CSO Binance непреднамеренно предсказал тактику хакерской атаки на $6.3 миллиарда за несколько месяцев до нападения

Интервью с Джимми Су

В интервью в июле главный специалист по безопасности Binance Джимми Су объяснил, как поддельные оценки кода могут скомпрометировать устройства сотрудников — тактика, которая позже была использована в рекордном взломе биржи. За несколько месяцев до того, как Binance потерял $6.3 миллиарда в результате хакерской атаки, Су описал в интервью Cointelegraph, как поддельное собеседование на работу может дать злоумышленникам возможность проникнуть внутрь биржи. Это очень похоже на один из методов, который позже был использован против компании.

Поддельные собеседования и их последствия

Во время июльского интервью о реакции Binance на растущие угрозы безопасности Джимми Су отметил, что поддельные собеседования на работу — это «то, о чем мы очень беспокоимся внутри компании». Он объяснил, как злоумышленники могут адаптировать предложение о работе к конкретному сотруднику, прежде чем убедить его запустить вредоносный код в рамках технической оценки.

«Как только это будет выполнено, устройство скомпрометировано, и злоумышленники могут начать собирать учетные данные»,

— сказал Су, добавив, что эти данные могут быть использованы для дальнейшего проникновения в сеть.

Крупнейший взлом в истории

Подробное предупреждение Су о вредоносных оценках кода не было включено в июльское освещение Cointelegraph, но приобрело новое значение после крупнейшего взлома криптобиржи в истории. В сентябре инженер-программист Binance загрузил вредоносное задание по кодированию на свой рабочий компьютер во время поддельного собеседования. Эта компрометация стала частью многоступенчатой атаки, которая culminировала в краже в октябре, согласно предварительному расследованию Binance.

Ошибки в безопасности

Во время интервью с Cointelegraph Су также предвидел, почему инструменты безопасности могут пропустить такую ловушку. Техническая оценка может включать на вид законные шаги, такие как загрузка репозитория кода с GitHub.

«Каждый шаг на самом деле законен сам по себе. Поэтому многие антивирусные инструменты могут не обнаружить это и не пометить»,

— пояснил он. Расследование Binance впоследствии описало аналогичную ошибку обнаружения, заявив, что процесс настройки задания выполнил вредоносное ПО, которое уклонилось от его инструментов безопасности конечных точек с помощью обфускации и других методов уклонения.

Ответственность компании

Су подчеркнул, что ответственность Binance заключается в том, чтобы ограничить риск, когда сотрудники ищут внешние возможности на рабочих компьютерах.

«Конечно, сотрудники могут исследовать внешние возможности. Что нас беспокоит, так это то, что они делают это на корпоративном устройстве»,

— сказал он. Если сотрудник попался на поддельное собеседование, добавил он,

«ответственность лежит на нас, чтобы это обнаружить»

и

«остановить фактическое выполнение этого кода».

Изменения в подходах к найму

Связано: Хакеры из Северной Кореи создают мемкоины для отмывания средств из взлома Binance: Elliptic. Binance уже тестировала сотрудников на поддельных рекрутеров. Су сообщил, что его внутренняя красная команда проводила ежемесячные симуляции фишинга в течение трех-четырех лет, с последующим обучением для сотрудников, которые провалили тест.

«В начале уровень безопасности оставлял желать лучшего. Но после этого времени компания значительно улучшилась»,

— отметил он.

Новые требования к рекрутерам

Кевин Гибсон из рекрутинговой компании Proof of Search сказал Cointelegraph, что угроза также меняет то, как некоторые криптоработодатели оценивают потенциальных сотрудников, при этом клиенты все чаще хотят знать, встречались ли они с кандидатами лично.

«Некоторые из наших клиентов теперь прямо спрашивают нас, встречались ли мы с кандидатом лично»,

— сказал Гибсон, добавив, что кандидаты, встреченные лично третьим рекрутером, имеют преимущество. Сотрудники, как в случае с Binance, также могут стать мишенями.

«В криптоиндустрии сомнительное предложение о работе или 'быстрый звонок' могут стать первым шагом к многомиллионному удару»,

— отметил он.

Меры безопасности после атаки

Binance сообщила, что в этом году заблокировала 57 подозреваемых киберугроз, связанных с Северной Кореей, что составляет примерно одну атаку каждые пять дней. После октябрьской атаки Binance заявила, что ужесточила контроль за устройствами, восстановила затронутые системы кошельков и внутренние инструменты ИИ, усилила контроль доступа и аннулировала скомпрометированные учетные данные. Она также сообщила, что увеличивает инвестиции в защиту конечных точек и безопасность среды разработчиков, а также привлекает независимых экспертов по кибербезопасности для анализа инцидента. Некоторые технические детали и меры безопасности останутся конфиденциальными, добавили они.