Security Bite: рекордное ограбление Binance на 6,3 млрд долларов началось с поддельной установки Homebrew на Mac
Рубрика 9to5Mac Security Bite выходит эксклюзивно при поддержке Mosyle — единственной Apple Unified Platform. Мы занимаемся только тем, что делаем устройства Apple готовыми к работе и безопасными для корпоративного использования. Наш уникальный интегрированный подход к управлению и безопасности сочетает передовые решения безопасности, созданные специально для Apple, — полностью автоматизированные Hardening & Compliance, EDR нового поколения, Zero Trust на базе ИИ и эксклюзивное управление привилегиями — с самой мощной и современной Apple MDM на рынке. В результате получается полностью автоматизированная Apple Unified Platform, которой уже доверяют более 45 000 организаций, чтобы без усилий и по доступной цене подготовить к работе миллионы устройств Apple. Запросите РАСШИРЕННУЮ ПРОБНУЮ ВЕРСИЮ уже сегодня и узнайте, почему Mosyle — это всё, что нужно для работы с Apple.
На прошлой неделе стало известно, что хакеры похитили 6,3 млрд долларов из кошельков Binance — самой популярной криптовалютной биржи в мире. Компании удалось заморозить почти 3 млрд долларов из этой суммы, но атака быстро попала в заголовки — и вполне заслуженно — как крупнейшее финансовое ограбление в истории человечества.
Тогда я, как и исследователь безопасности Кристофер Лопес и многие другие, подозревал, что всё вполне могло начаться с Mac. Как отметил Лопес, прошлогоднее ограбление Bybit на 1,5 млрд долларов тоже началось с Mac разработчика. Вдобавок Mac чрезвычайно популярны среди DevOps-инженеров и криптоэнтузиастов, и в последние несколько лет они непрерывно становятся мишенью вредоносного ПО и кампаний социальной инженерии.
Теперь я могу сказать, что подозрения о том, что ограбление началось на Mac, подтвердились. Я до сих пор в шоке. Поражает не сумма похищенного, а то, что хакеры провернули всё это с помощью тех же старых приёмов социальной инженерии, которые используют уже много лет. Никаких изощрённых уязвимостей нулевого дня с подпольного рынка за миллионы долларов.
Вчера Binance опубликовала более подробный разбор атаки. Компания так и не произносит слово «Mac», но опубликованное ею вредоносное ПО нацеливалось на /opt/homebrew — именно там находится Homebrew на Mac с Apple silicon. Иными словами, это почти наверняка был MacBook на чипе серии M.
По сути, атака прошла в два этапа.
По данным Binance, всё началось в июне этого года, когда DevOps-инженер, работавший над Wallet, искал ИИ-инструмент для программирования и скачал вредоносный клон установщика Homebrew через Google Search. Binance утверждает, что заметила это на раннем этапе и предотвратила ущерб, однако злоумышленники смогли узнать, какие сотрудники работают над кошельками. Это был первый этап.
Перенесёмся на несколько месяцев вперёд, в сентябрь: другого инженера, который — как вы уже догадались — тоже работал над кошельками Binance, заманили на фейковое собеседование. Как обычно бывает с подобными векторами атак, ему велели выполнить «тестовое задание» по программированию на рабочем компьютере. Служба безопасности Binance этого не заметила, и 29 октября мир узнал, что хакеры (по широко распространённому мнению, северокорейские) унесли миллиарды.
Разумеется, всё, что нам пока известно, исходит непосредственно от Binance, так что если вы ищете подробности о том, как именно это произошло, скорее всего, останетесь ни с чем.
Тем не менее важно отметить, что ни один из этих двух векторов атак не нов. Ещё в начале 2025 года я писал о фейковой рекламе Homebrew в верхней части выдачи Google Search, через которую пользователям Mac подсовывали Atomic Stealer. Binance лишь сообщает, что инженер нашёл установщик через «поисковую систему». Конечно, я не могу подтвердить, что это была спонсорская реклама, но если история чему-то и учит…
Для Apple это довольно неприятная ситуация. Крупнейшее финансовое ограбление в истории на прошлой неделе произошло на Mac, хотя, справедливости ради, никакая функция безопасности не способна помешать разработчику запустить скрипт, который он сам хочет запустить.
Конечно, предупреждения при вставке в Терминал, появившиеся в macOS 26.4, могли бы здесь помочь. Но если реалистично, когда человек уверен, что проходит тестовое задание ради работы, которую очень хочет получить, всплывающее предупреждение его вряд ли остановит.
Вот как выглядит это предупреждение:
На этой неделе я снова приглашаю Кристофера Лопеса (@L0Psec), профессионального специалиста по реверс-инжинирингу macOS, в подкаст Security Bite, чтобы обсудить ситуацию с Binance. Подпишитесь на шоу, чтобы не пропустить выпуск.
Security Bite — еженедельное глубокое погружение 9to5Mac в мир безопасности Apple. Каждую неделю Arin Waichulis разбирает новые угрозы, проблемы конфиденциальности, уязвимости и многое другое, что влияет на экосистему из более чем 2 млрд устройств. Раз в две недели в подкасте Security Bite он беседует с экспертами отрасли, разбирая самые актуальные темы.
