Криптовалютная биржа Binance раскрыла новые обстоятельства масштабной хакерской атаки 29 октября, в результате которой злоумышленники вывели цифровые активы на сумму около $6,34 млрд. Как выяснилось, подготовка к взлому началась еще летом, а получить доступ к критически важным системам биржи хакерам помогли фиктивное собеседование с сотрудником и внутренний инструмент искусственного интеллекта.
Об этом Binance сообщила 3 ноября, опубликовав предварительные результаты расследования. Подробности также приводит профильное издание The Block.
По данным Binance, атака представляла собой многоэтапную операцию, которая продолжалась несколько месяцев. Злоумышленники использовали методы социальной инженерии, вредоносное программное обеспечение, украденные учетные данные и скомпрометированные внутренние инструменты компании.
Первые признаки подготовки были обнаружены еще в июне 2026 года. Один из инженеров подразделения, отвечающего за инфраструктуру криптокошельков, скачал модифицированный установочный пакет Homebrew, пытаясь установить популярный инструмент для программирования с использованием ИИ.
Служба безопасности Binance обнаружила подозрительную активность, заменила устройство сотрудника и обновила связанные с ним учетные данные. Однако злоумышленники успели получить информацию о его должности и коллегах, имевших доступ к инфраструктуре криптокошельков.
Следующий этап начался в сентябре. Хакеры связались с другим инженером через настоящую платформу поиска работы, представившись представителями вымышленной компании.
Сотрудник прошел два этапа собеседования. Сначала с ним по видеосвязи общался человек, выдававший себя за специалиста по подбору персонала. Затем состоялось интервью с предполагаемым руководителем компании.
В конце второго собеседования инженеру предложили скачать на рабочий компьютер тестовое задание с программным кодом. Файл содержал вредоносное ПО, которое запустилось при настройке проекта и предоставило злоумышленникам доступ к устройству.
По информации Binance, программа использовала ранее неизвестную уязвимость и методы маскировки, поэтому установленные средства защиты не обнаружили заражение.
20 октября хакеры задействовали скомпрометированный компьютер и внутренний ИИ-инструмент Binance, чтобы получить контроль над устройствами еще двух инженеров. На одном из компьютеров они обнаружили токен доступа, позволявший развертывать программные контейнеры.
29 октября злоумышленники воспользовались похищенными учетными данными и запустили вредоносный код, получив несанкционированный доступ к внутреннему сервису подтверждения операций с криптокошельками.
После этого начался вывод цифровых активов. В частности, с горячих кошельков биржи были переведены 233,46 млн XRP, около 970,5 тыс. SOL, 44,2 млн OP и 18 270 BTC.
Кроме того, атакующие использовали механизм авторизации Ethereum EIP-7702, предоставив подконтрольному им смарт-контракту возможность выполнять операции с одним из кошельков биржи.
Из-за этого простая остановка вывода средств не позволила немедленно прекратить все несанкционированные переводы. Компании потребовались дополнительные технические действия для отмены предоставленных злоумышленниками разрешений.
Последняя незаконная транзакция была окончательно подтверждена в блокчейне в 23:56 по всемирному времени 29 октября. После этого новых несанкционированных переводов компания не зафиксировала.
По состоянию на 3 ноября Binance удалось заморозить или перехватить цифровые активы стоимостью около $2,85 млрд. Компания заявила, что полностью возьмет финансовые последствия атаки на себя.
Для покрытия потерь биржа зарезервировала средства в объеме более 100% от суммы ущерба. По состоянию на 31 октября она восстановила 98% затронутых токеновых активов и продолжает приобретать оставшиеся менее ликвидные токены. При этом восстановление резервов не означает, что все похищенные средства удалось вернуть.
Binance уже перестроила затронутую инфраструктуру кошельков и внутренний ИИ-инструмент, заменила скомпрометированные устройства и отозвала связанные с ними учетные данные. Также компания усилила контроль операций и намерена привлечь независимых специалистов для проверки результатов расследования.
Американское Федеральное бюро расследований связало атаку с северокорейской хакерской группировкой TraderTraitor. По информации ФБР, злоумышленники переводят похищенные активы в Ethereum и могут использовать децентрализованные финансовые сервисы для дальнейшего сокрытия происхождения средств. Северная Корея отвергла обвинения США.
Ранее Курс Украины сообщал о подозрительных переводах с кошельков Binance 29 октября. Тогда основатель биржи Чанпэн Чжао допустил, что причиной масштабного перемещения криптовалюты мог стать взлом.
