DoomXBT: кража $70 000 с аккаунта Binance при включённой 2FA

29 февраля 2024 года криптовалютный трейдер под псевдонимом DoomXBT столкнулся с необычной ситуацией. Во время работы с Binance он услышал звуковые уведомления об исполнении торговых ордеров. Такие сигналы обычно означают, что биржа завершила покупку или продажу активов. Но DoomXBT никаких сделок не открывал.

Проверив аккаунт, трейдер обнаружил, что неизвестный уже распоряжается его средствами. В истории операций появлялись новые сделки, криптовалюта конвертировалась в BNB, а позднее выяснилось, что через аккаунт также оформлялись займы.

При этом сам DoomXBT не был выброшен из учётной записи и по-прежнему мог пользоваться интерфейсом биржи. Первоначальная проверка баланса не показала исходящих переводов. Деньги ещё находились внутри Binance, но кто-то посторонний уже управлял ими.

Ситуация выглядела особенно странно с учётом защиты аккаунта. По словам трейдера, у него были включены двухфакторная аутентификация через Google Authenticator, ключ YubiKey и технология passkeys. Тем не менее подозрительные операции продолжались.

Впоследствии DoomXBT опубликовал в X скриншот своего аккаунта, на котором оставалось всего 2,99 USDT. Общие потери он оценил примерно в $70 000.

Но в тот момент, когда прозвучали первые уведомления, окончательного вывода ещё не произошло. Трейдер видел подозрительную активность и понимал, что должен срочно вмешаться.

Первые подозрительные операции не сопровождались выводом криптовалюты. Средства оставались на Binance, однако внутри аккаунта уже происходили сделки, которых DoomXBT не совершал.

Неизвестный продавал и обменивал активы, постепенно переводя их в BNB — собственную криптовалюту экосистемы Binance. Судя по рассказу трейдера, это были не единичные случайные операции, а последовательность действий человека, получившего возможность распоряжаться его балансом.

Затем DoomXBT обнаружил ещё одну странность: в аккаунте начали появляться криптовалютные займы.

В отличие от обычной сделки, заём позволяет получить дополнительные активы под залог уже имеющихся средств. Для этого не обязательно выводить криптовалюту с биржи — операции могут выполняться непосредственно внутри торгового аккаунта.
На опубликованном трейдером скриншоте видна серия успешно обработанных заявок Binance Flexible Loan. Они проходили одна за другой в течение нескольких минут 29 февраля. Все отображаемые операции получили статус Success.

Зачем злоумышленнику понадобилось оформлять займы, доподлинно неизвестно. Теоретически такая схема могла позволить ему задействовать дополнительные средства или изменить структуру активов перед выводом. Однако имеющиеся материалы не позволяют восстановить точный расчёт атакующего.

Важнее другое: неизвестный не просто получил доступ к балансу, но и использовал внутренние финансовые инструменты Binance. При этом владелец аккаунта продолжал видеть последствия его действий.

Постепенно средства оказались конвертированы в BNB. Это была уже не просто подозрительная торговая активность — криптовалюта находилась под контролем человека, который мог попытаться вывести её за пределы биржи.

DoomXBT обратился за помощью в службу поддержки Binance. Но остановить происходящее оказалось значительно сложнее, чем обнаружить несанкционированные операции.

Обнаружив подозрительные операции, DoomXBT сразу обратился в службу поддержки Binance. На тот момент, по его словам, средства ещё находились на бирже. Он попытался воспользоваться функцией сообщения о мошенничестве и объяснить сотрудникам, что кто-то посторонний прямо сейчас распоряжается его активами.

Однако вместо немедленной блокировки подозрительных операций началась процедура подтверждения личности.

Сотрудник поддержки настаивал на видеозвонке, во время которого трейдер должен был показать удостоверение личности и выполнить дополнительные инструкции. Проблема заключалась в том, что DoomXBT общался с поддержкой через компьютер без веб-камеры и не мог пройти такую проверку.

Трейдер пытался объяснить срочность ситуации. По его словам, он неоднократно просил остановить операции, пока злоумышленник ещё находился в аккаунте. Но сотрудник продолжал требовать прохождения верификации.

Именно во время этого общения DoomXBT заметил, что средства, ранее конвертированные в BNB, начали покидать биржу.

Всего с аккаунта было выведено 158,08718191 BNB. Сумму ущерба пострадавший оценил приблизительно в $70 000. Впоследствии он предположил, что криптовалюта могла попасть на обменный сервис SideShift, и обратился к его представителям.

Не менее странным оказалось завершение общения с поддержкой. Как утверждал DoomXBT, после прохождения проверки сотрудник закончил разговор и перенаправил его к другому специалисту. К этому моменту предотвратить вывод средств уже не удалось.

История получила огласку после публикации переписки в X. Пользователи начали критиковать Binance за то, что при сообщении о возможном захвате аккаунта служба поддержки продолжала стандартную процедуру идентификации вместо экстренной остановки вывода.

При этом опубликованные материалы не позволяют с точностью до минуты установить, когда началась атака, в какой момент трейдер впервые обратился за помощью и сколько времени прошло до завершения вывода. Из рассказа DoomXBT следует, что эти события частично пересекались, но полной технической хронологии инцидента в открытом доступе нет.

История DoomXBT быстро распространилась в X и привлекла внимание руководства Binance. 1 марта 2024 года генеральный директор биржи Ричард Тенг публично ответил пострадавшему. Он сообщил, что специалисты по безопасности уже расследуют инцидент, пытаются установить его причину и предоставят обновления по мере появления информации.

Однако для DoomXBT такой ответ не прояснял главное: каким образом неизвестный получил доступ к аккаунту, защищённому сразу несколькими способами аутентификации?

По утверждению трейдера, он использовал Google Authenticator, passkeys и аппаратный ключ YubiKey. Сотрудники Binance предполагали, что причиной компрометации мог стать взлом его Google-аккаунта. Но DoomXBT с этой версией не соглашался: он утверждал, что Google-аккаунт также был защищён YubiKey, а в истории входов не обнаружилось незнакомых устройств или IP-адресов.

Отсутствие подозрительных входов само по себе не исключало компрометацию. Тем не менее на тот момент у пострадавшего не было понятного объяснения случившегося.

1 марта с DoomXBT связались два сотрудника, представившиеся специалистами безопасности Binance — Gerry и Holic. Они организовали видеозвонок через Google Meet и попросили трейдера запустить две диагностические программы: Nettiquette и KnockKnock.

По словам DoomXBT, сотрудники пытались выяснить, не было ли его устройство скомпрометировано. В ходе общения появилась ещё одна версия: злоумышленник мог получить доступ к браузерным cookies — данным, которые используются в том числе для сохранения авторизованных сессий.

В таком случае атакующему потенциально не понадобилось бы повторно вводить пароль и проходить обычную процедуру двухфакторной аутентификации. Он мог попытаться воспользоваться уже существующей сессией владельца аккаунта.

Но это пока оставалось предположением. Публичных результатов диагностики, однозначно устанавливающих причину взлома, не было.

Сам DoomXBT остался недоволен расследованием. В опубликованном 3 марта сообщении он раскритиковал работу специалистов и отсутствие, по его мнению, содержательных объяснений со стороны биржи. К тому моменту трейдер также подал заявление в полицию по рекомендации блокчейн-расследователя ZachXBT.

Таким образом, стороны подошли к произошедшему с разных позиций. Binance заявила о начале расследования и поиске причины компрометации. DoomXBT же продолжал требовать объяснений не только того, как был получен доступ к аккаунту, но и почему подозрительные операции не удалось остановить после его обращения.

Вопрос о способе проникновения оставался открытым. Однако спустя почти три месяца появится новая информация, которая позволит по-другому взглянуть на эту историю.

Почти три месяца история DoomXBT оставалась без убедительного технического объяснения. Но 28 мая 2024 года исследователь под псевдонимом Tree of Alpha опубликовал неожиданную находку: причиной взлома могло оказаться расширение Google Chrome, которое маскировалось под популярный инструмент для криптотрейдеров.

Речь шла о поддельном расширении Aggr. Настоящий сервис AggrTrade предоставлял инструменты для наблюдения за рыночными сделками и ликвидациями. Мошенники воспользовались его известностью и разместили в Chrome Web Store приложение под похожим названием. Расширение имело положительные отзывы, а незадолго до разоблачения его продвигали в социальных сетях через криптоинфлюенсеров.

Для пользователя всё могло выглядеть вполне убедительно: знакомый бренд, страница в официальном магазине Chrome и рекомендации людей из криптосообщества. Но за внешне обычным инструментом скрывался механизм сбора данных.

31 мая специалисты SlowMist опубликовали технический разбор расширения. Исследователи обнаружили, что его вредоносная функциональность находилась в JavaScript-файле, замаскированном под распространённую библиотеку jQuery. Код собирал cookies браузера, преобразовывал их в JSON и отправлял на сторонний сервер, связанный с доменом aggrtrade-extension[.]com.

Чтобы проверить находку, специалисты установили расширение в изолированной тестовой среде. При посещении обычного сайта они зафиксировали отправку cookies на внешний сервер. Таким образом, вредоносное поведение было подтверждено не только анализом кода, но и практическим испытанием.

Это открытие предложило возможное объяснение того, что произошло с DoomXBT.

Cookies используются сайтами в том числе для сохранения авторизованной сессии. Благодаря им пользователю не приходится заново вводить пароль и подтверждать личность при каждом переходе между страницами. Если злоумышленнику удаётся получить действительные данные такой сессии, в некоторых обстоятельствах он может попытаться воспользоваться уже выполненной авторизацией.

В этом и заключалась опасность: пароль, Google Authenticator и YubiKey могли оставаться неизвестными атакующему. Ему потенциально достаточно было похитить данные браузерной сессии, хотя успешность такой атаки зависела от дополнительных механизмов защиты самой биржи.
Однако важная деталь оставалась неподтверждённой. SlowMist прямо указала, что не проверяла у DoomXBT факт установки именно этого расширения. Поэтому исследование доказало существование инструмента для кражи cookies, но не установило окончательно, что именно он использовался при взломе трейдера.

Тем не менее находка изменила понимание инцидента. Загадка больше не обязательно заключалась в обходе аппаратного ключа или взломе Google-аккаунта. Возможная уязвимость находилась в самом браузере, которому пользователь доверял свою авторизованную сессию.

История DoomXBT так и не получила исчерпывающего публичного объяснения. Исследование вредоносного расширения Aggr показало, каким образом злоумышленники могли похищать авторизованные браузерные сессии, но не доказало, что именно этот инструмент использовался против трейдера.

Не менее важным остался вопрос о реакции Binance. По словам DoomXBT, он сообщил о несанкционированном доступе ещё до окончательного вывода средств, однако столкнулся с процедурой проверки личности, которую не мог сразу завершить. В открытых материалах нет полной хронологии действий службы безопасности, поэтому установить, могла ли биржа предотвратить потерю денег, невозможно.

Самое необычное в этой истории заключается в том, что DoomXBT обнаружил взлом не по факту исчезновения средств. Он услышал уведомления о сделках, которые не совершал, увидел подозрительные операции и попытался вмешаться, пока деньги ещё находились на бирже.
И всё же около $70 000 покинули его аккаунт.

Когда средства уже выведены, важно установить, куда они поступили и какие действия ещё возможны. AML Crypto помогает расследовать кражи криптовалюты: отслеживает движение активов, готовит аналитические материалы и сопровождает взаимодействие с криптосервисами и правоохранительными органами. На бесплатной первичной консультации мы оценим имеющиеся данные и объясним возможные дальнейшие шаги, без обещаний гарантированного возврата.

Случай DoomXBT показал сразу две проблемы: даже несколько способов аутентификации не гарантируют защиту от компрометации браузерной сессии, а своевременное обнаружение атаки не обязательно означает возможность её остановить.

Трейдер заметил, как посторонний распоряжается его деньгами, ещё до того, как они исчезли. Но этого оказалось недостаточно, чтобы их сохранить.