Резюме
- Binance сообщила, что за хищением 6 миллиардов долларов стояла схема с фальшивым трудоустройством из КНДР: злоумышленники использовали вымышленную вакансию и серию поддельных собеседований для атаки на сотрудника Binance, превратив казалось бы рутинный процесс найма в точку входа для крупнейшей кражи криптовалюты в истории.
- Более мелкие атаки могли помочь хакерам из КНДР отточить свою тактику: компания Chainalysis связала с аналогичными схемами фальшивых собеседований, связанными с КНДР, убытки на сумму более 14,3 миллиона долларов за последние 18 месяцев. Наш анализ показывает, что эти более ранние взломы позволили северокорейским акторам усовершенствовать свои методы на мелких целях перед тем, как применять их против более ценных объектов.
- Атака является частью более широкой экосистемы незаконного трудоустройства КНДР: Схемы с фальшивыми собеседованиями — это лишь один из компонентов прибыльной экосистемы Северной Кореи, которая включает мошеннические схемы IT-трудоустройства и отмывание криптовалюты. Chainalysis отслеживает эту эволюционирующую тактику и лежащую в ее основе криптовалютную инфраструктуру.
Кража 6,4 миллиарда долларов у Binance северокорейскими акторами началась с до боли знакомой тактики хакерских групп КНДР: мошенничества при трудоустройстве.
Следователи Chainalysis следят за этой стратегией на протяжении многих лет. Она принимает множество форм; например, в случае с Binance работники из КНДР заманили своих жертв на подачу заявки на фальшивую вакансию, а вместо этого заразили их компьютер вредоносным ПО. Но в других случаях сами нападающие выступают в роли соискателей, либо работая под вымышленными предлогами для генерации средств для режима, либо заражая корпоративные системы, либо совмещая то и другое.
Каждый такой случай может оставлять след в блокчейне. За последние 18 месяцев компания Chainalysis связала убытки на сумму более 14,3 миллиона долларов с аналогичными схемами фальшивых собеседований и вредоносного ПО, связанными с КНДР. Эти схемы охватывали широкий спектр целей: от индивидуальных держателей криптовалюты и частных кошельков до организаций, протоколов и DAO. Binance теперь стала последним звеном в этой цепочке случаев.
«Мы выявили десятки других случаев компрометации в ходе собеседований при приеме на работу, которые привели к взлому кошельков» на индивидуальном уровне, — говорит Том МакЛаут (Tom McLouth), наш старший аналитик по разведке. Хотя убытки в этих более ранних инцидентах варьировались от десятков тысяч до миллионов, большее значение может иметь то, чему они научили злоумышленников.
В ходе последовательных взломов акторы из КНДР «совершенствовали и развивали свою методологию», пояснил МакЛаут, оттачивая подход и потенциально наращивая возможности, необходимые для атак на все более ценных жертв. «Именно так в итоге совершается крупнейшая кража в истории».
В этом контексте атака на Binance может представлять собой кульминацию месяцев или даже лет подготовки и тренировок.
Как фальшивое собеседование открыло дверь в Binance
Во вторник Binance опубликовала свои первичные выводы о многоэтапной атаке КНДР на биржу.
Атака началась в сентябре с того, что инженер получил приглашение на собеседование. В Binance рассказали, как злоумышленники потратили недели на завоевание доверия у сотрудника Binance, сначала обратившись к нему через легитимную платформу по поиску работы с предложением вакансии. После двух раундов собеседований с фиктивной компанией у сотрудника Binance попросили скачать тестовое задание для собеседования, содержавшее вредоносный код. Это дало злоумышленникам первоцотрудников с привилегированным доступомную точку опоры. Оттуда они развернули вредоносное ПО и использовали доступ к внутреннему инструменту на базе ИИ для продвижения вглубь системы Binance.
Хотя масштаб взлома был беспрецедентным, этот метод проникновения — нет. Как отметил на этой неделе Алек Зебрик (Alec Zebrick), старший менеджер по глобальным услугам в Chainalysis, акторы из КНДР неоднократно использовали то, что он называет «заразительными собеседованиями», для атак на сотрудников с привилегированным доступом, эксплуатируя их учетные данные и разрешения для инфильтрации во внутренние системы организаций. Это делает сотрудников с доступом к чувствительной инфраструктуре особенно ценными целями для таких операций.
Вредоносное ПО из КНДР внедряется в целевые системы
Атака на Binance показывает, как фальшивое собеседование может стать точкой входа в крупную организацию. Работая с нашими партнерами, мы видели, как злоумышленники развивали этот подход.
Мы наблюдали множество случаев, когда у жертв после вредоносного собеседования были украдены приватные ключи от кошельков из облачного хранилища. В некоторых случаях жертвы сообщали, что исходные фразы (seed-фразы) никогда не загружались на зараженное устройство, что позволяет предположить, что доступ злоумышленников выходил за рамки локальных файлов, возможно, через скомпрометированные учетные данные облака или сеансы браузера.
Это согласуется с отчетом компании Microsoft, согласно которому вредоносное ПО из КНДР ищет в зараженных системах криптовалютные seed-фразы и артефакты менеджеров паролей. Учетные данные, которые злоумышленники собирают на ранней стадии операции, могут открыть доступ к связанным аккаунтам далеко за пределами зараженного устройства. В атаке на Binance та же базовая тактика (использование фальшивого собеседования для получения первоначальной точки опоры) в конечном итоге позволила злоумышленникам продвинуться глубже в инфраструктуру биржи.
Внутри прибыльной экосистемы незаконного трудоустройства КНДР
Атака на Binance — один из примеров высокоприбыльной экосистемы незаконного трудоустройства КНДР.
КНДР использует целый ряд тактик социальной инженерии, включая другие схемы фальшивого рекрутинга, а также мошенническое IT-трудоустройство для проникновения в компании.
Chainalysis отслеживает ряд других способов, с помощью которых акторы из КНДР развивают и применяют эти методы. Одной из новых угроз является использование публичных блокчейнов для сокрытия инструкций вредоносного ПО — тактику, которую мы называем блокчейн-тайниками (Blockchain Dead Drops, BDD). Наше исследование выявило пятикратный рост числа таких кибератак с использованием блокчейна за последний год, спровоцированный государственными акторами и потенциальным использованием языковых моделей с открытым весом.
Наше исследование показывает, что северокорейские акторы начали использовать эту тактику, известную в начале 2025 года под разными названиями, такими как «Etherhiding», для поддержания связи между компьютерами жертв, скомпрометированными в ходе их схем с фальшивыми собеседованиями, и инфраструктурой управления и контроля (C2) вредоносного ПО. Они делают это потому, что транзакции в блокчейне являются более надежными местами для хранения C2, чем централизованный сервер, который правоохранительные органы могут изъять.
Одна из техник КНДР, обнаруженная нашим анализом блокчейна, добавляет избыточность, распределяя C2 по двум блокчейнам (TRON и Aptos) для перенаправления зараженных устройств на третий — BSC. Злоумышленник внедряет указатели на TRON и Aptos, которые ссылаются на транзакцию в BSC. Если зараженная машина не может получить то, что ей нужно, путем запроса к TRON, она обращается к Aptos в качестве резервного варианта. В любом случае она оказывается там, где нужно — в BSC, где хранится полезная нагрузка.
IT-работники из КНДР мошенническим путем внедряются в компании
Другой стороной схемы мошенничества при трудоустройстве со стороны КНДР является крупномасштабная схема с IT-специалистами. В ее рамках северокорейские оперативники выдают себя за легитимных соискателей работы, чтобы устроиться в компании по всему миру, получая зарплату и потенциально получая доступ к чувствительным системам, одновременно генерируя доход для государства.
По оценкам Организации Объединенных Наций, экосистема ИТ-работников КНДР приносит режиму более $600 million годового дохода. Эта теневая рабочая сила часто напрямую связана с криптовалютами. Во многих случаях ИТ-работники пытались внедриться в криптовалютные компании. Но они также используют криптовалюту для отмывания своих незаконных доходов. В прошлом месяце мы описали сеть российских и северокорейских граждан, против которых США ввели санкции за их роль в схемах с ИТ-работниками, управляемых КНДР.
Chainalysis внимательно отслеживает включение криптовалютных адресов в санкционные списки, направленные против схем с ИТ-работниками КНДР, а также информацию из открытых источников об этой угрозе.
Сами ИТ-работники КНДР обычно отправляются за границу, где они используют различные методы маскировки, такие как VPN и украденные документы, удостоверяющие личность, чтобы получить работу в компаниях по всему миру. Устроившись на работу, эти работники часто запрашивают оплату в стейблкоинах.
Мы обнаружили такую ончейн-активность, включая случай, когда на кошельки поступали регулярные выплаты, указывающие на выплату заработной платы.
После выплаты заработной платы ИТ-работники КНДР переводят криптовалюту посредникам, таким как упомянутые выше граждане России и КНДР.
Как Chainalysis отслеживает финансовые потоки
Дело Binance иллюстрирует, как Северная Корея продолжает разрабатывать, тестировать и совершенствовать многоплановый сценарий киберпреступности.
Одни и те же субъекты могут использовать рекрутинговые платформы, компрометировать корпоративную инфраструктуру, внедряться в легитимный бизнес и использовать криптовалюту для перемещения полученных доходов. По мере эволюции их методов организации должны смотреть за рамки традиционных средств кибербезопасности и учитывать финансовую инфраструктуру, которая делает возможным проведение таких операций.
Chainalysis внимательно следит за тем, как субъекты из КНДР используют криптовалюту для получения дохода, перемещения и консолидации средств, а также отмывания незаконных доходов.
Аналитика блокчейна имеет решающее значение для этой работы. В сочетании с традиционными мерами кибербезопасности и данными об угрозах анализ блокчейна может помочь организациям и следователям идентифицировать и заморозить украденные средства, составить карту расширяющихся финансовых сетей КНДР, а также выявить схемы закупок и выплат, которые могут поддержать расследования и соблюдение санкций.
Расследование в отношении Binance продолжается, и мы ожидаем, продолжения перемещения украденных средств в ближайшие дни. Chainalysis стремится оказывать поддержку Binance и всей индустрии в целом, пока мы отслеживаем украденные средства, пресекаем дальнейшее отмывание денег и работаем над минимизацией дополнительных убытков.
Часто задаваемые вопросы
Как северокорейские хакеры украли 6,4 миллиарда долларов у Binance?
Атака началась с фальшивой вакансии, направленной на сотрудника Binance. Заслужив доверие в ходе нескольких раундов интервью с вымышленной компанией, злоумышленники прислали сотруднику вредоносное тестовое задание по программированию, которое заразило его компьютер и предоставило им первоначальную точку опоры в системах Binance. Затем они развертывали вредоносное ПО и использовали доступ к внутреннему инструменту ИИ для более глубокого проникновения в инфраструктуру биржи.
Что представляют собой схемы с фальшивыми интервью в КНДР?
Схемы с фальшивыми интервью в КНДР используют мошеннические процессы подбора персонала для компрометации компьютеров соискателей и получения доступа к конфиденциальным системам или криптовалютным кошелькам. Злоумышленники могут выдавать себя за рекрутеров или менеджеров по найму, проводить кажущиеся легитимными собеседования и использовать вредоносные задания по программированию или другие загрузки для распространения вредоносного ПО. Chainalysis называет эти операции «заразительными интервью».
Использовали ли северокорейские хакеры фальшивые интервью в других криптовалютных атаках?
Да. За последние 18 месяцев Chainalysis связала с аналогичными схемами КНДР с фальшивыми интервью и вредоносным ПО убытки на сумму более 14,3 миллиона долларов. Целями становились индивидуальные держатели криптовалюты, частные кошельки, организации, протоколы и DAO. Эти более ранние атаки могли помочь субъектам из КНДР усовершенствовать свои методы перед тем, как переходить к более крупным целям.
Как фальшивые собеседования при приеме на работу помогают хакерам из КНДР внедряться в организации?
Фальшивые собеседования могут предоставить злоумышленникам доступ к устройству сотрудника, учетным данным и разрешениям. Сотрудники с привилегированным доступом к конфиденциальной инфраструктуре являются особенно ценными целями, поскольку компрометация их учетных записей может открыть путь во внутренние системы организации.
Что такое схема нелегального найма ИТ-работников в КНДР?
Северокорейские агенты выдают себя за легитимных соискателей работы, часто используя украденные удостоверения личности и другие методы маскировки, чтобы получить удаленную работу в компаниях по всему миру. Они зарабатывают зарплату, которая приносит доход режиму, и могут получить доступ к конфиденциальным корпоративным системам. По оценкам Организации Объединенных Наций, эта экосистема приносит Северной Корее более 600 миллионов долларов ежегодно.
Как Северная Корея использует криптовалюту в своих киберпреступных операциях?
Субъекты, связанные с КНДР, используют криптовалюту как для получения доходов от незаконной занятости, так и для перемещения и отмывания средств от кибератак. ИТ-работники могут получать зарплату в стейблкоинах перед переводом средств посредникам. Хакеры также используют публичные блокчейны для сокрытия инструкций вредоносного ПО и поддержки инфраструктуры управления и контроля.
Как Chainalysis помогает отслеживать киберпреступность, связанную с КНДР?
Chainalysis анализирует активность в блокчейне, чтобы определить, как связанные с КНДР субъекты получают, перемещают, консолидируют и отмывают незаконные средства. Эта аналитика может помочь следователям и организациям отслеживать украденную криптовалюту, выявлять сети посредников, поддерживать расследования санкций и работать над замораживанием средств, где это возможно.
Этот веб-сайт содержит ссылки на сторонние сайты, которые не контролируются компанией Chainalysis, Inc. или ее аффилированными лицами (совместно именуемыми «Chainalysis»). Доступ к такой информации не означает ассоциации, одобрения, поддержки или рекомендации со стороны Chainalysis в отношении сайта или его операторов, и Chainalysis не несет ответственности за продукты, услуги или другой контент, размещенный на них.
Этот материал предназначен исключительно в информационных целях и не призван предоставлять юридические, налоговые, финансовые или инвестиционные консультации. Получатели должны проконсультироваться со своими собственными советниками, прежде чем принимать решения подобного рода. Chainalysis не несет никакой ответственности за любые принятые решения или любые другие действия или бездействие в связи с использованием Получателем этого материала.
Chainalysis не гарантирует и не подтверждает точность, полноту, своевременность, пригодность или действительность информации в этом отчете и не несет ответственности за любые претензии, связанные с ошибками, упущениями или другими неточностями в любой части такого материала.
