Атака на Binance на $6,34 млрд началась с поддельного собеседования при найме

Binance в предварительном отчёте о расследовании объяснила, как злоумышленники получили доступ к инфраструктуре подписания транзакций горячих кошельков. По её данным, атака, затронувшая цифровые активы примерно на $6,34 млрд, была подготовлена в течение нескольких месяцев и началась с обмана сотрудника при найме.

Кампания, которую готовили несколько месяцев

Биржа описала многоэтапную операцию, в которой использовались социальная инженерия, вредоносные загрузки, компрометация внутренних ИИ-инструментов и устройств сотрудников. Binance также сообщила, что в течение 2026 года выявила и предотвратила 57 предполагаемых кибератак, связанных с северокорейскими группами. Со ссылкой на ФБР биржа заявила, что за атакой стоит КНДР.

Фальшивое собеседование и тестовое задание

В сентябре инженер Binance получил сообщение на легитимной платформе для поиска работы от человека, который представился директором проекта. Сотрудника пригласили на два этапа собеседования. На первом с ним связался якобы представитель HR: он провёл видеозвонок и отправил ссылку на свой аккаунт в соцсети с личными фотографиями и видео, чтобы вызвать доверие. На втором собеседовании инженер общался с человеком, который выдавал себя за руководителя несуществующей компании.

В конце второго собеседования ему предложили скачать на рабочий компьютер тестовое задание, которое оказалось репозиторием с вредоносным кодом. При установке код запустился и начал несанкционированную активность. По данным Binance, программа использовала обфускацию и методы обхода защиты, а её компоненты не были обнаружены действовавшими на тот момент средствами защиты конечных устройств.

Ещё раньше, в июне, другой инженер скачал модифицированный пакет Homebrew, пытаясь установить популярный ИИ-инструмент для разработки. Служба безопасности заметила аномалию, заменила устройство и обновила связанные учётные данные. Однако, по словам Binance, злоумышленники уже успели собрать сведения о сотруднике и его коллегах из команды, отвечавшей за инфраструктуру кошельков.

20 октября атакующие через скомпрометированный компьютер первого инженера и внутренний ИИ-инструмент Binance получили доступ к устройствам ещё двух сотрудников, а затем нашли токен с правами на развёртывание контейнеров на компьютере одного из инженеров. 29 октября они использовали похищенные учётные данные, развернули контейнер и запустили вредоносный скрипт, который позволил вмешиваться в операции подписания транзакций.

Как выводили средства

Атака началась с переводов из горячих кошельков биржи в нескольких сетях. В период с 20:05 до 20:09 UTC пять кошельков отправили на адрес, контролируемый злоумышленниками, 233,46 млн XRP. Из кошельков в сетях Solana и Optimism вывели около 970 500 SOL и 44,2 млн OP. Затем из горячего кошелька Binance перевели 18 270 BTC.

Для дальнейшего перемещения активов атакующие использовали механизм EIP-7702 в Ethereum. Он позволяет обычному аккаунту делегировать смарт-контракту определённые права на выполнение операций без раскрытия приватного ключа. Через него злоумышленники взаимодействовали с горячим кошельком Binance в обход стандартной системы вывода средств биржи.

Биржа обнаружила крупные транзакции, приостановила выводы, обратилась к партнёрам для заморозки активов и начала отзывать несанкционированные разрешения. Остановка обычных выводов, однако, не прекратила все перемещения: созданные в блокчейне разрешения EIP-7702 продолжали действовать независимо от инфраструктуры биржи, и для их отзыва понадобилась отдельная процедура. Дополнительно усложняла задачу архитектура горячих кошельков Binance, которая использует технологию многосторонних вычислений (MPC). Поскольку единого приватного ключа не существует, команда не могла просто воспользоваться им для немедленного отзыва разрешений.

Последняя несанкционированная транзакция на 2961,9 ETH была подтверждена в блокчейне в 23:56 UTC 29 октября. В 00:10 UTC 30 октября Binance отправила новую авторизацию на нулевой адрес, чтобы удалить делегированный код EIP-7702.

Восстановление активов и планы биржи

По оценке Binance, инцидент затронул цифровые активы примерно на $6,34 млрд ≈ 18,7 млрд BYN. Около $2,85 млрд ≈ 8,42 млрд BYN удалось заморозить или перехватить. Биржа предупредила, что эта оценка может измениться после сверки данных и с учётом колебаний рыночных цен. По состоянию на 31 октября компания восстановила около 98% затронутых токенов. Объём зарезервированных средств, по её словам, превышает сумму, необходимую для покрытия потерь, а менее ликвидные активы биржа докупает.

Binance перестроила затронутые системы кошельков и внутренний ИИ-инструмент, заменила устройства, отозвала учётные данные и токены, связанные с пострадавшими сотрудниками. Компания усилила контроль над устройствами, управление рисками кошельковых сервисов и обнаружение аномального поведения с помощью ИИ. Планируется привлечь независимые компании по кибербезопасности для проверки выводов расследования, увеличить инвестиции в инструменты обнаружения угроз и защиту рабочих сред разработки, а также создать фонд поддержки исследований безопасности блокчейн-инфраструктуры.

Binance подчеркнула, что отчёт предварительный, расследование продолжается, а выводы проверят независимые специалисты. Часть технических подробностей биржа решила не раскрывать, чтобы не помогать потенциальным злоумышленникам готовить новые атаки. Сам взлом также обострил дискуссию о том, по каким правилам эмитенты стейблкоинов блокируют украденные активы.