До взлома Binance на 6,3 млрд долларов, как именно северокорейские хакеры оттачивали свои сценарии фальшивых вакансий в ходе десятков атак?

Автор: Chainalysis

Перевод: TechFlow

Вступление TechFlow: Как крупнейшее в истории криптовалюты событие с точки зрения потерь от взлома, инцидент с кражей $6,4 млрд у Binance не стал результатом единственной уязвимости смарт-контракта или критического zero-day уязвимости системы. Это была кульминация многолетней работы северокорейской государственной хакерской группы по проникновению через социальную инженерию по отношению к персоналу. От массовых фишинговых ссылок на корпоративных социальных сетях в ранние годы до индивидуальных «приманок с высокой зарплатой и каскадных собеседований», нацеленных на разработчиков ключевых протоколов, северокорейские хакеры превратили якобы легитимные процессы найма в троянские кони, бьющие точно во внутреннюю сеть.

В деле Binance атакующие, выдавая себя за штатных рекрутеров крупных агентств, прошли этап многоступенчатого имитационного технического скрининга и, предоставив жертвам тестовое задание с вредоносным кодом, закрепились на рабочих станциях потерпевших. Затем, используя локальные активные учетные данные и внутренние инструменты совместной работы, они осуществили фатальное горизонтальное перемещение в ядро бизнес-структуры биржи. Этот системный компрометационный инцидент ознаменовал отказ традиционной статической защиты сетевых периметров. Криптопроектам и командам ИБ необходимо вывести аудит поведения конечных точек, постоянные симуляции действий красной команды и мониторинг аномалий движения средств в режиме реального времени в цепочке блоков на абсолютный приоритет.

Резюме

Binance раскрыла, что мошенническая схема с поддельными рабочими местами из Северной Кореи стоит за кражей $60 млрд криптовалюты: Злоумышленники зафиксировали внимание сотрудника Binance, используя вымышленные вакансии и серию фальшивых собеседований, превратив стандартный процесс найма в лазейку для крупнейшей в истории криптоиндустрии кражи средств.

Небольшие атаки помогли северокорейским хакерам постоянно оттачивать свои тактики: За последние 18 месяцев специалисты Chainalysis подтвердили, что убытки на сумму свыше $14,3 млн стали результатом подобных мошеннических схем с поддельными собеседованиями, связанных с Северной Кореей. Исследования показывают, что эти ранние инциденты позволили северокорейским группировкам отрабатывать методы атак на менее значимых целях, после чего использовать те же схемы против объектов более высокой ценности.

Данная атака — лишь малая часть масштабной незаконной экосистемы нелегального трудоустройства Северной Кореи: Схема с фейковыми собеседованиями является лишь одним из компонентов сверхприбыльной сети киберпреступности КНДР, куда входят также фиктивные вакансии в сфере IT-аутсорсинга с использованием украденных личностей и блокированные цепи для отмывания средств. Chainalysis продолжает отслеживать эволюцию этих тактик и лежащую в их основе криптографическую инфраструктуру.

Утрата до $6,4 млрд средств, совершенная хакерами из Северной Кореи на платформе Binance, началась с проверенной временем тактики, которой уже давно владеют северокорейские оперативники: мошенничества при поиске работы.

Аналитики Chainalysis тщательно отслеживают данную стратегию на протяжении многих лет. Методология варьируется: если в инциденте с Binance северокорейские хакеры заманивали сотрудников на фиктивные должности для последующей установки вредоносного ПО, то в ряде других случаев преступники напрямую выдают себя за самих кандидатов. Такие лица либо получают высокие зарплаты в пользу госказны, либо получают доступ ко внутренним системам компаний, либо реализуют оба сценария одновременно.

Каждое происшествие безопасности оставляет цифровые следы в блокчейне. За последние 18 месяцев специалисты Chainalysis подтвердили причинение ущерба на сумму более $14,3 млн в результате аналогичных связанных с КНДР схем с поддельными собеседованиями и распространением вредоносного ПО. Объектами атак становились самые разные пользователи: от частных лиц с криптовалютой и владельцев отдельных кошельков до институциональных игроков, криптопротоколов и децентрализованных автономных организаций (DAO). Взлом Binance стал лишь очередным эпизодом в этой серии точечных атак.

«Мы зафиксировали десятки случаев краж средств с кошельков пользователей, инициированных приглашениями на собеседования», — отмечает Том Маклафлин (Tom McLouth), старший аналитик разведданных Chainalysis. Несмотря на то, что суммы потерь в ранних инцидентах составляли от десятков тысяч до нескольких миллионов долларов, гораздо более важным фактором стало накопление атакующими боевого опыта.

По словам Маклафлина, в ходе множественных инцидентов северокорейская группировка «постоянно корректирует и совершенствует свою тактическую методологию», оттачивая векторы атак и постепенно наращивая компетенции для целенаправленного нападения на объекты более высокой ценности, что и привело к реализации самого крупного финансового ограбления в истории индустрии.

В свете отраслевого контекста кража на Binance не стала изолированным случайным событием, а явилась закономерным итогом длительной подготовки и боевой обкатки, растянутой на месяцы и даже годы.

Как поддельные собеседования обеспечили хакерам доступ к системе Binance

Во вторник компания Binance опубликовала предварительные результаты расследования многокомпонентной атаки северокорейских хакеров на её платформу.

Инцидент стартовал в сентябре, когда одному из инженеров Binance поступило приглашение на собеседование. Биржа раскрыла детали того, как преступники неделями формировали доверие с сотрудником: на начальном этапе они сделали упреждающий контакт через легальные платформы рекрутинга, предложив кандидату несуществующую позицию.

Пройдя два этапа интервью, организованного вымышленной организацией, инженер Binance должен был загрузить тестовое задание по кодированию, содержавшее скрытый вредоносный код, что позволило злоумышленникам закрепиться на устройстве жертвы. Затем хакеры внедрили вредоносное ПО и, опираясь на полученный доступ сотрудника к внутренним ИИ-инструментам, продолжили глубокую горизонтальную экспансию в ядро внутренней инфраструктуры Binance.

Несмотря на беспрецедентный масштаб произошедшего инцидента с защитой данных, применяемые методы не новы. Как отметил в недавнем интервью Алек Зебрик (Alec Zebrick), старший директор направления глобальных услуг компании Chainalysis в беседе, северокорейские группировки регулярно применяют тактику, которую сами называют «контагиозные собеседования» (Contagious Interviews), фокусируясь специально на сотрудниках с высокими уровнями привилегированного доступа.

Внедрение во внутренние корпоративные контуры осуществляется путем компрометации паролей и прав целевых сотрудников, что превращает инженерный состав и руководителей ключевых подразделений, работающих с чувствительной критической инфраструктурой, в исключительно выгодные мишени с точки зрения потенциальной прибыли.

Взлом Binance наглядно показал, как сценарии с поддельными вакансиями могут служить входной воронкой для обрушения оборонительных рубежей крупных корпораций. Благодаря совместной работе с партнерами по сектору мы могли наблюдать поэтапную отработку данной стратегии злоумышленниками.

После ряда инцидентов с вредоносными собеседованиями аналитика выявила множество случаев прямой кражи закрытых ключей криптокошельков потерпевших непосредственно из облачных хранилищ. Ряд пострадавших прямо заявил, что никогда не сохранял мнемонические фразы на свои инфицированные локальные машины.

Подобные улики свидетельствуют о том, что контроль преступников давно вышел за рамки локальных файловых систем и, скорее всего, реализуется через скомпрометированные облачные аккаунты или активные браузерные сессии (Browser Sessions), что обеспечивает неконтролируемое расширение прав доступа.

Данное криминалистическое заключение полностью коррелирует с исследовательским отчетом по кибербезопасности компании Microsoft: северокорейское вредоносное ПО производит тотальный перебор в целью поиска мнемонических фраз криптокошельков и остаточных данных из хранилищ паролей на скомпрометированных машинах.

Учетные данные, добытые на начальном этапе операции, способны мгновенно открывать доступ к множеству связанных учетных записей, а зона поражения выходит далеко за пределы первоначально зараженного терминала. Именно этот фундаментальный сценарий в инциденте с Binance — использование поддельных процессов найма для получения первоначальной точки входа — в итоге позволил хакерам беспрепятственно проникнуть в архитектуру ключевых бизнес-процессов платформы.

Как северокорейское вредоносное ПО внедряется и остается незаметным в целевой системе

Инцидент с Binance служит лишь ярким примером масштабной сверхприбыльной незаконной экосистемы нелегального трудоустройства Северной Кореи.

Группировки из КНДР активно используют арсенал техник социальной инженерии, который включает не только разнообразные формы мошенничества с вакансиями, но и масштабные кампании по инфильтрации в легальные предприятия через подмену идентичности IT-персонала.

Аналитики Chainalysis продолжают отслеживать появление новых векторов развития и внедрения аналогичных техник. Одной из формирующейся угрозы является использование публичных узлов публичных блокчейнов для скрытого хранения команд управления вредоносным кодом; эту тактику эксперты классифицируют как «Blockchain Dead Drops» (BDD).

Согласно нашему тематическому исследовательскому отчету, объем подобных атак, использующих блокчейн для скрытой коммуникации, за прошедший год увеличился в пять раз. Такой взрывной рост обусловлен преимущественно усилиями государственных хакерских группировок, а также, вероятно, стимулируется развитием открытых больших языковых моделей.

Анализ демонстрирует, что северокорейская группировка еще в начале 2025 года начала применять технологию под общим наименованием «Etherhiding» с целью создания надежного связующего канала между ПК жертв, зараженных в рамках их фейковых интервью-кампаний, и инфраструктурой Command-and-Control (C2) их вредоносного ПО.

Выбор злоумышленниками транзакций в публичном блокчейне продиктован свойствами неизменности данных и цензуры-стойкости публичных реестров. В отличие от традиционных центрированных серверов, подвергающихся немедленным конфискациям по запросу спецслужб, блокчейн предоставляет более устойчивую и живучую базу для развертывания C2-ретрансляторов.

Специалисты по анализу блокчейна от Chainalysis раскрыли технологию высокой жизнестойкости северокорейской группировки: распределение каналов управления C2 между двумя разными публичными сетями — TRON и Aptos — с целью добавления резервного канала (redundancy), направляющего инфицированные узлы конечного пользователя на третью сеть BSC.

Хакеры записывают специальные маркеры в блокчейны TRON и Aptos, оба из которых ведут на определенную транзакцию в сети BSC. При блокировке запроса к узлам TRON система автоматически и плавно переключается на сеть Aptos в качестве альтернативного резервного канала. Независимо от пройденного маршрута, каждое скомпрометированное устройство в итоге безошибочно достигает целевого адреса для доставки полезной нагрузки (Payload).

В последнее время северокорейские группировки разработали новую скрытую технику под названием «Null Receiver» («Нулевой получатель»). Злоумышленники напрямую кодируют управляющие пакеты, предназначенные ранее для C2-коммуникации, в специально сформированный адрес для сожжения токенов (burn address) в сети.

Данный адрес никем фактически не контролируется и не применяется для хранения цифровых активов. Тем не менее, скомпрометированные узлы, считавшие эту строку адреса, способны мгновенно подвергнуть её обратной декодировке в виде исполняемых команд, бесшумно выполняя ретрансляцию управляющих сигналов.

Рис.: Схемы on-chain архитектуры C2-коммуникации северокорейских хакеров, хранящей закодированные команды и вредоносный payload в addresses burn сетей TRON и BSC

Раскрытие сверхприбыльной незаконной экосистемы нелегального трудоустройства Северной Кореи

Параллельно с мошенничеством с фейковыми вакансиями в арсенале КНДР действует масштабная программа по внедрению IT-специалистов. В рамках таких схем сотрудники из Северной Кореи маскируются под законных кандидатов, устраиваясь на работу и внедряясь в крупные международные корпорации.

Получая столь щедрые вознаграждения, они остаются в тени, отыскивая уязвимости в защищенных системах, параллельно генерируя стабильные потоки жесткой валюты в государственную казну.

Согласно официальным оценкам ООН, экосистема удаленных IT-специалистов из КНДР ежегодно генерирует для данного режима доход свыше $600 млн. Эта масштабная теневая трудовая армия неразрывно связана с криптографической индустрией.

Во множестве случаев такие IT-работники целенаправленно интегрируются в проекты Web3 и крипто-сектор; параллельно они повсеместно применяют криптовалюты для отмывания средств с целью сокрытия незаконных финансовых потоков. Ранее мы детально публиковали материалы о сети отмывания денег, связанной с гражданами РФ и КНДР и попавшей под санкции Минфина США, которая выступала основным маршрутом финансирования и обналичивания доходов от управляемой Пхеньяном системы IT-аутсорсинга.

Рис.: Схема отмывания средств, включающая выплаты компании-жертвы северокорейским IT-сотрудникам с последующей агрегацией и выводом средств через фирмы-прокладки и российских посредников

Аналитики Chainalysis пристально отслеживают все криптографические адреса в санкционных базах данных по мошенничеству с IT-кадрами из Северной Кореи и интегрируют данные из источников открытого сетевого интеллекта (OSINT) для противодействия данной угрозе.

Северокорейские IT-спецы, как правило, базируются на иностранных территориях, используют VPN для сокрытия реального сетевого положения и, опираясь на скомпрометированные удостоверения личности, претендуют на удаленные должности в международных компаниях. После успешного приема на работу такие сотрудники, как правило, прямо требуют выплаты заработной платы в стейблкоинах.

Ранее мы уже доказали наличие высокохарактерных ончейн-паттернов, включая фиксацию в отдельных кейсах регулярного поступления на кошельки фиксированных сумм ежемесячной зарплаты типичными инструментами on-chain мониторинга.

Рис.: On-chain история транзакций, фиксирующая регулярные поступления около $5000 в месяц на кошельки северокорейских IT-специалистов

Получив выплату, северокорейские IT-сотрудники незамедлительно начинают слоистое перенаправление криптоактивов через сети лже-операторов, такие как упомянутая ранее российско-корейская отмывающая сеть, внесенная в санкционные списки.

Как Chainalysis отслеживает движение средств в блокчейне

Масштабный инцидент безопасности на Binance во всей полноте продемонстрировал непрерывную эволюцию, тестирование и совершенствование северокорейскими группировками их многокомпонентного киберкриминального арсенала.

Одна и та же преступная группировка способна задействовать рекрутинговые платформы для социального проникновения и компрометации корпоративных систем, направлять агентуры для интеграции в легальный бизнес и виртуозно использовать цифровые активы для скрытого вывода похищенного in on-chain environment.

В условиях постоянной модернизации тактик атаки корпорации и службы ИБ ни в коем случае не должны зацикливаться на традиционной защите сетевых периметров. Необходимо сместить акцент мониторинга на лежащие в основе финансовый трафик и криптографическую инфраструктуру, поддерживающую межгосударственные преступные операции.

Компания Chainalysis обеспечивает круглосуточный строгий контроль за тем, как северокорейские оперативники используют криптоиндустрию для генерации прибыли, консолидации и вывода похищенных средств, а также их последующего отмывания.

Блокчейн-данные выступают ключевым элементом в данном противостоянии. При интеграции on-chain аналитики с традиционными средствами сетевой защиты и Threat Intelligence (анализом угроз) команды информационной безопасности и правоохранительные органы получают возможность точно идентифицировать и оперативно замораживать похищенные активы.

Подобный комплексный аналитический подход позволяет не только реконструировать полную картину постоянно расширяющейся ончейн-финансовой сети КНДР, но и отслеживать ее закупочные и платежные цепочки, формируя прочную криминалистическую доказательную базу для международных санкционных разбирательств и скоординированных правоохранительных акций.

Расследование инцидента с Binance ведется в полном объеме, и прогнозируется, что похищенные активы будут продолжать дробиться и перемещаться в блокчейне в ближайшие дни. Специалисты Chainalysis прилагают максимум усилий для синхронизации расследования с Binance и всей криптоиндустрией, блокируя следующие этапы отмывания и минимизируя потенциальные вторичные риски.

Ответы на часто задаваемые вопросы (FAQ)

Каким образом хакеры из Северной Кореи вывели до $6,4 млрд с Binance?

Операция стартовала с размещения фальшивой вакансии, ориентированной на персонал Binance. Выдав себя за представителей вымышленной организации, злоумышленники завязали доверительный контакт на серии собеседований, а затем направили кандидату тестовое задание по программированию, содержащее вредоносный код.

После скачивания и исполнения кода тестового задания машина сотрудника была инфицирована, что предоставило преступникам первоначальную точку входа в инфраструктуру платформы. После этого хакеры внедрили вредоносное ПО и использовали полученный доступ к внутренним ИИ-инструментам для продвижения вглубь критически важной бизнес-архитектуры биржи.

Что представляет собой схема мошеннических собеседований из Северной Кореи?

Мошеннические схемы фейковых собеседований, применяемые северокорейскими группировками, представляют собой методику социальной инженерии, при которой злоумышленники используют искусственно созданный процесс найма для компрометации персональных компьютеров кандидатов с последующим получением доступа к закрытым корпоративным системам или кражей криптовалютных кошельков.

Преступники зачастую принимают роли ведущих рекрутеров или HR-менеджеров, проводят внешне убедительные интервью, а затем доставляют вредоносные загрузки через тестовые задания или иные архивы. Специалисты Chainalysis классифицируют подобные кампании общим термином «Contagious Interviews» («контагиозные собеседования»).

Применяли ли северокорейские хакеры методы фейковых собеседований ранее в атаках на криптоиндустрию?

Да. За последние 18 месяцев аналитики Chainalysis подтвердили ущерб на сумму более $14,3 млн, спровоцированный аналогичными схемами с фейковыми собеседованиями и распространением вредоносного ПО, связанными с КНДР.

Среди потерпевших оказались физические лица, инвесторы-фанаты, институциональные фонды, разработчики протоколов и DAO. Данные ранние инциденты послужили полигоном для северокорейских группировок, позволив им детально протестировать социальные векторы атак перед переходом к более крупным финансовым целям.

Каким образом поддельные интервью способствуют проникновению хакеров из КНДР в корпоративные структуры?

Сценарии с поддельными вакансиями обеспечивают злоумышленникам прямой физический и цифровой доступ к рабочим станциям сотрудников, их логинам и внутренним сетевым ресурсам. Персонал с расширенными административными правами обладает наибольшей ценностью для хакеров: взлом их аккаунтов открывает беспрепятственный путь для горизонтального перемещения во внутренние контуры корпоративной сети.

Что представляет собой схема мошенничества с незаконными IT-работниками из КНДР?

Схема подразумевает, что специалисты из Северной Кореи маскируются под легальных соискателей, оперируя поддельными паспортами и сложными схемами сетевой анонимизации для получения дистанционных позиций в международных компаниях.

Высвобожденные средства аккумулируются в государственной казне, а сам персонал остается в тени, отыскивая лазейки для доступа к закрытым системам. По оценкам Организации Объединенных Наций, данная теневая трудовая индустрия ежегодно приносит Пхеньяну прибыль свыше $600 млн.

Каким образом Северная Корея задействует криптовалюты в своих кибероперациях?

Связанные с КНДР группировки применяют криптоактивы не только для получения выплат от подставных работников, но и для сокрытия и отмывания миллионов, изъятых в ходе хакерских операций. Внешние подрядчики, как правило, настаивают на выплатах в стейблкоинах, которые незамедлительно перенаправляются через цепочки посредников.

Параллельно хакеры эффективно применяют публичные сети блокчейна для скрытого размещения управляющих команд вредоносного ПО, формируя неуязвимую к цензуре инфраструктуру Command-and-Control (C2).

Какова роль Chainalysis в отслеживании киберпреступлений северокорейских хакеров?

Специалисты Chainalysis круглые сутки анализируют движения средств в блокчейне, точно идентифицируя алгоритмы, применяемые северокорейскими группировками и их подставными структурами для сбора, маршрутизации, консолидации и легализации преступных доходов.

Эта аналитическая база позволяет следственным органам и отраслевым игрокам отслеживать судьбу похищенных цифровых активов, выявлять цепочки отмывщиков, формировать доказательную базу для санкционных проверок, а в критических точках совместно с партнерами добиваться полного замораживания скомпрометированных средств.