолжаться неделями, а теперь занимают часы. Об этом РБК рассказали эксперты департамента киберразведки компании F6.

По их словам, неизвестные злоумышленники вывели цифровые активы из кошельков Binance на десяти блокчейнах. Основная часть похищенных средств была переведена в течение 20 минут.

«Взлом Binance — пример стремительного ускорения кибератак, которые длятся не недели, как раньше, но дни и часы, а главный ущерб может быть нанесён в течение одного часа», — подчеркнули эксперты.

Они отметили сходство взлома Binance с предыдущими атаками на криптобиржу Bybit и проект KelpDAO. Среди общих особенностей представители F6 назвали тщательную подготовку задолго до вывода средств, заранее подписанные транзакции и небольшие операции через криптовалютный миксер Tornado Cash, использовавшиеся для пополнения кошелька оператора.

В F6 обратили внимание, что затронутые атакой кошельки Binance в сетях Solana, Optimism, Tron, Avalanche и Polygon используют разные блокчейны, типы ключей и схемы подписи, однако все они выдали хакерам действительные подписи примерно за полчаса.

«Единственное заметное отличие заключается в методе отмывания денег. Вместо схемы перекрестного обмена цепочками, которую можно было наблюдать в случае со взломом Bybit, злоумышленники использовали крупные свопы через маркет-мейкеров и кредитные протоколы», — рассказали в F6.

По предварительным данным Binance, неизвестные сначала получили доступ к рабочему ноутбуку DevOps-инженера, затем проникли в служебный контейнер и отправили через него запросы на вывод средств. При этом свидетельств утечки приватных ключей пока нет. «Версии согласуются: захват внутреннего сервиса подписания позволяет выпускать транзакции без извлечения ключей», — пояснили эксперты.

После вывода активов эмитенты стейблкоинов начали принимать меры по их блокировке. Однако, по данным F6, атакующий пытался опередить эти действия: в первые часы он обменивал стейблкоины, которые можно заблокировать, на другие активы, не подконтрольные эмитентам, неся при этом значительные потери.

Эмитент — это юридическое лицо, орган государственной власти или местного самоуправления, который выпускает (эмитирует) ценные бумаги, деньги или иные финансовые инструменты

Директор по консалтингу Positive Technologies Юлия Воронова в беседе с РБК связала рост скорости и сложности кибератак с развитием искусственного интеллекта (ИИ).

«С развитием ИИ скорость и сложность атак существенно выросли и когда-то считавшиеся условно неприступными цели перестали быть таковыми», — пояснила она, добавив, что расследование такого инцидента может занять недели или месяцы.

По ее оценке, ситуация, при которой взлом одного ноутбука DevOps-инженера мог привести к хищению на миллиардов долларов, противоречит принципам эшелонированной защиты.

«Задача команды безопасности не сделать так, чтобы компанию невозможно было взломать, а чтобы цепочка атаки до недопустимого события была максимальной длины и команда успела отреагировать», — пояснила эксперт.

По словам Вороновой, имеющаяся информация позволяет предположить, что в случае Binance эта цепочка оказалась недостаточно длинной для своевременного реагирования даже без применения ИИ при атаке.

Аналитик вредоносного ПО центра исследования киберугроз Solar 4RAYS Василий Штырков, в свою очередь, рассказал РБК, что возможность возврата похищенной криптовалюты зависит от вида активов. Эмитенты централизованных стейблкоинов USDT и USDC могут замораживать средства, тогда как Bitcoin и Ethereum не имеют централизованного механизма блокировки.

«Технически заморозить монеты непосредственно в сети невозможно. Однако похищенные средства можно пометить, отслеживать их перемещение и попытаться заблокировать в тот момент, когда злоумышленники будут выводить их через криптобиржу, обменный сервис или банк», — отметил Штырков.

Отвечая на вопрос, можно ли отследить, кто стоит за кибератакой, эксперт подчеркнул, что «во многих случаях» это удается.

«Блокчейн представляет собой публичный журнал транзакций: в нем доступны адреса отправителей и получателей, суммы, время операций и вся цепочка переводов. Новости об отслеживании криптовалютных операций, связанных с наркотрафиком и киберпреступностью, появляются регулярно. В некоторых случаях такие расследования приводят даже к аресту подозреваемых и возврату средств», — пояснил Штырков.

В свою очередь, эксперты F6 отметили, что зарубежные исследователи приписывают атаку группировке TraderTraitor, которую относят к северокорейской хакерской инфраструктуре Lazarus. Этой же группе ранее приписывали взломы Bybit и KelpDAO.

Материал дополняется

Оставайтесь на связи с РБК в «Максе».