Хакер #305. Многошаговые SQL-инъекции
ФБР сообщило, что северокорейская хак-группа TraderTraitor (она же Jade Sleet, UNC4899 и Slow Pisces) стоит за майской атакой на японскую криптобиржу DMM Bitcoin и хищением криптовалюты на сумму 308 млн долларов США.
Напомним, что взлом DMM Bitcoin произошел в мае и стал одним из крупнейших криптоограблений 2024 года. Тогда у биржи украли 4502,9 биткоина, то есть около 308 млн долларов по курсу на момент взлома. Из-за атаки DMM Bitcoin была вынуждена временно ограничить многие функции, включая регистрацию новых аккаунтов, вывод криптовалюты, спотовые сделки, а также открытие новых позиций для торговли с плечом.
Как сообщают теперь ФБР и Главное управление полиции Японии, атака TraderTraitor началась еще в конце марта 2024 года, когда один из злоумышленников притворился рекрутером на LinkedIn и связался с сотрудником японской компании Ginco, специализирующейся на производстве ПО для криптовалютных кошельков.
Хакер отправил сотруднику Ginco, который имел доступ к системе управления кошельками своего работодателя, предложение о работе, включавшее тестовое задание на GitHub. В рамках этого задания жертва загрузила фрагмент вредоносного Python-кода, который в итоге скомпрометировал ее компьютер, позволив злоумышленникам проникнуть в системы Ginco, а затем скомпрометировать и DMM Bitcoin.
«В середине мая 2024 года участники TraderTraitor использовали сессионные файлы cookie, чтобы выдать себя за скомпрометированного сотрудника, и успешно получили доступ к незашифрованной системе связи Ginco, — поясняет ФБР. — В конце мая 2024 года злоумышленники, вероятно, использовали полученный доступ для манипулирования легитимным запросом сотрудника DMM Bitcoin на транзакцию, что привело к потере 4502,9 BTC, стоимость которых на момент атаки составляла 308 млн долларов».
