Компания Binance заявила, что хакеры использовали фиктивное собеседование для взлома компьютера сотрудника, а затем использовали внутренний инструмент искусственного интеллекта для доступа к инфраструктуре кошельков и похищения цифровых активов на сумму более 6,3 миллиарда долларов.

В первоначальном отчете об инциденте, опубликованном во вторник, крупнейшая в мире криптовалютная биржа подробно описала, как злоумышленники использовали вредоносное ПО и украденные учетные данные для доступа к системам подписи кошельков. Binance заявила, что заморозила или перехватила активы на сумму около 2,85 миллиарда долларов и восстановила 98% затронутых активов.

"Это не была одна ошибка или одно нарушение – это была многомесячная кампания. Мы публикуем полный отчет, потому что уроки, извлеченные из этого, выходят далеко за рамки Binance", - заявил со-генеральный директор Ричард Тенг в X. "Скорость координации была несравнима с традиционными финансовыми системами."

Binance заявила, что ФБР связало атаку с Северной Кореей, в то время как собственное расследование показало, что хакеры использовали социальную инженерию, вредоносное ПО и скомпрометированные внутренние инструменты искусственного интеллекта для получения доступа к инфраструктуре подписи кошельков и авторизации несанкционированных транзакций.

Согласно отчету, злоумышленники впервые атаковали инженера-разработчика, занимающегося DevOps кошельков, в июне, используя подделанную установку Homebrew, загруженную им во время попытки установки инструмента для кодирования с использованием искусственного интеллекта. Binance заявила, что ее отдел безопасности обнаружил аномалию, заменил устройство и сменил затронутые учетные данные, но инцидент раскрыл информацию о роли инженера и его коллегах. В сентябре злоумышленники атаковали другого сотрудника, используя фиктивный процесс найма, выдавая себя за руководителей компании, а затем обманом заставили его загрузить вредоносное задание для кодирования, которое заразило его рабочий компьютер и предоставило хакерам несанкционированный доступ.

20 октября злоумышленники использовали скомпрометированный компьютер сотрудника и внутренний инструмент искусственного интеллекта для получения контроля над устройствами двух других инженеров, обнаружив разрешение на развертывание контейнера на одном из них. Девять дней спустя они использовали украденные учетные данные для развертывания контейнера и запуска вредоносного скрипта, который инициировал атаку на кошельки.

Binance заявила, что обнаружила и предотвратила 57 предполагаемых кибератак, связанных с Северной Кореей, в течение 2026 года, многие из которых использовали аналогичные методы, такие как фиктивные собеседования, вредоносные инструменты для разработчиков и социальная инженерия. В понедельник сестра лидера Северной Кореи Ким Чен Ына назвала заявления ФБР, связывающие Северную Корею с взломом, "серьезной политической провокацией".

Binance заявила, что с тех пор закрыла точки доступа, использованные при атаке, восстановила или заменила затронутые системы, усилила контроль над устройствами и расширила систему обнаружения аномалий на основе искусственного интеллекта.

Отдельно сообщается, что биржа продолжала восстанавливать нормальную работу, поэтапно возобновляя вывод средств для десятков активов на сетях BSC, Ethereum, Solana, XRP, Sui, Arbitrum, Optimism, TRON и Base, начиная с 4:00 UTC 3 ноября. Binance заявила, что приоритизирует токены в зависимости от спроса пользователей за последнюю неделю. Позднее биржа сообщила, что почасовые депозиты превысили объемы вывода средств, что, по ее мнению, свидетельствует о стабилизации потоков и улучшении активности пользователей.