Сотрудники Федеральной резервной системы (ФРС) и Управления контролера денежного обращения (OCC) на этой неделе начали обзванивать американские банки, чтобы проверить, нет ли в их системах признаков компрометации после взлома Binance на $6,3 млрд. Проверки начались в понедельник, 2 ноября — в тот же день, когда вступило в силу новое правило OCC и Федеральной корпорации страхования депозитов (FDIC), сужающее обстоятельства, при которых экзаменаторы могут принуждать банки к устранению уязвимостей кибербезопасности.

Регуляторы проверяют банковские системы на уязвимости

В тот же день сотрудники ФРС и OCC начали звонить в банки, спрашивая, были ли у них сбои в обслуживании или что-то необычное в их системах. Несколько человек, знакомых с этой работой, описали звонки изданию Reuters.

Один из банков, принявших звонок, сообщил об отсутствии сбоев. Его сотрудники подготовили тезисы для общения с клиентами, но в итоге получили лишь несколько вопросов. Binance заявила, что ничего не знает об этих контактах между банкирами и регуляторами, но отметила, что держит регуляторов по всему миру в курсе ситуации со взломом.

Новое правило повышает планку принудительного устранения проблем

Правило, принятое OCC и FDIC 27 августа и опубликованное в Federal Register 1 сентября, вступило в силу 2 ноября. Согласно FDIC, оно впервые на уровне нормативных актов определяет, что считается «небезопасной или нерациональной практикой», и затрудняет выдачу предписания о необходимости принятия мер (MRA) — официального письменного уведомления, которым экзаменаторы требуют от банка устранить проблему.

По новому стандарту экзаменаторы должны связать уязвимость с вероятным серьезным ущербом для финансов банка или с реальным нарушением закона. Проблемы, не отвечающие этому критерию, становятся надзорными замечаниями, которые не сопровождаются планом действий, не фиксируются как официальные выводы и не требуют доведения до совета директоров.

ФРС не присоединилась к правилу, поэтому банки под ее надзором оно не затрагивает; вместо этого ФРС придерживается аналогичного стандарта через внутренние политики. OCC сохранила отдельное право принуждать банки к устранению серьезных уязвимостей безопасности, даже если они не связаны с финансами банка, а FDIC заявила, что будет применять это право лишь в редких случаях и по тому же строгому стандарту. Такой раздел восходит к структуре банковского надзора в США: OCC регистрирует и контролирует национальные банки, ФРС надзирает за банками — членами ФРС штатов и банковскими холдинговыми компаниями, а FDIC контролирует банки с лицензиями штатов, не являющиеся членами ФРС, — поэтому одна и та же уязвимость кибербезопасности может подпадать под разные режимы в зависимости от того, кто надзирает за конкретным банком.

Банки проверяют собственную защиту

По имеющимся данным, банки разбирают взлом Binance и проводят диагностику собственных систем, чтобы определить, смогут ли они выдержать подобную атаку. В течение нескольких часов после кражи команда по безопасности одного из крупнейших банков США связалась со своими коллегами из Binance. Сейчас команда готовит внутренний отчет, который, по словам одного из источников, может привести к пересмотру систем банка и возможным обновлениям кибербезопасности. Скорость совершенствования ИИ-моделей затрудняет для банков опережение злоумышленников, и, по имеющимся данным, банки начали направлять значительные ресурсы на проверки и исправления кода.

Как развивался взлом Binance на $6,3 млрд

Cryptopolitan ранее сообщал, что в результате инцидента 29 октября с биржи было выведено около $6,3 млрд — эта кража считается крупнейшей в истории криптовалют. В отчете об инциденте Binance заявила, что атака началась в июне, когда инженер по кошелькам установил скомпрометированный ИИ-инструмент для написания кода, и обострилась в сентябре, когда второй инженер скачал вредоносный код после поддельного собеседования. Оба пути проникновения — скомпрометированный инструмент разработчика и вредоносное ПО, доставленное через фиктивный процесс найма, — соответствуют хорошо задокументированным категориям вторжений: компрометация цепочки поставок программного обеспечения и социальная инженерия. Позднее злоумышленники использовали внутренний ИИ-инструмент с украденными учетными данными для получения доступа к кошелькам биржи, согласно более раннему репортажу Cryptopolitan.

ФБР в предупреждении от 31 октября возложило ответственность на северокорейскую группировку TraderTraitor — утверждение, которое Пхень отверг. Со-генеральный директор Binance Ричард Тэн заявил, что биржа возместила около 95% украденных средств из собственных резервов и остается финансово устойчивой. Далее ключевыми пунктами для наблюдения остаются продолжающиеся, по словам биржи, обновления для регуляторов по всему миру, а также результаты диагностики и внутренних отчетов, которые банки начали готовить в ответ на кражу.