Взлом Binance начался с фальшивого собеседования: биржа раскрыла, как у неё вывели $6,34 млрд

Binance опубликовала предварительный отчёт о взломе 29 октября, который затронул активы примерно на $6,34 млрд. Cointelegraph называет этот инцидент крупнейшим в истории криптовалют. Главный вывод отчёта неожиданно прост: биржу взломали не лобовой атакой на блокчейн или шифрование, а через людей. Точками входа стали поддельный установщик программы и тестовое задание от мнимого работодателя.

Соруководитель биржи Ричард Тенг описал случившееся так: «Это была не одна ошибка и не один взлом, а кампания, длившаяся месяцами». Расследование продолжается, часть технических деталей компания намеренно не раскрывает, а полный отчёт обещает выпустить позже.

Как развивалась атака

• Июнь. Инженер команды, обслуживающей кошельки, скачал изменённый пакет Homebrew, когда пытался установить ИИ-инструмент для программирования. Служба безопасности заметила аномалию, заменила устройство и обновила учётные данные, но злоумышленники уже успели собрать сведения о сотруднике и его коллегах.
• Сентябрь. Другому инженеру написал «директор проекта» с платформы поиска работы. После двух этапов собеседования человека попросили запустить на рабочем компьютере тестовое задание. Внутри был вредоносный код, который защита устройства не обнаружила.
• 20 октября. Через заражённый компьютер и внутренний ИИ-инструмент атакующие добрались до устройств ещё двух сотрудников. На одном из них нашёлся токен с правами на развёртывание контейнеров.
• 29 октября. С этими правами хакеры запустили контейнер со скриптом и получили возможность вмешиваться в подписание транзакций горячих кошельков. Средства уходили в обход обычной системы вывода. По данным ForkLog, среди выведенного были 233,46 млн XRP, около 970 500 SOL, 44,2 млн OP и 18 270 BTC. Последнюю несанкционированную транзакцию биржа зафиксировала в 23:56 UTC.

Отдельная сложность связана с механизмом EIP-7702 в Ethereum, который позволяет кошельку делегировать права смарт-контракту. Выданные таким образом разрешения продолжали действовать и после приостановки выводов. Поскольку кошельки Binance построены на многосторонних вычислениях (MPC) и единого приватного ключа в них нет, быстро отозвать разрешения не удалось. Для этого потребовалась отдельная процедура.

Что с деньгами клиентов

Binance заявляет, что берёт убытки на себя и не перекладывает их на клиентов. По её данным, заморожено или перехвачено около $2,85 млрд, а по состоянию на 31 октября восполнено 98% затронутых токенов. Оценки, как предупреждает биржа, могут измениться после сверки. Вывод средств открывается поэтапно: 3 ноября в 04:00 UTC он заработал для десятков активов в сетях BSC, Ethereum, Solana, XRP, Sui, Arbitrum, Optimism, TRON и Base.

ФБР связывает атаку с Северной Кореей, Пхеньян эти обвинения отвергает. Сама Binance сообщает, что в 2026 году предотвратила 57 предполагаемых атак северокорейских групп, и многие из них строились по той же схеме: фальшивые собеседования, вредоносные инструменты разработчика и социальная инженерия.

Почему это касается не только бирж

Схема с фальшивыми собеседованиями направлена не только на сотрудников крупных компаний. Decrypt приводит данные о группе WaterPlum (Contagious Interview): с декабря 2025 по июль 2026 года она заразила около 30 000 устройств более чем в 100 странах, получила доступ к средствам или данным более чем 7000 кошельков и вывела около $10,71 млн. Типичный приём — «рекрутер» жалуется на проблемы с видео и присылает ссылку на «обновление Zoom», которая устанавливает вредоносную программу.

Что дальше: биржа говорит, что закрыла использованные точки входа, перестроила затронутые системы кошельков и внутренний ИИ-инструмент, усилила контроль над рабочими устройствами и привлекает независимых специалистов для проверки выводов.