Binance раскрыла подробности масштабного взлома.
Общий объём затронутых активов составил $6,34 млрд, из которых около $2,85 млрд удалось заморозить или перехватить.
По последней информации ФБР, за атакой стоит Северная Корея. Хакеры готовили операцию несколько месяцев, используя фальшивые собеседования, вредоносное ПО и внутренние ИИ-инструменты Binance.
Вот как всё происходило.
1. Июнь 2026 года. Первый заражённый компьютер
Инженер Binance скачал модифицированный установщик Homebrew.
Служба безопасности обнаружила угрозу, заменила устройство и обновила учётные данные. Однако злоумышленники успели получить информацию о сотруднике и его коллегах из подразделения криптокошельков.
2. Сентябрь. Фальшивое собеседование
С другим программистом Binance связался человек, представившийся руководителем проектов сторонней компании.
Сотрудник прошёл два собеседования: сначала с якобы HR-специалистом, затем с человеком, выдававшим себя за генерального директора.
В конце второго разговора инженеру предложили скачать тестовое задание с Git-репозиторием.
Внутри оказался вирус, который запустился при настройке проекта, подменил компонент инструмента pyenv и установил связь с сервером хакеров.
Антивирусная защита не обнаружила вредоносное ПО.
3. 20 октября. Взлом через внутренний ИИ
Используя заражённый компьютер, хакеры задействовали внутренний ИИ-инструмент Binance и получили контроль над устройствами ещё двух инженеров.
На одном из компьютеров обнаружился токен с разрешениями на развёртывание контейнеров в инфраструктуре криптокошельков.
Это позволило злоумышленникам подготовить непосредственную атаку на средства биржи.
4. 29 октября. Хакеры проникли в систему кошельков
Злоумышленники использовали украденные учётные данные, развернули контейнер и запустили вредоносный скрипт.
В результате они получили несанкционированный доступ к внутреннему сервису подписания транзакций Binance.
С его помощью хакеры смогли переводить криптовалюту в обход обычной процедуры вывода средств.
5. 29 октября. Начался вывод миллиардов долларов
Хакеры начали отправлять криптовалюту на подконтрольные адреса.
Среди выведенных активов:
- 233,46 млн XRP: из пяти горячих кошельков Binance
- 970 500 SOL: из сети Solana
- 44,2 млн OP: из сети Optimism
- 18 270 BTC: с горячего кошелька биржи
Binance обнаружила подозрительные переводы и приостановила вывод средств.
Однако это не остановило хакеров. Они использовали механизм Ethereum EIP-7702, позволяющий передавать права на выполнение операций смарт-контрактам.
Злоумышленники создали вредоносные разрешения, которые продолжали действовать независимо от системы вывода средств Binance.
Из-за особенностей защиты MPC-кошельков инженерам потребовалось дополнительное время, чтобы их отключить.
6. 30 октября. Атаку удалось остановить
Последняя несанкционированная транзакция на 2961,9 ETH завершилась 29 октября.
Через 20 минут Binance отозвала вредоносные разрешения EIP-7702. После этого новых незаконных переводов не зафиксировали.
После атаки биржа перестроила затронутые системы кошельков и внутренний ИИ-инструмент, заменила заражённые устройства и отозвала скомпрометированные учётные данные.
Также Binance усилила контроль операций с кошельками и внедрила дополнительные механизмы обнаружения подозрительной активности с помощью ИИ.
Расследование продолжается.
1 комментарий