Криптовалютная биржа Binance раскрыла подробности масштабной кибератаки. Аналитики выяснили, что получить доступ к системе управления криптокошельками криптобиржи злоумышленникам удалось благодаря использованию методов социальной инженерии, вредоносного ПО и внутренних AI-инструментов компании.
Binance, крупнейшая по объему торгов криптовалютная биржа, опубликовала предварительные результаты расследования хакерской атаки, которая затронула цифровые активы на сумму около $6,34 млрд. Согласно отчету, атаке предшествовала многоэтапная кампания, начавшаяся за несколько месяцев до инцидента. Злоумышленники последовательно скомпрометировали рабочие устройства сотрудников, получили доступ к внутренней инфраструктуре и использовали сервис подписания транзакций для несанкционированного перевода активов.
Расследование показало, что первый контакт злоумышленников с компанией произошел еще в июне, когда сотрудник подразделения Wallet DevOps скачал модифицированный Homebrew, который был необходим чтобы установить популярный AI-инструмент для программирования. Система безопасности Binance обнаружила аномалию, после чего устройство заменили, а связанные учетные данные обновили. Однако злоумышленники получили информацию о роли инженера и его коллегах, работавших с инфраструктурой криптокошельков.
Далее хакеры начали применять методы социальной инженерии. Так, одним из ключевых способов проникновения в инфраструктуру Binance стала поддельная процедура трудоустройства. В сентябре 2026 года с инженером компании связался человек, представившийся руководителем проекта. После первого видеособеседования с предполагаемым HR-специалистом сотрудник прошел второе интервью с человеком, выдававшим себя за генерального директора фиктивной компании.
В ходе второго собеседования инженеру предложили скачать на рабочий компьютер тестовое задание в виде репозитория с программным кодом. При настройке проекта запустилось вредоносное ПО, которое заменило инструмент разработки pyenv и установило соединение с сервером злоумышленников. Вредоносное ПО использовало сложные методы маскировки и обхода защиты, благодаря чему системы безопасности Binance не смогли его обнаружить в момент заражения.
20 октября атакующие использовали ранее скомпрометированный компьютер и внутренний AI-инструмент Binance для получения контроля над устройствами еще двух инженеров. На одном из них был обнаружен токен, предоставлявший разрешения на развертывание контейнеров.
Непосредственно перед взломом, 29 октября с 17:15 до 19:56 UTC, злоумышленники подключились к компьютеру одного из инженеров, применили похищенные учетные данные для развертывания контейнера и запустили вредоносный скрипт.
Почему Binance не смогла сразу остановить хищение
Получив несанкционированный доступ к внутреннему сервису подписания транзакций, атакующие инициировали переводы в обход стандартной процедуры вывода средств.
В ходе атаки были зафиксированы следующие операции:
- 233,46 млн XRP переведены с пяти горячих кошельков Binance в течение четырех минут — с 20:05 до 20:09 UTC;
- около 970 500 SOL и 44,2 млн OP отправлены с горячих кошельков в сетях Solana и Optimism;
- 18 270 BTC выведены на адрес, контролируемый злоумышленниками;
- 2 961,9 ETH переведены в рамках последней несанкционированной транзакции, подтвержденной в 23:56 UTC.
Злоумышленники также воспользовались механизмом EIP-7702 в сети Ethereum, который позволяет передавать смарт-контрактам права на управление кошельком. С помощью 50 транзакций они предоставили подконтрольному им смарт-контракту возможность переводить активы с горячего кошелька Binance в обход стандартной процедуры вывода средств.
Из-за этого процедура приостановки вывода средств не позволила полностью заблокировать несанкционированные транзакции. Созданные в блокчейн-сети разрешения продолжали действовать независимо от стандартной инфраструктуры вывода криптовалют.
Дополнительную сложность представляло использование технологии Multi-Party Computation (MPC) для управления горячим кошельком. Отсутствие единого приватного ключа не позволяло немедленно отозвать вредоносные разрешения. Специалистам Binance пришлось разработать отдельную процедуру их аннулирования.
Окончательно делегированные полномочия были сброшены только 30 октября в 00:10 UTC путем создания новой авторизации на нулевой адрес с горячего кошелька Binance. После подтверждения последнего несанкционированного перевода в 23:56 UTC новых хищений не зафиксировали.
Как Binance усиливает защиту инфраструктуры и пользователей
По данным Binance, из $6,34 млрд затронутых атакой цифровых активов около $2,85 млрд удалось заморозить или перехватить благодаря взаимодействию с правоохранительными органами, аналитическими компаниями и отраслевыми партнерами. Это приблизительно 45% от общей суммы.
Биржа заявила, что полностью возьмет на себя финансовые последствия взлома. Для покрытия потерь уже зарезервированы средства в объеме более 100% необходимой суммы. По состоянию на 31 октября доля восстановленных активов составила 98%, что отражено в системе Proof of Reserves. Оставшиеся менее ликвидные активы компания продолжает приобретать.
Binance реализовала ряд мер для устранения последствий атаки и усиления безопасности инфраструктуры. В частности:
- полностью перестроила затронутую инфраструктуру криптокошельков в новой среде;
- восстановила внутренний AI-инструмент и пересмотрела механизмы контроля доступа к нему;
- заменила скомпрометированные устройства сотрудников и отозвала связанные с ними учетные данные и токены доступа;
- провела дополнительные проверки безопасности всех устройств сотрудников;
- усилила контроль рисков кошельковых сервисов и системы обнаружения поведенческих аномалий на основе AI-технологий.
В дальнейшем компания планирует привлечь независимых экспертов для аудита безопасности, увеличить инвестиции в защиту AI-инструментов и рабочих сред разработчиков, а также создать исследовательский фонд и запустить совместные с отраслевыми партнерами инициативы в области AI-безопасности и блокчейн-инфраструктуры.
Binance возобновляет вывод средств на фоне замедления оттока капитала
Криптобиржа также приступила ко второму этапу восстановления возможностей вывода криптовалют после взлома. С 3 ноября стали полностью доступны операции с активами в сетях Ethereum, Solana, BNB Smart Chain и XRP Ledger. Биржа также восстановила вывод средств в ряде фиатных валют, включая USD, AED, VND, PHP и IDR.
На фоне возобновления операций отток капитала с платформы начал замедляться. По данным DefiLlama, 2 ноября чистый отток средств с Binance составил $2,57 млрд, что на 58% ниже показателя сутками ранее, когда пользователи вывели $6,1 млрд со счетов криптобиржи.
Представители Binance также отдельно предупредили о мошенниках, которые используют ситуацию для распространения фальшивых предложений по ускоренному выводу средств и получению компенсаций. Биржа подчеркнула, что восстановление операций осуществляется поэтапно после завершения проверок безопасности, а платные услуги по ускорению этого процесса являются мошенническими.
Напомним, в ночь на 30 октября 2026 года криптовалютная биржа Binance подверглась масштабной хакерской атаке, общий ущерб от которой составил порядка $6,36 млрд. В первые сутки после взлома пользователи вывели $6,33 млрд со счетов криптобиржи.
