Взлом Binance на $6,34 млрд начался с фальшивого собеседования

Предварительный отчет криптобиржи Binance показал, что инцидент от 29 октября, затронувший цифровые активы приблизительно на $6,34 млрд, начался с фиктивного процесса найма на работу.

По утверждению торговой платформы, злоумышленники вели подготовку к многоступенчатой операции на протяжении нескольких месяцев. Проникновение к инфраструктуре подписания транзакций горячих кошельков стало возможным благодаря методам социальной инженерии, загрузке вредоносного софта, а также компрометации служебных устройств сотрудников и внутренних ИИ-сервисов.

Ссылаясь на данные ФБР, биржа возложила ответственность за случившееся на КНДР. При этом ранее представители Binance заявляли, что на протяжении 2026 года платформа выявила и пресекла 57 предполагаемых кибератак, за которыми стояли группировки из Северной Кореи. Власти КНДР обвинения в причастности к краже $6,3 млрд отвергли.

В опубликованном документе детализируется схема взлома. В сентябре инженеру площадки через легитимный сервис подбора персонала написал человек, выдававший себя за руководителя проекта, и предложил поучаствовать в двухэтапном интервью. На первой стадии собеседование по видеосвязи провел мнимый HR-специалист, отправивший ссылку на персональную страницу в социальной сети с личными фото и видео ради завоевания доверия. Второй раунд представлял собой диалог с фиктивным топ-менеджером несуществующей структуры.

Завершился второй этап тем, что кандидату передали тестовое задание в виде репозитория с вредоносным кодом, который тот скачал на рабочий ПК. Запуск скрипта при инсталляции вызвал несанкционированные действия в системе. Как выяснили в Binance, вирус обладал возможностями обхода защиты и методами обфускации, в результате чего действовавшие средства контроля конечных точек его не распознали.

В материалах упомянут и более ранний эпизод: еще в июне другой технический специалист загрузил модифицированный пакет Homebrew в попытке поставить популярный ИИ-инструмент для разработки. Служба безопасности зафиксировала аномальное поведение, заменила рабочий компьютер и перевыпустила скомпрометированные учетные данные. Несмотря на это, атакующие уже успели завладеть сведениями об инженере и остальных членах команды, курировавшей инфраструктуру кошельков.

Уже 20 октября, задействовав зараженное устройство первого разработчика и служебный ИИ-инструмент площадки, хакеры получили доступ к аппаратуре еще двоих сотрудников. Впоследствии на рабочей станции одного из инженеров злоумышленники нашли токен, дававший полномочия на развертывание контейнеров. Имея на руках украденные реквизиты, 29 октября они запустили контейнер с вредоносным скриптом, вмешавшимся в механизм подписания транзакций.

Вывод средств стартовал с горячих кошельков криптобиржи в ряде блокчейн-сетей. В интервале между 20:05 и 20:09 UTC с пяти адресов на подконтрольный преступникам кошелек поступило 233,46 млн XRP. Одновременно со счетов в сетях Solana и Optimism было выведено порядка 970 500 SOL и 44,2 млн OP, а следом с горячего кошелька площадки перевели 18 270 BTC.

Для дальнейших манипуляций преступники применили механизм EIP-7702 в сети Ethereum, позволяющий передавать смарт-контракту конкретные права на проведение действий от имени стандартного аккаунта без раскрытия приватного ключа. Взаимодействие через этот стандарт напрямую с горячим кошельком дало возможность отправлять активы мимо внутренних защитных механизмов платформы.

Заметив перемещение крупных объемов, биржа стала вводить ограничения, приостанавливать вывод средств, отзывать разрешения и координировать блокировку активов с партнерами. Однако стандартная заморозка операций не остановила движение капитала: активированные в блокчейне разрешения стандарта EIP-7702 продолжали действовать автономно, и для их деактивации потребовались отдельные действия. Ситуация осложнялась тем, что горячие хранилища Binance функционируют на базе технологии многосторонних вычислений (MPC) без единого закрытого ключа, что исключало моментальный сброс настроек с помощью одного ключа. Финальную несанкционированную транзакцию на 2961,9 ETH сеть подтвердила в 23:56 UTC 29 октября, а в 00:10 UTC 30 октября биржа передала новую авторизацию на нулевой адрес для отзыва функционала EIP-7702.

По совокупным подсчетам, инцидент коснулся активов на сумму порядка $6,34 млрд, из которых к текущему моменту заморожено либо перехвачено около $2,85 млрд (оценка может быть скорректирована в процессе сверки и на фоне рыночных колебаний). Binance обязалась компенсировать ущерб за собственный счет. К 31 октября компания вернула приблизительно 98% затронутых токенов, сформировав финансовый резерв, превышающий объем прямых потерь, и приступила к выкупу оставшихся низколиквидных активов.

В качестве защитных мер биржа перестроила инфраструктуру скомпрометированных кошельков и внутренней ИИ-системы, обновила парк рабочих станций, аннулировала права доступа и токены затронутых специалистов, а также ужесточила политики мониторинга устройств, управление рисками и анализ аномалий при помощи ИИ. Компания собирается передать материалы расследования на аудит независимым экспертам, нарастить вложения в ИИ-мониторинг угроз, безопасность сред разработки и оконечных устройств, а также учредить фонд грантов для изучения безопасности блокчейн-сетей. В Binance подчеркнули предварительный статус отчета и заявили о сокрытии ряда технических нюансов ради предотвращения новых атак, в то время как сам инцидент спровоцировал новую волну споров о правилах блокировки похищенных средств эмитентами стейблкоинов.