Криптовалютна біржа Binance розкрила нові обставини масштабної хакерської атаки 29 жовтня, внаслідок якої зловмисники вивели цифрові активи на суму близько $6,34 млрд. Як виявилося, підготовка до злому розпочалася ще влітку, а отримати доступ до критично важливих систем біржі хакерам допомогли фіктивна співбесіда зі співробітником та внутрішній інструмент штучного інтелекту. Про це Binance повідомила 3 листопада, опублікувавши попередні результати розслідування.
Подробиці також наводить профільне видання The Block. За даними Binance, атака являла собою багатоетапну операцію, яка тривала кілька місяців. Зловмисники використовували методи соціальної інженерії, шкідливе програмне забезпечення, викрадені облікові дані та скомпрометовані внутрішні інструменти компанії.
Перші ознаки підготовки були виявлені ще в червні 2026 року. Один з інженерів підрозділу, що відповідає за інфраструктуру криптогаманців, завантажив модифікований інсталяційний пакет Homebrew, намагаючись встановити популярний інструмент для програмування з використанням ШІ. Служба безпеки Binance виявила підозрілу активність, замінила пристрій співробітника та оновила пов'язані з ним облікові дані.
Однак зловмисники встигли отримати інформацію про його посаду та колег, які мали доступ до інфраструктури криптогаманців. Наступний етап розпочався у вересні. Хакери зв'язалися з іншим інженером через справжню платформу пошуку роботи, представившись представниками вигаданої компанії.
Співробітник пройшов два етапи співбесіди. Спочатку з ним по відеозв'язку спілкувалася людина, яка видавала себе за фахівця з підбору персоналу. Потім відбулося інтерв'ю з гаданим керівником компанії.
Наприкінці другої співбесіди інженеру запропонували завантажити на робочий комп'ютер тестове завдання з програмним кодом. Файл містив шкідливе ПЗ, яке запустилося під час налаштування проєкту та надало зловмисникам доступ до пристрою. За інформацією Binance, програма використовувала раніше невідому вразливість і методи маскування, тому встановлені засоби захисту не виявили зараження.20 жовтня хакери задіяли скомпрометований комп'ютер та внутрішній ШІ-інструмент Binance, щоб отримати контроль над пристроями ще двох інженерів.
На одному з комп'ютерів вони виявили токен доступу, що дозволяв розгортати програмні контейнери.29 жовтня зловмисники скористалися викраденими обліковими даними та запустили шкідливий код, отримавши несанкціонований доступ до внутрішнього сервісу підтвердження операцій з криптогаманцями. Після цього розпочався вивід цифрових активів. Зокрема, з гарячих гаманців біржі було переведено 233,46 млн XRP, близько 970,5 тис.
SOL, 44,2 млн OP та 18 270 BTC. Крім того, атакуючі використали механізм авторизації Ethereum EIP-7702, надавши підконтрольному їм смарт-контракту можливість виконувати операції з одним із гаманців біржі. Через це проста зупинка виведення коштів не дозволила негайно припинити всі несанкціоновані перекази.
Компанії знадобилися додаткові технічні дії для скасування наданих зловмисниками дозволів. Остання незаконна транзакція була остаточно підтверджена в блокчейні о 23:56 за всесвітнім часом 29 жовтня. Після цього нових несанкціонованих переказів компанія не зафіксувала.
Станом на 3 листопада Binance вдалося заморозити або перехопити цифрові активи вартістю близько $2,85 млрд. Компанія заявила, що повністю візьме фінансові наслідки атаки на себе. Для покриття збитків біржа зарезервувала кошти в обсязі понад 100% від суми збитку.
Станом на 31 жовтня вона відновила 98% порушених токенових активів і продовжує купувати решту менш ліквідних токенів. При цьому відновлення резервів не означає, що всі викрадені кошти вдалося повернути. Binance вже перебудувала порушену інфраструктуру гаманців та внутрішній ШІ-інструмент, замінила скомпрометовані пристрої та відкликала пов'язані з ними облікові дані.
Також компанія посилила контроль операцій і має намір залучити незалежних фахівців для перевірки результатів розслідування. Американське Федеральне бюро розслідувань пов'язало атаку з північнокорейським хакерським угрупованням TraderTraitor. За інформацією ФБР, зловмисники переводять викрадені активи в Ethereum і можуть використовувати децентралізовані фінансові сервіси для подальшого приховування походження коштів.
Північна Корея відкинула звинувачення США. Раніше Курс України повідомляв про підозрілі перекази з гаманців Binance 29 жовтня. Тоді засновник біржі Чанпен Чжао припустив, що причиною масштабного переміщення криптовалюти міг стати злом.
