Компания Binance сообщила 3 ноября, что хакеры использовали поддельные собеседования, вредоносное программное обеспечение и скомпрометированный внутренний инструмент на основе искусственного интеллекта для получения доступа к системам кошельков и кражи 6,34 миллиарда долларов 29 октября.

Согласно первоначальному отчету Binance о произошедшем инциденте, атака развивалась в течение нескольких месяцев и включала в себя обман сотрудников, использование скомпрометированного программного обеспечения и несанкционированный доступ к внутренним системам.

Компания заявила, что к 31 октября восстановила 98% активов, находящихся на затронутых кошельках, и продолжает приобретать оставшиеся, менее ликвидные криптовалюты. Генеральный директор Ричард Тенг заявил, что вывод средств в основном возобновился, и пользователи не понесут никаких убытков.

29 октября Binance подверглась одной из самых изощренных атак, которые когда-либо видела индустрия цифровых активов. Были затронуты активы на сумму около 6,34 миллиарда долларов. Мы берем на себя полную ответственность и делаем все возможное, чтобы исправить ситуацию.

Ни один пользователь не понесет убытки. Мы выделили сумму, превышающую полную сумму… https://t.co/BDmr3wLzOP

— Richard Teng (@_RichardTeng) 3 ноября 2026

Злоумышленники, атаковавшие Binance, перешли от инструментов для разработчиков к системам кошельков

В отчете говорится о первом контакте, произошедшем в июне, когда инженер, работающий с DevOps кошельков, загрузил модифицированную версию Homebrew в процессе поиска инструмента для кодирования на основе искусственного интеллекта. Сотрудники службы безопасности обнаружили аномалию, заменили устройство и обновили соответствующие учетные данные.

Однако, по словам Binance, этот инцидент раскрыл роль инженера и его коллег, работающих над инфраструктурой кошельков.

В сентябре второй инженер был обращен через легитимную платформу для подбора персонала человеком, представившимся руководителем проекта. После видеоинтервью с человеком, представившимся сотрудником отдела кадров, последовало еще одно интервью с якобы генеральным директором вымышленной компании.

Возможно, вам будет интересно: Южная Корея требует усиления мер безопасности в сфере криптовалют после взлома Binance

В конце концов, инженеру было предложено загрузить репозиторий с заданиями на рабочий компьютер. Во время установки запустился вредоносный код, который заменил легитимный инструмент разработки pyenv на скомпрометированную версию.

Компания Binance описала вредоносное ПО как ранее не обнаруженное ее инструментами безопасности и заявила, что оно скрывало свою активность и удаляло следы.

20 октября злоумышленник использовал скомпрометированный компьютер и внутренний инструмент на основе искусственного интеллекта, чтобы получить контроль над компьютерами двух инженеров, работающих с кошельками. Один из них хранил токен для развертывания контейнера.

Через несколько дней, 29 октября, злоумышленник использовал эти украденные учетные данные для развертывания контейнера и запуска вредоносного скрипта, который получил доступ к операциям подписи кошельков.

Разрешения Ethereum позволили продолжить переводы после приостановки вывода средств.

В период с 20:05 до 20:09 UTC 29 октября пять "горячих" кошельков Binance перевели 233,46 миллиона XRP на адрес, контролируемый злоумышленником, согласно отчету. Другие кошельки перевели приблизительно 970 500 SOL, 44,2 миллиона OP и 18 270 BTC.

Затем злоумышленник использовал сервис подписи для установления вредоносных разрешений с помощью механизма EIP-7702 в сети Ethereum, который позволяет кошельку делегировать выполнение кода смарт-контракта.

В предыдущем отчете о результатах атаки на кошельки было объяснено, как злоумышленник использовал функцию EIP-7702 в сети Ethereum, чтобы предоставить вредоносному смарт-контракту разрешение на перевод средств с "горячего" кошелька Binance, известного как Binance 14.

Компания Binance заявила, что приостановка вывода средств не может отменить уже установленные разрешения в сети Ethereum. Для отмены этих разрешений в многостороннем кошельнике требовалась специальная процедура, поскольку не было доступного единого закрытого ключа для немедленной отмены.

Последний несанкционированный перевод, включавший 2961,9 ETH, был завершен в 23:56 UTC после того, как транзакция была отправлена и оставалась в ожидании. Компания Binance отменила делегирование для Binance 14 в 00:10 UTC 30 октября.

31 октября в предупреждении ФБР связало кражу с деятельностью группы TraderTraitor, связанной с Северной Кореей. Агентство заявило, что работает с Управлением секретной службы США и Управлением по расследованию преступлений IRS и призвала поставщиков услуг блокировать транзакции, связанные с идентифицированными адресами.

Эксперты считают, что внедрение будет продолжаться, при этом особое внимание будет уделяться защите активов.

Джо Стико, соучредитель и генеральный директор Cryptex Finance, сообщил изданию crypto.news, что не ожидает, что этот инцидент приведет к многолетнему откату в процессе внедрения.

Он указал на действия компаний Tether, Circle и DeFi-протоколов по заморозке затронутых активов в качестве доказательства того, что участники отрасли могут координировать свои действия во время серьезных сбоев. Стико считает, что этот инцидент может увеличить спрос на регулируемые биржи и более надежные методы хранения, включая холодное хранение.

Джеймс Баттерфилл, руководитель отдела исследований компании CoinShares, подчеркнул юридическую защиту, связанную с хранением активов.

"Этот инцидент подчеркивает важность правовой базы, регулирующей хранение активов. MiCA обеспечивает значительно более надежную защиту для клиентов авторизованных организаций, таких как Coinbase Luxembourg, включая разделение активов клиентов и ответственность за убытки, связанные с хранением, вызванные инцидентами, произошедшими по вине поставщика", - заявил Баттерфилл изданию crypto.news.

"Эти меры защиты усиливают ответственность, но авторизация не может предотвратить каждую хакерскую атаку, защитить инвесторов от рыночных потерь или предоставить общую схему компенсации инвесторам."

Баттерфилл добавил, что регулируемое хранение криптовалютных активов предлагает более надежную защиту, не делая активы эквивалентными банковским депозитам, защищенным схемой гарантирования депозитов.

Binance восстанавливает затронутые системы и проводит проверки.

Компания Binance заявила, что примерно 2,85 миллиарда долларов были заморожены или перехвачены, при этом окончательная сумма может быть скорректирована в зависимости от результатов сверки и изменений рыночных цен. В рамках ранее объявленного плана восстановления, компания выделила средства, превышающие оценочные потери, для компенсации ущерба, нанесенного затронутым активам.

Представители биржи сообщили, что была восстановлена среда затронутых кошельков и внутренний инструмент искусственного интеллекта, заменены скомпрометированные устройства, аннулированы учетные данные, а также проведено сканирование устройств сотрудников.

Компания Binance привлекла независимые фирмы в области кибербезопасности для анализа произошедшего и планирует увеличить расходы на безопасность разработчиков, защиту конечных устройств и мониторинг поведения пользователей.