Хуурамч Homebrew ба кодын шалгалт: Binance-аас 6.3 тэрбум доллар хулгайлсан түүхэн халдлагын тайлан дэлгэгдлээ

Дэлхийн хамгийн том крипто бирж болох Binance саяхан гарсан 6.34 тэрбум ам.долларын рекорд тогтоосон дижитал хулгайнхаа албан ёсны мөрдөн шалгалтын анхан шатны тайланг нийтэллээ. Халдлагын цаана Хойд Солонгосын төрийн дэмжлэгтэй "TraderTraitor" (Lazarus Group / APT38) бүлэглэл байсныг олон улсын кибер шинжээчид болон тус компани баталсан байна.

Гэвч энэ хэргийн хамгийн цочирдом бөгөөд программ хангамжийн инженер бүрийн заавал анхаарах ёстой хэсэг нь халдагчид супер хамгаалалттай серверийн цоорхойг бус, хөгжүүлэгчдийн өдөр тутмын энгийн дадал зуршлыг ашиглан сүлжээнд нэвтэрсэн явдал юм.

Халдлага хэрхэн эхлэв: AI хэрэгсэл ба хуурамч Homebrew

Халдлага олон сарын турш бэлтгэгдсэн, нарийн шат дараалалтай ажиллагаа байжээ. Эхний сэжүүр зургаадугаар сард эхэлсэн байна.

Binance-ийн Wallet DevOps багийн нэгэн инженер интернэтээс сүүлийн үед трэнд болж буй AI туслах (coding assistant) хэрэгслийг суулгахаар хайлт хийжээ. Гэвч тэрээр хайлтын системийн занганд орж, хуурамч буюу өөрчилсөн (tampered) Homebrew суулгагч татаж авсан байна.

Хортой скрипт тун нарийн аргаар ажиллажээ:

Системийн /opt/homebrew/Cellar/pyenv/ доторх жинхэнэ pyenv хоёртын файлыг устгасан.
Түүний оронд халдагчдын хортой кодоор баяжуулсан 3,414 байтын хэмжээтэй хуурамч pyenv бинар файлыг сольж байршуулсан байна.
Энэ нь инженер команд бичих бүрд арын горимд халдагчийн C2 (Command & Control) сервертэй нууцаар холбогдож эхэлжээ.

Хэдийгээр Binance-ийн аюулгүй байдлын баг сэжигтэй үйлдлийг илрүүлж, төхөөрөмжийг сольж, хандалтын эрхүүдийг шинэчилсэн боловч халдагчид энэ хугацаанд хэтэвчний дэд бүтцийн багийн гишүүд, тэдний ажлын үүрэг, нэрсийг бүрэн зураглаж авч чадсан байв.

Хоёр дахь цохилт: "Ажилд урьж байна" ба кодын шалгалтын урхи

Хакерууд олж авсан мэдээллээ ашиглан есдүгээр сард хэтэвчний дэд бүтцийн өөр нэгэн инженер рүү хуурамч ажлын санал илгээжээ. Тэд ажлын байр зуучлалын албан ёсны сүлжээгээр дамжуулан "Төслийн захирал" дүрээр холбогдсон байна.

Инженертэй итгэлцэл үүсгэхийн тулд бодит хүний мэт сошиал хаяг ашиглан HR-ийн эхний шатны видео ярилцлага хийсэн бөгөөд дараа нь "Гүйцэтгэх захирал"-тай хийх хоёрдугаар шатны ярилцлагыг зохион байгуулжээ. Ярилцлагын төгсгөлд халдагчид инженерээс ур чадварыг нь шалгах жижиг даалгавар гүйцэтгэхийг хүсэж, нээлттэй кодын репозиторийн холбоос өгчээ.

Инженер уг шалгалтын кодын репозиторийг ажлын компьютер дээрээ татаж аван төслийг ажиллуулах (setup хийх) үед нуугдсан zero-day хортой код автоматаар ажиллаж, төхөөрөмжийн endpoint хамгаалалтыг тойрон гарсан байна.

Дотоод AI хэрэгслүүдийг ашигласан нь

Халдагчид зөвхөн нэг компьютер дээр зогссонгүй. Тэд Binance-ийн инженерүүдийн өдөр тутмын ажилдаа хэрэглэдэг дотоод AI хэрэгслүүд (internal AI tooling) болон контейнер байршуулах токенуудыг (container deployment tokens) өөрсдийн хяналтад оруулж чаджээ.

Дотоод AI хэрэгслүүдэд хандах эрх авснаар халдагчид байгууллагын код бааз, тохиргооны файлууд дундаас эмзэг мэдээллийг хурдан шүүж, улмаар хэтэвчний гарын үсэг зурах үйлчилгээ (wallet signing service)-д зөвшөөрөлгүй хандан гүйлгээ хийх боломжийг олж авсан байна. Ингээд 10-р сарын 29-нд хэдхэн хормын дотор олон блокчэйн сүлжээг дамнуулан 6.34 тэрбум долларыг шилжүүлэн авчээ.

Хөгжүүлэгч бүрийн авах ёстой практик сургамж

Энэхүү түүх нь зөвхөн крипто биржүүдэд хамаатай бус, хувийн эсвэл байгууллагын код дээр ажиллаж буй бүх инженерүүдэд дараах бодит анхааруулгыг өгч байна.

1. `curl | bash` болон эх сурвалж тодорхойгүй суулгалтаас татгалз

Шинэ AI хэрэгсэл, санг хайлтын системийн илэрцээс шууд татаж суулгах нь өнөө үед асар өндөр эрсдэлтэй болсон. Хортой төслүүд Google, Bing-ийн хайлтын сурталчилгаа болон SEO-г худалдан авч, жинхэнэ сан мэт харагддаг. Аливаа CLI хэрэгсэл, багцыг суулгахдаа албан ёсны GitHub репозитори, шалгагдсан хэвлэгчийн гарын үсэгтэйгээр суулгах ёстой.

2. Гадны кодын даалгаврыг өөрийн ажлын үндсэн орчинд хэзээ ч бүү ажиллуул

Ажлын ярилцлагад зориулсан "take-home assignment", "coding challenge"-ийг үндсэн машин дээрээ шууд npm install, pip install, make эсвэл cargo build гэж ажиллуулах нь backdoor нээх хамгийн хялбар зам болсон. Ийм туршилтыг заавал:

Тусгаарлагдсан VM (Virtual Machine),
Сүлжээний хязгаарлалттай Docker контейнер,
Эсвэл GitHub Codespaces, Gitpod зэрэг клоуд sandbox орчинд ажиллуулах шаардлагатай.

3. Ажлын компьютер дээр зөвхөн албаны ажил хийх

LinkedIn-ээр ирсэн ажлын санал, хувийн карьерын ярилцлага, чат аппликейшнуудыг ажлын төхөөрөмж дээрээ нээхгүй байх нь social engineering халдлагаас өөрийгөө хамгаалах хамгийн энгийн дүрмийн нэг юм.

4. Дотоод AI агент болон хэрэгслүүдийн эрхийг хязгаарлах

Дотооддоо ашиглаж буй AI туслахууд нууц түлхүүр, дэд бүтцийн тохиргооны код руу шууд хандах эрхтэй байх нь халдлагын далайцыг (blast radius) хэд дахин нэмэгдүүлдэг. "Least privilege" буюу хамгийн бага эрхийн зарчим зөвхөн хүнд бус, AI хэрэгслүүдэд ч хатуу үйлчлэх ёстой.

Binance хэдийгээр алдагдсан хөрөнгийн 2.85 тэрбум долларыг нь партнер байгууллагуудын тусламжтайгаар царцааж, хэрэглэгчдийн хохирлыг өөрийн нөөц хөрөнгөөс бүрэн хариуцахаа зарласан ч, энэ хэрэг программ хангамжийн ертөнцөд аюулгүй байдлын хамгийн сул холбоос нь одоо ч хөгжүүлэгчийн машин байсаар байгааг дахин санууллаа.

Эх сурвалж: Binance Security Incident: Initial Findings and Response Update (2026.11.03), The Hacker News, Infosecurity Magazine.