За несколько месяцев до того, как Binance потеряла $6,3 млрд в крупнейшем взломе криптобиржи в истории, главный специалист по безопасности компании в интервью Cointelegraph подробно описал, как именно фальшивое собеседование может дать злоумышленникам плацдарм внутри биржи. Описанная им тактика во многом схожа с одним из способов проникновения, впоследствии примененных против платформы. Этот случай показывает, как процесс найма в бирже может сам по себе служить поверхностью атаки — наряду с кодом и инфраструктурой, которые команды безопасности традиционно защищают.

В июльском интервью о реакции Binance на растущие угрозы безопасности главный специалист по безопасности Джимми Су заявил, что фальшивые собеседования — это «то, о чем мы внутри сильно беспокоимся». Он объяснил, что злоумышленники могут подстроить предложение о работе под конкретного сотрудника, а затем убедить его запустить код в рамках технического задания.

«И как только это выполняется, устройство оказывается скомпрометированным, и тогда они могут начать сбор учетных данных», — сказал Су, добавив, что затем злоумышленники могут использовать этот доступ для дальнейшего проникновения в сеть.

Подробное предупреждение Су о вредоносных заданиях на кодинг не вошло в июльский материал Cointelegraph, но оно приобрело новое значение после кражи в октябре. Согласно предварительному расследованию Binance, в сентябре инженер-программист биржи скачал вредоносное задание на кодинг на свой рабочий компьютер во время фальшивого собеседования. Эта компрометация стала частью многоэтапной атаки, завершившейся октябрьским взломом.

Су также предвидел, почему средства безопасности могут не заметить такую ловушку. Техническое задание может включать внешне легитимные шаги, например скачивание репозитория кода с GitHub, объяснил он в июле.

«Каждый шаг сам по себе абсолютно легитимен. Поэтому многие антивирусные инструменты могут не суметь его обнаружить и пометить», — сказал он.

Расследование Binance впоследствии описало аналогичный сбой обнаружения, сообщив, что процесс установки задания запустил вредоносное ПО, которое обходило средства защиты конечных точек биржи с помощью обфускации и других техник уклонения.

Binance заявила, что ответственность за обнаружение атак лежит на компании

Су сообщил Cointelegraph, что сдерживание риска, когда сотрудники ищут возможности на стороне с рабочих компьютеров, является ответственностью Binance.

«Разумеется, сотрудники могут искать возможности на стороне. Наша тревога в том, что они делают это на корпоративном устройстве», — сказал он. Если сотрудник попался на фальшивое собеседование, добавил он, «ответственность за обнаружение лежит на нас», а также на том, чтобы «остановить фактическое выполнение этого кода».

Связанное: хакеры из Северной Кореи создают мемкоины для отмывания средств от взлома Binance, сообщает компания Elliptic.

Binance уже тестировала своих сотрудников на устойчивость к фальшивым рекрутерам. Су сказал, что внутренняя красная команда компании в течение трех-четырех лет проводила ежемесячные симуляции фишинга, с корректирующим обучением для тех, кто их не прошел.

«Поначалу с гигиеной безопасности было много проблем. Но спустя это время компания значительно улучшилась», — сказал он.

Сентябрьская компрометация произошла несмотря на эту многолетнюю программу симуляций — напоминание о том, что одно лишь обучение осведомленности не закрывает подходы, подстроенные под конкретного сотрудника, — именно тот метод, который Су описал в июле.

Эта угроза также меняет то, как некоторые крипто-работодатели оценивают кандидатов, по словам Кевина Гибсона из рекрутинговой компании Proof of Search, который рассказал Cointelegraph, что клиенты все чаще хотят знать, встречались ли они с кандидатом лично.

«Ряд наших клиентов теперь напрямую спрашивают нас, встречались ли мы с кандидатом лично», — сказал Гибсон, добавив, что кандидаты, с которыми рекрутер познакомился лично, имеют преимущество.

Сотрудники, как в случае с Binance, тоже могут стать целями. «В крипто сомнительное предложение о работе или „быстрый созвон на перекурить“ могут стать первым шагом к удару на миллионы долларов», — сказал он.

Для компаний, хранящих средства клиентов, это означает, что канал найма фактически становится частью периметра безопасности: одно скомпрометированное рабочее устройство может открыть путь к более глубоким внутренним системам, как описывает сама Binance в отчете о взломе.

Binance блокирует северокорейскую киберугрозу каждые пять дней

Binance сообщила, что заблокировала 57 подозрительных киберугроз, связанных с Северной Кореей, с начала этого года — примерно одну атаку каждые пять дней.

Такой темп, наряду с отчетом Elliptic об отмывании украденных средств через мемкоины, указывает на постоянную активность, связанную с Северной Кореей и направленную на биржу, а не на изолированный инцидент.

После октябрьской атаки Binance сообщила, что ужесточила контроль устройств, перестроила затронутые системы кошельков и внутренние AI-инструменты, укрепила контроль доступа и отозвала скомпрометированные учетные данные. Биржа также заявила, что увеличивает инвестиции в защиту конечных точек и безопасность среды разработки и привлекла независимых экспертов по кибербезопасности для анализа инцидента. Некоторые технические детали и меры безопасности останутся конфиденциальными, сообщила она.

Поскольку выводы Binance все еще предварительны, а часть технических деталей скрыта, дальнейшие обновления расследования и отчет независимых экспертов станут ключевыми событиями для более полного понимания того, как злоумышленники перемещались по системам биржи и какие дополнительные меры защиты последуют.