Что произошло
3 ноября Binance опубликовала отчёт об инциденте 29 октября, когда у биржи похитили цифровые активы примерно на $6,34 млрд. ФБР приписало атаку северокорейской группировке TraderTraitor, известной также как Lazarus Group.
Атака началась в сентябре. С инженером, у которого в профиле был опыт работы в Binance, через легальную площадку поиска работы связался «руководитель проектов» несуществующей компании. После видеозвонка с «HR» и разговора с «CEO» в мессенджере инженер скачал из онлайн-репозитория тестовое задание. Код установил ранее неизвестный вредонос, который не заметил антивирус: он подменил утилиту pyenv на macOS и дал атакующим удалённое управление.
К 20 октября через этот компьютер и внутренний ИИ-инструмент атакующие скомпрометировали ещё двух сотрудников команды кошельков и получили их учётные данные. На 3 ноября заморожено или перехвачено около $2,85 млрд, а затронутые токен-активы на 31 октября восполнены на 98%.
Почему это важно
Главный урок здесь не про криптовалюту, а про найм. Атака прошла по сценарию, знакомому любому разработчику: рекрутер, два созвона, тестовое задание из репозитория. Такие кампании известны как Contagious Interview и Operation Dream Job: под видом вакансии кандидату присылают код, который нужно запустить у себя. Достаточно одного заражённого ноутбука с доступом к рабочим системам.
Для Узбекистана риск прямой. Многие разработчики работают на зарубежных заказчиков удалённо, ищут проекты на международных площадках и регулярно проходят собеседования с тестовыми заданиями. Часто это тот же ноутбук, на котором открыты репозитории и облачные консоли текущего работодателя. Заражённый специалист становится входом в компанию-заказчика, а такие истории бьют по доверию ко всему экспорту IT-услуг.
Второй вывод касается внутренних ИИ-инструментов: атакующие использовали такой инструмент, чтобы добраться до коллег жертвы. Чем шире доступ ассистентов к внутренним системам, тем строже нужно настраивать их права и журналировать действия.
Что это значит для бизнеса
- Запускайте тестовые задания от незнакомых компаний только в отдельной виртуальной машине или облачной песочнице.
- Разделите рабочий ноутбук и устройство для поиска работы и фриланса, без общих ключей и доступов.
- Проверьте права внутренних ИИ-ассистентов: доступ не шире, чем нужно для задачи, и журнал действий.
- Расскажите команде о схеме фейковых собеседований: короткий инструктаж дешевле одного инцидента.
