Северокорейская группа TraderTraitor похитила у криптобиржи Binance активы на сумму 6,34 млрд долларов, используя многомесячную подготовку, включающую заражение рабочих станций через поддельный Homebrew и социальную инженерию в виде несуществующих собеседований.
Атака началась в июне 2026 года, когда инженер DevOps скачал поддельный установщик Homebrew, пытаясь установить ИИ-инструмент, что позволило хакерам собрать информацию о сотрудниках даже после замены зараженного устройства.
В сентябре 2026 года злоумышленники вышли на второго инженера через легитимную платформу поиска работы, где фальшивый HR и генеральный директор выманили вредоносный код под видом тестового задания.
Малварь подменила легитимный исполняемый файл pyenv в директории Homebrew, изменила символическую ссылку и запустила шелл zsh, связавшись с серверами атакующих и скрывая свою активность.
20 октября хакеры использовали зараженный ноутбук инженера и внутренний ИИ-инструмент компании для получения доступа к машинам двух других сотрудников и кражи токена с правами на развертывание контейнеров.
29 октября злоумышленники развернули контейнер и запустили скрипт, получив доступ к внутреннему сервису подписи транзакций и организовав перевод средств в обход штатной системы вывода.
Атакующие злоупотребили механизмом Ethereum EIP-7702, отправив 50 транзакций для настройки вредоносных делегированных разрешений, что позволило смарт-контракту продолжать вывод активов после приостановки операций биржей.
Расхождения в источниках
Разные источники указывают на различные суммы ущерба: Binance оценивает его в 6,34 млрд долларов, The Hacker News — в 6,43 млрд, TRM Labs — в ~6,36 млрд, Chainalysis — в ~6,4 млрд, а ФБР называет сумму более 6 млрд.
Загрузка комментариев…