Security Alliance опубликовала детальный анализ компрометации систем Binance, которая привела к хищению активов на $6.3 млрд. Согласно исследованию, злоумышленники проникли в инфраструктуру биржи примерно за восемь недель до самого взлома, то есть имели длительный период для разведки, эскалации привилегий и подготовки к финальной операции.
Это классическая модель многоэтапной атаки на высокозащищённые цели: противник обычно не спешит, а использует полученный доступ для понимания архитектуры системы, поиска критических сервисов, отключения алертов и логирования. За восемь недель такой дооры можно полностью картировать сеть крупной биржи, выявить узкие места в её защите и заранее подготовить инструменты для кражи.
Security Alliance проанализировала сходные паттерны атак в других крупных инцидентах криптоиндустрии, включая компрометацию биржи Bitget, от которой в сентябре 2023 года украли $388 млн. Это указывает на то, что мы имеем дело не с одноразовой операцией, а с цепочкой взломов, за которыми стоят хорошо организованные и техничные группы, располагающие временем и ресурсами для планомерной разведки. Схема признака включает в себя долгую фазу скрытого присутствия, что делает её особенно опасной для крупных платформ.
Для индустрии криптовалютных платформ это исследование подчёркивает критическую слабость: даже многоуровневая защита может быть преодолена, если начальный доступ получен через социальную инженерию, компрометацию сотрудника или уязвимость в периметре. Восьминедельный период скрытого присутствия означает, что традиционные системы контроля не сработали — не сработали ни поведенческие аналитики, ни аудиты логов, ни фиксация аномальной активности.
В российском контексте эта информация актуальна для всех крупных финтех-платформ и криптообменников, работающих под юрисдикцией РФ или обслуживающих русскоязычную аудиторию. Риск долгосрочного несанкционированного доступа требует не только инвестиций в периметровую защиту, но и в системы мониторинга внутрисетевой активности, включение threat-hunting в регулярные операции, ротацию привилегированных аккаунтов и обучение сотрудников фишингу. Платформы, обрабатывающие крупные объёмы активов, должны рассматривать сценарий компрометации как вероятный и проектировать архитектуру так, чтобы долгое скрытое присутствие не привело к критической потере.
Паттерн, выявленный в Binance и Bitget, — это фактически трафарет, по которому строятся современные APT (advanced persistent threat) против криптоплатформ. Для зарубежных бирж, занимающихся российской аудиторией, это означает необходимость пересмотра стека безопасности и, возможно, привлечения независимых аудиторов с опытом в защите критической инфраструктуры.
Алексей Мартыненко
Главный редактор SPV News
То, что хакеры могут сидеть в системе месяца полтора незамеченными и только потом совершить взлом, — это главный вывод. Регулярные проверки безопасности и сертификаты вроде SOC2 дают ложное чувство защищённости, если система не мониторит внутреннюю активность в реальном времени. Для криптоплатформ это означает, что нужна не сумма инструментов, а постоянная охота на компрометацию, как в государственных структурах.