Взлом Binance на $6,34 млрд начался с фальшивого собеседования

Атака на Binance, в результате которой 29 октября были затронуты цифровые активы на сумму около $6,34 млрд, началась с фальшивого собеседования. Об этом биржа сообщила в предварительном отчете о расследовании инцидента.

https://t.co/sU9dUqLQDH

— Binance (@binance) November 3, 2026

По данным Binance, злоумышленники в течение нескольких месяцев готовили многоэтапную кампанию. Они использовали социальную инженерию, вредоносные загрузки, компрометацию внутренних ИИ-инструментов и устройств сотрудников, а затем получили доступ к инфраструктуре подписания транзакций горячих кошельков.

Биржа заявила, что, согласно информации ФБР, за атакой стоит КНДР. Ранее Binance также сообщила, что в течение 2026 года выявила и предотвратила 57 предполагаемых кибератак, связанных с северокорейскими группами.

Как злоумышленники проникли в инфраструктуру Binance

Согласно отчету, в сентябре один из инженеров Binance получил сообщение на легитимной платформе для поиска работы от человека, представившегося директором проекта. Сотруднику предложили пройти два этапа собеседования.

Сначала с ним связался якобы HR-представитель компании. Он провел видеозвонок и поделился ссылкой на свой аккаунт в соцсети с личными фотографиями и видео, чтобы вызвать доверие. На втором этапе инженер общался с человеком, выдавшим себя за руководителя несуществующей компании.

В конце второго собеседования сотруднику предложили скачать тестовое задание — репозиторий с вредоносным кодом — на рабочий компьютер. Запуск кода при установке привел к несанкционированной активности на устройстве. По данным Binance, вредоносная программа использовала методы обфускации и обхода защиты, а ее компоненты не обнаружили действовавшие на тот момент средства защиты конечных устройств.

Биржа также описала более ранний эпизод. В июне другой инженер скачал модифицированный пакет Homebrew, пытаясь установить популярный ИИ-инструмент для разработки. Служба безопасности обнаружила аномалию, заменила устройство и обновила связанные учетные данные. Однако, как утверждает Binance, злоумышленники уже получили информацию о сотруднике и его коллегах из команды, отвечавшей за инфраструктуру кошельков.

20 октября атакующие использовали скомпрометированный компьютер первого инженера и внутренний ИИ-инструмент Binance, чтобы получить доступ к устройствам еще двух сотрудников. Впоследствии они обнаружили токен с правами на развертывание контейнеров на компьютере одного из инженеров.

29 октября злоумышленники использовали похищенные учетные данные, развернули контейнер и запустили вредоносный скрипт, который позволил им вмешаться в операции подписания транзакций.

Как вывели средства

По данным Binance, атака началась с переводов из горячих кошельков биржи в нескольких сетях. В период с 20:05 до 20:09 UTC пять кошельков отправили на контролируемый злоумышленниками адрес 233,46 млн XRP. Кроме того, из кошельков в Solana и Optimism вывели около 970 500 SOL и 44,2 млн OP.

Затем из горячего кошелька Binance перевели 18 270 BTC.

Для дальнейшего перемещения активов атакующие воспользовались механизмом EIP-7702 в Ethereum. Он позволяет обычному аккаунту делегировать смарт-контракту определенные права на выполнение операций без раскрытия приватного ключа.

В этом случае злоумышленники использовали механизм для взаимодействия с горячим кошельком Binance. Это позволило проводить переводы в обход стандартной системы вывода средств биржи.

Binance обнаружила крупные транзакции и начала ограничивать операции, приостанавливать выводы, взаимодействовать с партнерами для заморозки активов и отзывать несанкционированные разрешения.

Однако остановка обычных выводов не прекратила все перемещения средств: созданные в блокчейне разрешения EIP-7702 продолжали действовать независимо от стандартной инфраструктуры биржи. Для их отзыва потребовалась отдельная процедура.

Дополнительную сложность создала архитектура горячих кошельков Binance, использующих технологию многосторонних вычислений (MPC). Поскольку единого приватного ключа не существует, команда не могла просто воспользоваться им для немедленного отзыва разрешений.

Последняя несанкционированная транзакция на 2961,9 ETH была подтверждена в блокчейне в 23:56 UTC 29 октября. В 00:10 UTC 30 октября Binance отправила новую авторизацию на нулевой адрес, чтобы удалить делегированный код EIP-7702.

Binance восстановила 98% затронутых активов

По оценке биржи, инцидент затронул цифровые активы примерно на $6,34 млрд. Из них около $2,85 млрд удалось заморозить или перехватить. Эта оценка может измениться после сверки данных и с учетом волатильности рыночных цен.

Binance заявила, что возьмет финансовые последствия атаки на себя. По состоянию на 31 октября компания восстановила около 98% затронутых токенов, а объем зарезервированных средств превышает сумму, необходимую для покрытия потерь. Биржа также сообщила, что приобретает оставшиеся, менее ликвидные активы.

В рамках реагирования Binance перестроила затронутые системы кошельков и внутренний ИИ-инструмент, заменила устройства, отозвала связанные с пострадавшими сотрудниками учетные данные и токены. Компания также усилила контроль над устройствами, управление рисками кошельковых сервисов и обнаружение аномального поведения с помощью ИИ.

Биржа намерена привлечь независимые компании по кибербезопасности для проверки результатов расследования. Кроме того, она планирует увеличить инвестиции в ИИ-инструменты для обнаружения угроз, защиту рабочих устройств и сред разработки, а также создать фонд поддержки исследований в области безопасности блокчейн-инфраструктуры.

Binance подчеркнула, что опубликованный отчет является предварительным: расследование продолжается, а его выводы будут проверены независимыми специалистами. Некоторые технические подробности компания решила не раскрывать, чтобы не помогать потенциальным злоумышленникам готовить новые атаки.

Напомним, взлом Binance обострил дискуссию о том, по каким правилам эмитенты стейблкоинов блокируют украденные активы.