Шесть миллиардов долларов, украденных во время собеседования. Компания Binance опубликовала во вторник, 3 ноября, свой предварительный отчет о взломе, произошедшем 29 октября. И история этого взлома Binance начинается очень далеко от серверов. Один из инженеров откликнулся на предложение о работе и загрузил "упражнение" с кодом. Через несколько недель 6,34 миллиарда долларов покинули "горячие" кошельки платформы.

Компания заявляет, что самостоятельно покрывает убытки. По состоянию на 31 октября 98% активов, подвергшихся воздействию, были восстановлены, а 2,85 миллиарда долларов были заморожены или перехвачены.

Основные моменты:

• Два инженера стали жертвами атаки: один из-за зараженной версии Homebrew, установленной в июне, а другой – из-за фиктивного найма в сентябре.
• Внутренний инструмент искусственного интеллекта позволил хакерам перемещаться между учетными записями, пока они не добрались до сервиса подписи кошельков.
• Делегированные транзакции EIP-7702, зарегистрированные в блокчейне, продолжали опустошать кошелек, несмотря на приостановку вывода средств.

Взлом Binance: фальшивые рекрутеры и зараженная версия Homebrew

Все началось в июне. Один из инженеров команды Wallet DevOps искал инструмент кодирования на основе искусственного интеллекта в поисковой системе. Он наткнулся на модифицированную версию Homebrew, менеджера пакетов для разработчиков на Mac. Отдел безопасности Binance обнаружил аномалию, заменил компьютер и изменил все учетные данные.

Но было уже слишком поздно. Хакеры теперь знали его роль, а также роли его коллег из отдела инфраструктуры кошельков.

Второй акт разыгрался в сентябре на вполне легитимной платформе для поиска работы. Другой инженер, в профиле которого упоминалась компания Binance, получил предложение от якобы руководителя проекта. Последовал первый видео-интервью с рекрутером. Чтобы завоевать доверие, она даже поделилась своей учетной записью в социальной сети, включая личные фотографии и видео. Затем второй этап прошел в обычном мессенджере, в общении с якобы генеральным директором вымышленной компании. В конце концов, ему было предложено загрузить "задание" на свой рабочий компьютер.

В репозитории кода содержался zero-day вредоносный код, который на тот момент был неизвестен антивирусам. Он, в частности, заменил pyenv, инструмент для Python, на зараженную версию, которая взаимодействовала с сервером злоумышленников. Ни одна из установленных на компьютере защит не сработала.

Этапы, выполняемые вредоносным кодом для замены инструмента pyenv на компьютере зараженного инженера. Источник: Binance, предварительный отчет от 3 ноября 2026 года.

« Наше расследование показало, что это была сложная кампания, проведенная в несколько этапов. Это было не единичное вторжение и не просто случайный фишинговый инцидент.»

Binance, первоначальный отчет от 3 ноября 2026 года.

Binance сообщает, что предотвратила 57 попыток взлома, связанных с Северной Кореей, в 2026 году. Однако 58-я попытка оказалась успешной.

Внутренний инструмент искусственного интеллекта Binance стал отправной точкой

Хакеры активизировались 20 октября. Используя скомпрометированный компьютер, они перепрограммировали внутренний инструмент искусственного интеллекта Binance, чтобы получить контроль над двумя другими машинами. Среди них была машина инженера DevOps, на которую была совершена атака в июне. В основном, они получили доступ к токену авторизации для развертывания контейнеров.

29 октября, с 18:15 до 20:56, они подключились к рабочему месту третьего инженера, развернули контейнер и запустили свой скрипт. Этот скрипт открыл доступ к внутренней службе, которая подписывает транзакции кошельков, обходя обычный процесс вывода средств.

Затем все произошло очень быстро. Пять "горячих" кошельков перевели 233,46 миллиона XRP на адрес, принадлежащий злоумышленникам, в период с 21:05 до 21:09 по парижскому времени. Также были переведены примерно 970 500 SOL, 44,2 миллиона OP на платформе Optimism и 18 270 BTC.

В отчете Binance о взломе не упоминается конкретный инструмент искусственного интеллекта. Платформа лишь указывает, что она восстановила его, вместе с его системами контроля доступа, и обещает создать исследовательский фонд по вопросам безопасности искусственного интеллекта в блокчейне.

Почему отключение вывода средств оказалось недостаточным в связи с EIP-7702

Binance немедленно приостановила вывод средств после получения внутренней тревоги. Однако утечка средств продолжалась на платформе Ethereum.

Хакеры использовали службу подписи для эксплуатации EIP-7702, которая была внедрена вместе с обновлением Pectra в мае 2025 года. Этот механизм позволяет обычному аккаунту передать часть своих полномочий смарт-контракту, при этом закрытый ключ остается недоступным. Используя 50 подписанных транзакций, злоумышленники сначала манипулировали nonce кошелька (счетчиком транзакций). Затем они передали частичные права на "горячий" кошелек Binance своему собственному контракту.

Однако эти разрешения существуют в блокчейне. Поэтому отключение вывода средств на платформе не отменяет их.

Поскольку "горячий" кошелек работал на основе MPC (многосторонней вычислительной), не существовало единого закрытого ключа, который можно было бы немедленно использовать для отмены вредоносных разрешений EIP-7702. Поэтому команде пришлось разработать и выполнить специальную процедуру, что потребовало дополнительного времени.

Binance, первоначальный отчет от 3 ноября 2026 года.

MPC (распределенный вычислений) распределяет ключ между несколькими участниками. Это защищает от кражи единого ключа, но замедляет реакцию в экстренных ситуациях. Так, последняя транзакция в размере 2961,9 ETH была завершена только в 0:56 по парижскому времени. Делегирование было удалено только в 1:10, 30 октября, согласно отчету, опубликованному Binance в X.

ФБР возлагает ответственность за атаку на группу TraderTraitor. Эта северокорейская группа уже была обвинена Вашингтоном в краже 1,5 миллиарда долларов у компании Bybit в феврале 2025 года. В свою очередь, Binance инициировала независимый аудит произошедшего взлома.

Вывод средств был возобновлен в воскресенье для Bitcoin, а затем во вторник в 5:00 по парижскому времени для девяти других сетей, включая Ethereum, Solana и XRP. По данным ФБР, хакеры из TraderTraitor уже конвертируют украденные средства в эфир, чтобы затем отмыть их через DeFi-платформы и платформы мгновенного обмена.