DNS-атака на Flap и кража $6,3 млрд у Binance: как индустрия переживает взломы
31 октября хакеры захватили управление адресом flap.sh, а днем ранее Binance сообщила о краже около $6,36 млрд. Эксперты оценивают действия обеих компаний как правильные.
Что произошло с Flap
Flap сообщила в X, что ее сайт подвергся захвату DNS, и трафик перенаправляется на неавторизованный ресурс. Команда призвала пользователей не заходить на сайт, не подключать кошельки и не подписывать транзакции: хакеры подменили «адресную книгу» интернета, и пользователь попадал на подделку по привычному адресу.
Первым тревогу поднял участник криптосообщества под ником Liquidated (Dev Arc). Он заявил, что flap.sh мог быть скомпрометирован, и опубликовал адрес, который, по его словам, похищал BNB пользователей через поддельную страницу подключения кошелька. Другой пользователь обратил внимание, что сайт использовал только что выпущенный TLS-сертификат, а результаты DNS-запросов расходились с данными резолверов Google и Cloudflare.
Основатель Flap рассказал, что риску подверглись лишь те, кто зашел на подменный сайт и подключил кошелек или подписал разрешение в течение нескольких минут до публикации предупреждения. Он подчеркнул, что платформа не хранит приватные ключи и сид-фразы пользователей. Сумма ущерба пока не раскрывается. По данным Blockaid, 31 октября как минимум 12 криптосайтов, включая Kintsu и StonkFun, подверглись DNS-захвату и атакам на фронтенд, связанным с инструментом StepDrainer.
Взлом Binance
Атака на Flap произошла на следующий день после крупнейшего взлома в истории криптоиндустрии. Злоумышленники вывели около $6,36 млрд из кошельков Binance в 10 блокчейнах примерно за 20 минут. Изначально биржа указывала на скомпрометированный ноутбук DevOps-инженера, через который атакующий получил доступ к служебному контейнеру.
По данным Binance, ряд признаков атаки совпадает с прежними ограблениями, связанными с Северной Кореей, включая взломы Bybit и KelpDAO. Около $3 млрд удалось заморозить, из них более $2,3 млрд силами эмитентов стейблкоинов Tether и Circle. Похищенная сумма более чем в шесть раз превышает страховой фонд биржи SAFU объемом $1 млрд. Binance пообещала покрыть все потери и начала возвращать деньги клиентам.
Уязвимости в PHP
Неделей раньше KZ-CERT предупредил казахстанских владельцев сайтов о двух критических уязвимостях в PHP под общим названием PHP2Shell, позволяющих удаленно выполнять код без аутентификации. Обе получили 9,2 балла из 10 по шкале CVSS, а часть ошибок присутствует в коде с 2012 года. Под угрозой WordPress, Laravel, 1С-Битрикс, Magento, Drupal, Joomla и другие платформы.
Одну из уязвимостей, которая могла существовать около 20 лет, обнаружили с помощью модели OpenAI. По оценке Wiz, один исследователь за неделю проделал работу, на которую команде мирового уровня понадобились бы месяцы.
Оценка эксперта
Group CTO Freedom Holding Corp. Ренат Туканов в июльской колонке для «Курсива» описал киберпреступность как индустрию с этажами. Нижний этаж работает по экономике: сравнивает цену входа с добычей и берет самую дешевую цель. Верхний — группировки, связываемые с государствами: Lazarus, APT29, Volt Typhoon. «Против верхнего этажа гарантий не существует ни за какие деньги. Против нижнего работает простое правило: стать дороже, чем сосед», — пишет он.
«Цифровой мир продолжит становиться сложнее, и инциденты будут случаться чаще, а не реже. Выигрывать будут не те, кого никогда не взламывают. Таких, скорее всего, не останется. Выигрывать будут те, чей продукт переживает атаку так, что клиент не уходит», — считает Туканов.
По его словам, кибербезопасность обещает предотвращение, но в мире с бесконечной поверхностью атаки предотвратить все невозможно: защитнику нужно закрыть каждую дверь, атакующему достаточно одной. Киберустойчивость исходит из обратного допущения — отказ произойдет, вопрос в том, переживет ли его продукт. Этот принцип assume breach лежит в основе архитектуры Zero Trust, описанной NIST и используемой техногигантами от Microsoft до Google.