Binance сообщает, что в 2026 году заблокировала 57 потенциальных киберугроз, связанных с Северной Кореей, и вернула 98% токенов, украденных в результате взлома на сумму 6,34 миллиарда долларов.

Сооснователь и сопредседатель Binance, И Хэ, в своем посте от 3 ноября на платформе X рассказала о попытках проникновения и поделилась результатами расследования инцидента безопасности, произошедшего 29 октября.

В ее сообщении описывались многочисленные попытки связаться с сотрудниками через подбор персонала, загрузку программного обеспечения и социальную инженерию. Использовались такие методы, как фиктивные собеседования, скомпрометированные программные пакеты и расширения для браузеров, а также вредоносные программы, представленные как популярные инструменты для разработчиков.

Поддельные приложения для видеоконференций также использовались, а также кампании, направленные на кражу учетных данных или установку вредоносного ПО, которое предоставляет злоумышленникам удаленный доступ к компьютеру.

"Мы перехватили многие из них, но цена того, что даже одна из них осталась незамеченной, была огромной, и этого никогда не должно было произойти", - написала И Хэ.

Возможно, вам будет интересно: Binance выявила связь между взломом на 6,34 миллиарда долларов и фиктивными собеседованиями и уязвимостью в инструменте на основе искусственного интеллекта

Binance описывает, как фиктивное собеседование достигло сотрудника

Согласно первичным результатам расследования, в сентябре к инженеру-программисту обратился человек, представившийся руководителем проекта, через легитимную платформу для поиска работы.

Представитель отдела кадров провел видеоинтервью и предоставил профиль в социальной сети, содержащий личные фотографии и видео. Второй интервьюер, представившийся генеральным директором вымышленной компании, попросил инженера загрузить задание на рабочий компьютер.

Binance сообщила, что задание содержало вредоносный код, который запустился во время установки и обошел системы защиты, используемые на компьютере.

20 октября злоумышленник использовал скомпрометированный компьютер и внутренний инструмент на основе искусственного интеллекта для доступа к двум инженерам, работающим с кошельками. Полученные учетные данные впоследствии позволили получить доступ к операциям по подписи кошельков.

В сообщении Binance описываются различные этапы проникновения, хотя в посте И Хэ не указано, сколько из 57 предполагаемых случаев были связаны с подбором персонала.

Ранее выявленные факты об авторизации кошельков показали, что часть кражи была связана с Binance 14, горячим кошельком Ethereum. Blockaid обнаружила 50 запросов на авторизацию EIP-7702, один из которых успешно делегировал права выполнения вредоносному контракту.

Binance сообщает о восстановлении 98% средств и продолжении покупок токенов

В своем отчете от 3 ноября Binance сообщила, что 98% затронутых активов в токенах были восстановлены, и что компания продолжает приобретать оставшиеся, менее ликвидные активы. Компания заявила, что выделила средства, превышающие сумму убытков.

Как ранее сообщало издание crypto.news, 1 ноября Binance возобновила вывод средств в биткоинах, когда Ричард Тенг заявил, что процесс пополнения счетов был выполнен примерно на 95%.

Биржа сообщила, что BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD и ZEC полностью обеспечены. В уведомлении о восстановлении указывалось, что приобретение оставшихся токенов, не входящих в этот список, занимает больше времени из-за необходимости приобретения их в требуемых объемах.

По данным ранее опубликованных отчетов Binance, для восполнения средств использовались средства Фонда защиты активов пользователей, избыточные резервы Фонда страхования фьючерсов и корпоративные средства Binance.

Доступ к выводу средств постепенно восстанавливался для отдельных активов и сетей. 3 ноября Binance восстановила вывод средств для 31 дополнительного актива в сети Ethereum и 20 в сети Solana, после возобновления работы пяти стейблкоинов Ethereum.

Американские следователи выявили активность TraderTraitor

31 октября ФБР опубликовало предупреждение о киберугрозах, в котором указало, что за кражей стоят киберпреступники из Северной Кореи, и идентифицировало их действия как TraderTraitor.

В сотрудничестве с Секретной службой США и Управлением по борьбе с преступностью при Министерстве финансов США, ФБР зафиксировало, что злоумышленники в основном конвертируют украденные активы в Ether. В сообщении также указывалось, что ожидается дальнейшая отмывка средств через децентрализованные финансовые сервисы и сервисы мгновенного обмена.

Ведомства призвали криптовалютные биржи, компании, занимающиеся анализом блокчейна, сервисы DeFi и операторов инфраструктуры, блокировать транзакции, связанные с указанными адресами или активами, полученными из них.

3 ноября Северная Корея отрицала свою причастность. По данным Associated Press, Ким Ё Чжон отвергла обвинения ФБР в заявлении, опубликованном государственными СМИ.

Украденные средства участвуют в транзакциях CoinJoin

Отдельные исследования зафиксировали перемещение украденных активов в период, когда Binance закупала средства для компенсации убытков.

Компания Elliptic выявила, что примерно 28 BTC, стоимостью 2,2 миллиона долларов, были задействованы в 18 транзакциях CoinJoin в период с 1 ноября по начало 2 ноября. Биткоины поступили от конвертированных украденных активов, в то время как 18 270 BTC, непосредственно изъятых с Binance, оставались на 19 адресах на момент анализа.

В ходе расследования были проанализированы примерно 12 000 кошельков, 11 блокчейнов и более 40 000 транзакций. Адреса, связанные с кражей, все еще содержали, по оценкам, 3,24 миллиарда долларов, в основном в Ethereum и Bitcoin.