Ведущая крипторублевая биржа Grinex, обеспечивающая расчеты между российскими бизнесами и гражданами в цифровых активах, подверглась масштабной кибератаке с признаками участия зарубежных спецслужб.

В результате взлома похищены средства российских пользователей на сумму более 1 млрд рублей. Цифровые следы и характер атаки свидетельствуют о беспрецедентном уровне ресурсов и технологий, доступных исключительно структурам недружественных государств.

В связи с атакой биржа Grinex вынуждена приостановить работу. Вся доступная информация передана в правоохранительные органы. По месту нахождения инфраструктуры подано заявление для возбуждения уголовного дела.

Атаки на финансовую инфраструктуру являются наиболее распространенными с целью получения двойной выгоды как от самой атаки, так и от владельцев бизнеса. Такие типы атак под группировки готовятся профессиональными людьми, которые либо разочаровались в профессии и знают как действует бизнес, либо преследовали исследовательские цели изначально, но далее это переросло в группы с ресурсами, где багбаунти программы уже не в состоянии удовлетворять запросы.

Обычно исследователи выкладывают эксплойты после неудачной попытки договориться с владельцем бизнеса, но на базе практики все чаще, когда утечки попадают напрямую в сеть и продаются группам атакующих, поэтому у них есть доступ к 0‑day уязвимостям, высокому уровню операционной безопасности и возможности длительное время оставаться незамеченными в инфраструктуре жертвы.

- Жёсткое управление ключами и кошельками: аппаратные HSM, мультиподписные схемы (multisig и желательно использование схем 3/5 подписи), разделение горячих кошельков, строгие процедуры вывода средств. Это не столько снижает вероятность взлома, сколько ограничивает возможный ущерб при компрометации отдельного узла или аккаунта, естественно подразумевая, что ноды хранения должны быть распределенными
- Важно воспринимать атаки на инфраструктуру не только как технический, но и как геополитический фактор. Если бизнес работает с чувствительными категориями клиентов, обходит санкционные ограничения или является частью критической финансовой экосистемы, то уровень потенциального противника нужно автоматически поднимать до учета всех возможных атакующих и учитывать заинтересованность не только с целью мошенничества
- Segregation of duties и ролевые модели доступа. Один человек не должен иметь возможность и инициировать крупную операцию, и согласовать её, и технически провести. Это касается как финансовых транзакций, так и управления кошельками, ключами, конфигурациями боевых систем

Cреди крупных финансовых организаций и наиболее зрелых криптоплатформ такие меры уже стали де‑факто стандартом. Но если смотреть на рынок в целом, особенно на быстро растущие сервисы, часть игроков ограничивается базовым набором средств защиты, не успевая перестроить архитектуру и процессы под новый уровень угроз. Именно в этом “разрыве зрелости” и возникают подобные инциденты. Аналогично учитываем модели зрелости на базе нехватки компетенций