Hakeriai, iš kriptovaliutų biržos „Binance“ pavogę milijardus dolerių kriptovaliutos, vagystę rengė kelis mėnesius ir naudojo tiek socialinę inžineriją, tiek naujo tipo kenksmingąją programą, antradienį pranešė bendrovė.
Vagystė, kurią FBI ir saugumo įmonė TRM Security priskyrė Šiaurės Korėjos veikėjams, pirmiausia buvo nukreipta į 6,34 mlrd. dolerių vertės kriptovaliutą iš „Binance“ piniginių. Birža nuo to laiko užšaldė arba perėmė 2,85 mlrd. dolerių šios sumos. „Binance“ teigė atidėjusi nuostoliams padengti reikalingas lėšas ir pateikė šią nuorodą į rezervų įrodymo (Proof of Reserves) puslapį. 6,34 mlrd. dolerių yra didžiausia suma, kada nors taikyta kriptovaliutų vagystės atveju.
Pažangi nuolatinė grėsmė
„Binance“ pranešė, kad vagystės rengėjai pradėjo veikti ne vėliau kaip birželį ir tęsė iki praėjusio ketvirtadienio, kai sėkmingai pasinaudojo inžinieriaus nešiojamuoju kompiuteriu ir išėmė turtą iš kelių piniginių. Kaip ir beveik kiekviena organizacija, patyrusi viešą ir sunkių pasekmių turėjusią ataką, „Binance“ teigė, kad grėsmės veikėjas buvo sudėtingas ir išradingas.
„Mūsų dabartinis tyrimas rodo, kad tai buvo sudėtinga, kelių etapų kampanija, – teigiama bendrovės ataskaitoje apie iki šiol atliktą tyrimą. – Tai nebuvo vienas pavienis įsilaužimas ar paprastas sukčiavimo apgaule incidentas. Užpuolikai derino įvairius metodus, įskaitant socialinę inžineriją per netikrus įdarbinimo pokalbius, kenksmingos programinės įrangos atsisiuntimus, pažeistus vidinius dirbtinio intelekto įrankius, galinių įrenginių kompromitavimą ir pažangų operacijų autorizavimo būdą.“
„Binance“ nurodė, kad pirmasis su kompromitavimu susijęs incidentas greičiausiai įvyko birželį, kai inžinierius atsisiuntė suklastotą „Homebrew“ versiją. Bendrovė pateikė nuorodą į gegužę aprašytą šį incidentą; jos saugumo komanda aptiko pažeistą nešiojamąjį kompiuterį, bet tik po to, kai kenksmingosios programos operatoriai sužinojo apie šio inžinieriaus ir su juo susijusių kolegų vaidmenis „Binance“ piniginių infrastruktūros komandoje.
Paaiškinimas: „Homebrew“ yra populiarus atvirojo kodo įrankis, padedantis diegti ir tvarkyti programas „macOS“ ir „Linux“ sistemose, todėl suklastota jo versija gali tapti kenksmingos programos kelio į kompiuterį pradžia.
Rugsėjį kitas inžinierius gavo žinučių per teisėtą darbo paieškos platformą, kuria naudojosi. Žinutes atsiuntė asmuo, apsimetęs projekto direktoriumi, ieškančiu naujų darbuotojų. Tariamas projekto direktorius suorganizavo pirmąjį pokalbį su tariama personalo atstove ir antrąjį pokalbį su tariamu išgalvotos įmonės generaliniu direktoriumi.
Pirmojo pokalbio, vykusio per vaizdo skambučių platformą, metu tariama personalo atstovė pasidalijo socialinės žiniasklaidos paskyra, kurioje buvo asmeninių nuotraukų ir vaizdo įrašų. Antrasis pokalbis vyko per socialinę pokalbių programėlę. Jo metu inžinieriui buvo nurodyta atsisiųsti „užduotį“, kuri nukreipė į kodo saugyklą su kenksmingu kodu; šis galiausiai buvo paleistas inžinieriaus įrenginyje diegimo metu.
„Kenksmingoji programa naudojo sudėtingus užmaskavimo ir aptikimo vengimo būdus, įskaitant teisėto programavimo įrankio komponento pakeitimą kenksminga versija, kad būtų vykdomos komandos ir užmegztas ryšys su užpuoliko valdomu išoriniu serveriu, – teigė „Binance“. – Šios nulinės dienos (0-day) kenksmingosios programos tuo metu neaptiko galinių įrenginių apsaugos priemonės. Užpuolikas taip pat ėmėsi veiksmų paslėpti kenkėjišką veiklą ir pašalinti kompromitavimo pėdsakus, todėl aptikimas ir vėlesnis tyrimas tapo sudėtingesni.“
Spalio 20 dieną užpuolikai, pasitelkę pažeisto inžinieriaus kompiuterį ir vidinį dirbtinio intelekto įrankį, perėmė dviejų kitų inžinierių įrenginių valdymą, tarp jų ir tą, kuris anksčiau buvo užkrėstas su trojanu pakeistu „Homebrew“ diegikliu. To inžinieriaus piniginėje buvo žetonas (token), suteikiantis prieigą prie konteinerių diegimo.
Po devynių dienų, tarp 17.15 ir 19.56 val. UTC, grėsmės veikėjas prisijungė prie trečiojo inžinieriaus įrenginio, panaudojo pavogtus prisijungimo duomenis, įdiegė konteinerį ir aktyvavo scenarijų pervedimui pradėti. Be kita ko, užpuolikai išplėtė neteisėtą prieigą prie vidinės piniginės pasirašymo paslaugos, kad galėtų užbaigti operacijas ne pagal įprastą lėšų išėmimo procesą.
„Binance“ tęsė:
„Binance“ karštosios piniginės „Solana“ ir „Optimism“ tinkluose išsiuntė maždaug 970 500 SOL ir 44,2 mln. OP į užpuolikų valdomus adresus. Tuomet „Binance“ gavo vidinį perspėjimą apie didelės apimties pervedimus ir nedelsdama pradėjo tyrimą. „Binance“ karštoji piniginė išsiuntė 18 270 BTC į užpuoliko valdomą adresą. Po to užpuolikas pasinaudojo pasirašymo paslauga, kad išnaudotų „Ethereum“ EIP-7702 autorizavimo mechanizmą. EIP-7702 leidžia paskyrai deleguoti tam tikras vykdymo teises išmaniajai sutarčiai neatskleidžiant privačiojo rakto. Šiuo atveju užpuolikas pasinaudojo tuo mechanizmu, kad užpuoliko valdomai išmaniajai sutarčiai suteiktų dalines „Binance“ karštosios piniginės vykdymo teises. „Binance“ nedelsdama ėmėsi kelių suvaldymo priemonių, įskaitant lėšų išėmimo sustabdymą tolesniam nutekėjimui apriboti, derinimą su partneriais siekiant užšaldyti paveiktus žetonus ir veiksmus neteisėtiems leidimams panaikinti. Šios pastangos leido užšaldyti iš viso 2,85 mlrd. dolerių turto. Tačiau vien lėšų išėmimo sustabdymas negalėjo sustabdyti visų neteisėtų turto judėjimų. Kenkėjiški EIP-7702 autorizavimai egzistavo grandinėje (on-chain) ir veikė nepriklausomai nuo įprastos „Binance“ lėšų išėmimo infrastruktūros. Užpuolikai pateikė 50 pasirašymo operacijų, kad manipuliuotų paskyros vienkartiniu skaičiumi (nonce) ir sukurtų kenkėjiškus delegavimo autorizavimus. Juos sukūrę, užpuolikai galėjo toliau perkelti turtą nepriklausomai nuo įprastos „Binance“ lėšų išėmimo infrastruktūros. Šiems autorizavimams grandinėje panaikinti „Binance“ prireikė papildomų operacijų. Suvaldymo procesą apsunkino papildomi techniniai sunkumai. Kadangi karštoji piniginė naudojo daugiašalį skaičiavimą (Multi-Party Computation, MPC), nebuvo vieno privačiojo rakto, kuriuo būtų galima nedelsiant panaikinti kenkėjiškus EIP-7702 autorizavimus. Todėl komanda sukūrė ir įgyvendino specialią šių autorizavimų panaikinimo procedūrą, kuriai prireikė papildomo laiko. Be to, lėšų išėmimo sustabdymas ir karštosios piniginės paslaugų išjungimas automatiškai nepanaikino esamų autorizavimų grandinėje.
Paaiškinimas: Karštoji piniginė – tai prie interneto prijungta kriptovaliutų piniginė, kuria birža naudojasi kasdieniams pervedimams ir lėšų išmokėjimams, todėl ji patogi, bet labiau pažeidžiama nei neprijungtos saugyklos.
Atskirai TRM Security pranešė, kad užpuolikai įvairiomis priemonėmis plovė sėkmingai pervestą turtą per TRON ir „Ethereum“ blokų grandinių tinklus. Tarp metodų buvo „pačių sukurtas žetonas ir likvidumo telkinys, tarp piniginių perduodamas skolinimo kvito žetonas ir kelių grandinių keitimai, sujungti per du tiltus“.
TRM Šiaurės Korėjos įsilaužėlių grupę seka pavadinimu TraderTraitor.
