Внутренняя работа: инженер по безопасности стал организатором многомиллионных криптоэксплойтов

Предыстория дела

Шакиб Ахмед, старший инженер по безопасности, работавший в международной технологической компании, в декабре признал себя виновным в мошенничестве с использованием компьютеров. Его обвиняли в сложных взломах двух децентрализованных криптовалютных бирж. О признании вины недавно сообщил Дэмиан Уильямс, прокурор США по Южному округу Нью-Йорка.

Это признание стало важным событием для сферы криптовалютной безопасности, поскольку впервые вынесен приговор за взлом смарт-контрактов. Это создает прецедент для будущих дел о мошенничестве с применением блокчейна. Дело демонстрирует, как правовая система адаптируется и реагирует на сложные преступления в криптоиндустрии.

Обвинения связаны с атаками, совершёнными в июле 2022 года на две разные платформы: одну называют просто «криптобиржа», другую относят к протоколу децентрализованных финансов Nirvana Finance. В момент атак 34-летний гражданин США Ахмед использовал свои полномочия старшего инженера по безопасности и профессиональные знания в реверс-инжиниринге смарт-контрактов и аудите блокчейна для выполнения этих сложных операций.

Взлом криптобиржи

Первой целью стала децентрализованная криптовалютная биржа, на которой пользователи могли торговать разными криптовалютами и получать вознаграждение за предоставление ликвидности через автоматизированного маркетмейкера. Ахмед обнаружил и использовал критическую уязвимость в смарт-контрактах, регулирующих автоматическую торговлю и распределение комиссий.

Используя эту уязвимость, Ахмед мошеннически получил около 9 млн долларов США в виде комиссионных, манипулируя логикой расчета вознаграждений. Такая схема показывает, насколько уязвимы сложные DeFi-протоколы: даже мелкие ошибки в коде смарт-контракта могут привести к значительным потерям.

После хищения Ахмед вступил в переговоры с представителями биржи. Он согласился вернуть большую часть похищенных средств при условии, что биржа не будет обращаться в правоохранительные органы. Такая попытка договорённости отражает распространённую практику, когда злоумышленники ищут легализацию кражи через частичный возврат активов.

Атака на Nirvana Finance

В отдельном инциденте в июле 2022 года Ахмед провёл более сложную атаку на Nirvana Finance, DeFi-протокол. В этой атаке он использовал флеш-кредит — механизм, позволяющий брать крупные суммы криптовалюты без залога, если возврат происходит в рамках одной транзакции.

Ахмед получил примерно 10 млн долларов США с помощью флеш-кредита, затем манипулировал смарт-контрактами Nirvana, чтобы использовать уязвимости ценового оракула и ликвидити-пула. В итоге он получил около 3,6 млн долларов США прибыли до возврата кредита, не оставив следов заимствованных средств.

Несмотря на предложение Nirvana Finance выплатить «bug bounty» за возврат средств, Ахмед потребовал 1,4 млн долларов США компенсации. Переговоры провалились, и он оставил все украденные средства, что привело к окончательному закрытию платформы Nirvana Finance. Этот случай иллюстрирует, как инциденты с безопасностью могут полностью разрушить DeFi-проекты и затронуть всех участников рынка.

Операции по отмыванию средств

После обеих атак Ахмед применил сложные методы отмывания, чтобы скрыть следы украденных активов. Среди них:

• Множественные обмены токенов на различных децентрализованных биржах для разрыва прямой связи между украденными средствами и своими адресами
• Использование кроссчейн-мостов для перевода средств между разными блокчейнами, что затрудняет расследование
• Конвертация значительной части украденной криптовалюты в Monero — приватную монету, скрывающую детали транзакций и владельцев кошельков

Эти методы демонстрируют высокий уровень владения блокчейн-технологиями и сложности для правоохранительных органов при раскрытии преступлений, связанных с криптовалютой.

Правовые последствия и приговор

Ахмед признал себя виновным в мошенничестве с использованием компьютеров, по которому ему грозит до пяти лет заключения в федеральной тюрьме. Этот шаг стал значимым для практики правоприменения в сфере криптовалют, поскольку создает юридический прецедент для привлечения к ответственности за взлом смарт-контрактов по действующим законам о компьютерном мошенничестве.

По условиям сделки со следствием Ахмед согласился на конфискацию свыше 12,3 млн долларов США, включая примерно 5,6 млн украденной криптовалюты, которую удалось отследить и изъять. Это одна из крупнейших конфискаций по делам, связанным с преступлениями в DeFi.

Приговор Ахмеду должен быть вынесен 13 марта 2024 года федеральным судьей США Виктором Марреро. Ожидается, что результаты этого дела повлияют на практику расследования будущих случаев мошенничества с криптовалютой и могут стать сдерживающим фактором для других специалистов по безопасности.

Дело подчеркивает рост сложности как криптопреступлений, так и реакции правовой системы, отмечая важный этап в развитии безопасности и регулирования блокчейна.

FAQ

Что такое внутренняя угроза на криптобирже? Почему инженеры по безопасности участвуют в кражах?

Внутренние угрозы исходят от сотрудников, которых подкупили или обманули с помощью социальной инженерии. Инженеры по безопасности участвуют ради крупной материальной выгоды. Такие инциденты разрушают репутацию бирж, подрывают доверие пользователей и могут приводить к миллиардным убыткам из-за несанкционированного доступа к ключевым системам и данным.

Какие самые известные инсайдерские кражи криптовалюты были в истории? Каковы масштабы ущерба?

Наибольший ущерб был причинён Mt. Gox: с 2011 по 2014 год похищено более 850 000 биткоинов на сотни миллионов долларов. Известны также случаи с Coincheck и Bitfinex — там потери от десятков до сотен миллионов долларов из-за участия инсайдеров.

Как криптобиржи предотвращают злоупотребления и кражи со стороны инженеров по безопасности?

Внедряются многофакторная аутентификация, строгий контроль доступа и постоянный мониторинг сотрудников. Для крупных транзакций необходимы одобрения от нескольких специалистов. Большая часть средств хранится в холодных кошельках вне сети. Регулярное обучение по безопасности и поведенческая биометрия позволяют выявлять скомпрометированные аккаунты, а модели нулевого доверия ограничивают доступ к данным.

Какие методы используют инсайдеры для хищения средств при нарушениях безопасности на криптобиржах?

Инсайдеры используют привилегированный доступ, чтобы обходить защиту, манипулируют хранением приватных ключей, проводят несанкционированные переводы и отключают средства мониторинга. Они могут создавать бэкдоры для постоянного доступа, перехватывать данные транзакций или действовать вместе с внешними злоумышленниками, чтобы украсть крупные суммы, обходя системы обнаружения.

Какие последствия грозят инженерам по безопасности за участие в кражах криптовалюты?

Инженерам по безопасности за участие в хищениях грозят суровые наказания: длительное лишение свободы (до 20 лет), крупные штрафы, конфискация активов и пожизненная судимость. Меры наказания зависят от суммы ущерба и юрисдикции.

Как криптоплатформам строить системы управления доступом и мониторинга для предотвращения внутренних нарушений?

Необходимо внедрять строгий ролевой контроль доступа с разделением обязанностей, настраивать мониторинг транзакций в реальном времени, регулярно проводить аудиты безопасности, использовать многофакторное подтверждение чувствительных операций, вести детальные журналы активности и анализировать поведение сотрудников для раннего выявления нарушений.