Хакеры месяцами проникали во внутренние системы Binance, прежде чем похитить с крупнейшей криптовалютной биржи около 6,34 млрд долларов. Для подготовки рекордной кражи преступники использовали заражённые инструменты разработки, поддельные собеседования и внутренний ИИ-сервис компании.
Binance раскрыла подробности многоэтапной атаки, завершившейся 29 октября. Злоумышленники последовательно скомпрометировали компьютеры нескольких инженеров, получили доступ к инфраструктуре криптовалютных кошельков и заставили внутренние системы подтверждать незаконные переводы. По оценке исследователей TRM Labs, средства вывели из кошельков биржи в десяти блокчейнах, причём основную часть похитили примерно за 20 минут.
История началась ещё в июне 2026 года, когда инженер команды криптокошельков искал инструмент для программирования с использованием искусственного интеллекта. Сотрудник установил модифицированный пакет Homebrew, содержавший вредоносный код. Система безопасности Binance обнаружила заражение, после чего компания заменила компьютер и обновила учётные данные. Однако преступники уже успели собрать информацию о должности инженера и его коллегах.
В сентябре атакующие выбрали другую жертву и организовали полноценную операцию с применением социальной инженерии. Через настоящую площадку поиска работы злоумышленник связался с инженером Binance, представившись руководителем проекта. Затем подключился подставной кадровый специалист, который провёл видеособеседование и показал профиль в социальной сети с личными фотографиями, чтобы вызвать доверие.
Следующее собеседование провёл якобы генеральный директор новой компании. После разговора инженеру предложили выполнить тестовое задание и скачать репозиторий с программным кодом на рабочий компьютер. Внутри находилось вредоносное ПО, сумевшее обойти защиту конечного устройства. По словам директора по безопасности Binance Джимми Су, заражение произошло именно после запуска такого задания.
Подобные поддельные собеседования давно входят в арсенал северокорейских хакерских группировок. Преступники изображают работодателей, проводят несколько этапов отбора и убеждают разработчиков запускать тестовые проекты. В отличие от обычного фишинга, жертва сама заинтересована в общении и ожидает получить программный код для проверки своих навыков.
К 20 октября злоумышленники использовали заражённый компьютер и внутренний ИИ-инструмент Binance для проникновения на устройства ещё двух инженеров, работавших с криптовалютными кошельками. На одном из компьютеров преступники обнаружили полномочия для развёртывания программных контейнеров. Девять дней спустя атакующие воспользовались похищенными учётными данными, развернули контейнер и запустили вредоносный скрипт, который инициировал незаконные переводы.
Первые средства начали покидать горячие кошельки Binance примерно в 20:05 UTC 29 октября. Горячими называют криптовалютные кошельки, подключённые к интернету и предназначенные для повседневных операций, включая вывод средств клиентами. Анализ блокчейнов показал, что злоумышленники смогли получать корректные криптографические подтверждения переводов сразу в нескольких сетях, включая Ethereum, Bitcoin, Tron, Solana и XRP Ledger.
Особенно необычным оказался механизм вывода средств из Ethereum. Преступники воспользовались EIP-7702, стандартом, позволяющим обычному криптовалютному адресу передавать выполнение операций программируемому смарт-контракту. Разрешение оформляется специальной криптографической подписью, после чего выбранная программа может выполнять действия от имени кошелька. Сам стандарт не содержит обнаруженной в данном случае уязвимости, но позволяет злоупотреблять полученными полномочиями.
Согласно анализу транзакций, в 20:20 UTC атакующие отправили пакет из 50 заранее подготовленных разрешений EIP-7702. Каждое соответствовало отдельному значению счётчика операций кошелька, который постоянно менялся из-за клиентских переводов. Один из вариантов оказался действительным, и злоумышленники подключили к кошельку Binance подконтрольный смарт-контракт для автоматического вывода активов.
Через три минуты и 24 секунды после передачи полномочий преступники вывели 167 464 ETH и ещё 63 вида токенов, включая 1,615 млрд USDT. Вредоносное делегирование оставалось активным, поэтому атакующие могли повторно забирать средства, поступавшие на тот же адрес. Исследователи обнаружили дополнительные операции в 20:41, 20:59, 21:04, 21:44, 22:39 и 23:56 UTC. Через захваченный механизм преступники также получили возможность вывести 823 млн USDC с другого смарт-счёта Binance.
Обычная приостановка клиентского вывода средств не устраняла выданные смарт-контракту полномочия. Дополнительную сложность создавала система многосторонних вычислений MPC, с помощью которой Binance защищала криптовалютные кошельки. Вместо одного ключа управление подписью распределялось между несколькими участниками. По объяснению компании, отдельного ключа было недостаточно для отмены вредоносного делегирования. Окончательно прекратить действие разрешения удалось только к 00:10 UTC 30 октября.
Причём EIP-7702 объясняет лишь часть кражи. В остальных блокчейнах хакеры применяли обычные подписанные транзакции, не требовавшие делегирования через Ethereum. Почти одновременное получение действительных подписей для кошельков с разными криптографическими механизмами указывает на вероятную компрометацию общей инфраструктуры подтверждения переводов. В Binance ранее подчеркнули, что доказательств утечки приватных ключей пока не обнаружено.
Блокчейн-аналитики установили, что преступники заранее подготовили адреса для приёма украденных активов. Один из управляющих кошельков получил средства через криптомиксер Tornado Cash, затрудняющий отслеживание происхождения криптовалюты. После начала атаки хакеры торопились обменять часть похищенных стейблкоинов USDT и USDC на ETH, поскольку эмитенты стейблкоинов способны замораживать токены на определённых адресах, а обычный Ethereum не имеет аналогичного централизованного механизма блокировки.
По оценке Chainalysis, атакующие успели обменять стейблкоины на сотни миллионов долларов ещё до того, как соответствующие адреса попали под ограничения. Для сокрытия происхождения средств преступники использовали большое количество транзакций и промежуточных кошельков. При этом аналитики обнаружили связь похищенных активов с криптовалютой, украденной при предыдущем нападении на биржу Bitget, которое также связывали с северокорейскими операторами.
Сразу после взлома Binance начала совместную работу с эмитентами токенов, правоохранительными органами и компаниями по анализу блокчейнов. По последней оценке биржи, удалось заморозить или перехватить активы примерно на 2,85 млрд долларов. В исследовании Elliptic уточняется, что почти вся заблокированная сумма приходится на USDT и USDC. При этом заморозка не равнозначна возврату денег, а значительная часть остальных активов находится в криптовалютах, которые нельзя заблокировать по распоряжению отдельной компании.
Binance пообещала полностью покрыть потери за счёт корпоративных средств и страхового фонда SAFU, не перекладывая финансовый ущерб на клиентов. К 3 ноября, по словам руководства биржи, объём восполненных активов достиг примерно 98% от затронутой суммы. Ещё 30 октября компания объявила о резервировании более 6,34 млрд долларов, однако первоначально только около 80% пострадавших активов удалось заместить соответствующими криптовалютами.
Компания также опубликовала обновлённое подтверждение резервов. Для BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD и ZEC биржа заявила обеспечение клиентских остатков не ниже 100%. Снимок резервов от 31 октября сопровождается криптографическим доказательством, позволяющим клиентам самостоятельно проверить наличие обеспечения своих балансов. Проверка охватывает перечисленные активы на момент снимка и не означает завершения расследования.
После временной остановки операций Binance начала поэтапно восстанавливать вывод криптовалюты. Первая группа сетей заработала 1 ноября, а 3 ноября биржа расширила список доступных активов. В первые девять с половиной часов после открытия вывода клиенты забрали 4,649 млрд долларов и внесли 1,01 млрд долларов. Чистый отток составил около 3,64 млрд долларов, или 2,1% от заявленной биржей стоимости активов под управлением на тот момент.
ФБР возложило ответственность за нападение на северокорейскую группировку TraderTraitor. Американские следователи сообщили, что преступники преимущественно конвертируют похищенные средства в ETH и могут продолжить их отмывание через децентрализованные финансовые сервисы. Бюро призвало криптовалютные биржи, операторов блокчейн-инфраструктуры и обменные платформы блокировать операции с адресами, связанными с атакой.
TraderTraitor уже фигурировала в расследовании взлома Bybit в феврале 2025 года. Тогда злоумышленники похитили около 1,5 млрд долларов в криптовалюте. Нынешняя кража примерно в четыре раза превосходит предыдущий рекорд. По оценке TRM Labs, с 2017 года северокорейские хакеры похитили около 12,8 млрд долларов в результате примерно 100 криптовалютных инцидентов, причём 7,4 млрд долларов из указанной суммы приходятся на 2026 год.
Власти КНДР отвергли обвинения. Ким Ё Чжон, сестра северокорейского лидера Ким Чен Ына, назвала заявления ФБР абсурдными и политически мотивированными. По её словам, Вашингтон пытается представить Северную Корею виновницей международных киберпреступлений независимо от обстоятельств конкретных нападений. Американская атрибуция и независимые выводы блокчейн-аналитиков не изменили официальной позиции Пхеньяна.
После происшествия Binance перестроила затронутую инфраструктуру кошельков, заменила скомпрометированные устройства, отозвала связанные с ними учётные данные и усилила контроль внутренних сервисов. Компания привлекла независимых специалистов для проверки безопасности и объявила о дополнительных инвестициях в системы обнаружения атак с использованием искусственного интеллекта. По словам руководства, только за 2026 год защитные механизмы биржи предотвратили 57 подозрительных операций, которые связывали с северокорейскими группировками.
Главный вопрос расследования теперь касается не столько самого вредоносного скрипта, сколько полномочий, которые позволили ему распоряжаться активами сразу в нескольких блокчейнах. История Binance показала, что даже защита с распределёнными криптографическими ключами не гарантирует безопасности, если злоумышленник получает возможность отдавать команды системе подписания. В таком случае математически корректная подпись подтверждает происхождение операции, но не доказывает, что перевод действительно разрешён владельцем средств.
