Хакеры, похитившие с крупнейшей в мире криптовалютной биржи Binance активы на 6,34 млрд долларов, несколько месяцев готовились к атаке. Для этого они использовали фейковые собеседования при приеме на работу, вредоносные программы и внутренний инструмент компании на базе ИИ.
Подробности крупнейшего в истории криптовалютного рынка взлома Binance раскрыла 3 ноября в предварительном отчете о расследовании. Выяснилось, что атака, произошедшая 29 октября, готовилась как минимум с июня.
Тогда один из инженеров компании, занимавшийся инфраструктурой криптокошельков, скачал из интернета поддельную версию программы Homebrew, необходимой для установки популярного инструмента программирования с искусственным интеллектом.
Служба безопасности Binance обнаружила подозрительную активность, заменила компьютер сотрудника и обновила учетные данные. Однако злоумышленники успели получить информацию, которая впоследствии помогла им атаковать других специалистов.
В сентябре хакеры применили уже другую схему: связались с еще одним инженером через настоящую платформу поиска работы, представившись представителями несуществующей компании.
Мужчине организовали два собеседования по видеосвязи. Сначала с ним общался якобы сотрудник отдела кадров, а затем человек, выдававший себя за генерального директора компании. Для убедительности мошенники использовали аккаунты в соцсетях с личными фотографиями и видео.
В конце второго собеседования инженеру предложили выполнить тестовое задание. Для этого он скачал на рабочий компьютер файлы с программным кодом, в которых была спрятана вредоносная программа. Она позволила злоумышленникам выполнять команды на компьютере сотрудника и поддерживать связь с внешним сервером, при этом установленные средства защиты не обнаружили угрозу.
20 октября хакеры воспользовались зараженным компьютером и внутренним ИИ-инструментом Binance, чтобы получить доступ к системам двух других инженеров. На одном из устройств они обнаружили учетные данные, позволявшие запускать программные компоненты в инфраструктуре криптокошельков.
29 октября злоумышленники использовали похищенные данные, проникли в систему, отвечающую за подтверждение транзакций, и запустили вредоносный скрипт.
Всего за четыре минуты, с 20.05 до 20.09 по всемирному времени (с 23.05 до 23.09 по Минску), с пяти криптокошельков Binance на подконтрольный хакерам адрес перевели 233,46 млн XRP. Затем последовали переводы других криптовалют, в том числе около 970,5 тысячи SOL, 44,2 млн OP и 18 270 биткоинов.
В Binance сработала система оповещения о крупных переводах, после чего компания начала расследование и приостановила вывод средств. Однако остановить кражу сразу не удалось. Хакеры воспользовались механизмом авторизации в сети Ethereum, который позволяет передавать часть полномочий криптокошелька специальной программе — смарт-контракту.
Благодаря этому злоумышленники могли продолжать переводить активы даже после отключения обычной системы вывода средств. Чтобы прекратить операции, специалистам Binance пришлось разработать отдельную процедуру отзыва предоставленных разрешений.
Последний несанкционированный перевод на сумму 2961,9 ETH был подтвержден в 23.56 (02.56 по Минску) — почти через четыре часа после начала атаки. Полностью отключить вредоносные разрешения удалось уже после полуночи 30 октября.
По данным Binance, всего взлом затронул цифровые активы на 6,34 млрд долларов. Около 2,85 млрд долларов удалось заморозить или перехватить. При этом компания предупредила, что окончательная сумма может измениться после сверки данных и с учетом колебаний курсов криптовалют.
Уже к 31 октября биржа восстановила резервы по 98% затронутых токенов. Это не означает, что почти все похищенные средства удалось вернуть: недостающие активы компания восполняет за счет собственных ресурсов. В Binance утверждают, что зарезервировали достаточно средств для полного покрытия потерь, поэтому клиенты не должны понести финансовый ущерб.
«Этого не должно было произойти», — признали в компании, принеся извинения пользователям.
По итогам предварительного расследования Binance перестроила систему криптокошельков и внутренний ИИ-инструмент, заменила скомпрометированные устройства, аннулировала связанные с ними учетные данные и усилила контроль безопасности.
Компания также намерена привлечь независимых экспертов для дополнительной проверки и увеличить инвестиции в системы защиты с использованием искусственного интеллекта.
Федеральное бюро расследований США возложило ответственность за взлом на северокорейскую хакерскую группировку TraderTraitor. В Binance сообщили, что с начала 2026 года предотвратили 57 предполагаемых кибератак, связанных с Северной Кореей.
Напомним, после масштабного взлома 29 октября Binance приостановила вывод криптовалют. Когда операции возобновились, клиенты начали массово забирать средства с биржи.
За первые девять с половиной часов после возобновления работы пользователи вывели активы на 4,65 млрд долларов, а внесли около 1,01 млрд. Таким образом, чистый отток составил примерно 3,64 млрд долларов.
К 2 ноября биржа возобновила вывод более двух десятков основных криптовалют, включая биткоин и Ethereum. В компании заявили, что ситуация постепенно стабилизируется.