Binance опубликовала предварительные результаты расследования масштабной кибератаки, произошедшей 29 октября 2026 года. По данным биржи, злоумышленники готовили операцию несколько месяцев и использовали сразу несколько методов: заражённое программное обеспечение, социальную инженерию, поддельное собеседование, внутренние ИИ-инструменты и доступ к инфраструктуре кошельков. Общая стоимость затронутых цифровых активов оценивается примерно в $6,34 млрд.
Первый известный этап атаки произошёл ещё в июне. Один из инженеров подразделения Wallet DevOps искал в интернете популярный ИИ-инструмент для программирования и загрузил модифицированный установщик Homebrew — менеджера пакетов, широко используемого на компьютерах Mac. В установщик было встроено вредоносное программное обеспечение.
Система безопасности Binance заметила подозрительную активность. Компания заменила рабочее устройство сотрудника и обновила связанные с ним учётные данные. Однако позднее выяснилось, что к этому моменту злоумышленники уже успели получить информацию о роли инженера в компании и определить других сотрудников, работавших с инфраструктурой криптовалютных кошельков.
Следующий важный этап произошёл в сентябре. Атакующие организовали фальшивый процесс найма и связались с другим сотрудником Binance под видом представителей сторонней компании. После видеособеседования инженеру отправили репозиторий с якобы тестовым заданием по программированию.
Внутри задания находилось вредоносное ПО. По данным Binance, оно использовало ранее неизвестную уязвимость и применяло методы сокрытия активности, поэтому установленная на рабочих компьютерах система защиты первоначально не смогла обнаружить угрозу. Злоумышленники получили доступ к ещё одному устройству и закрепились внутри рабочей среды.
Компания выяснила, что вредоносный код подменял один из компонентов среды разработки pyenv. Оригинальный исполняемый файл удалялся, после чего вместо него устанавливалась изменённая версия, способная запускать команды и устанавливать соединение с внешним сервером атакующих.
20 октября злоумышленники перешли к следующей стадии. Используя уже скомпрометированный компьютер одного из инженеров, они задействовали внутренний ИИ-инструмент Binance как промежуточный механизм для получения доступа к устройствам других сотрудников команды кошельков.
В процессе атакующие обнаружили на компьютере одного из инженеров токен, позволявший развёртывать контейнеры во внутренней инфраструктуре Binance. Именно этот доступ впоследствии стал важной частью подготовки непосредственной атаки на систему подписи транзакций.
29 октября злоумышленники вошли в систему с использованием ранее полученных учётных данных, развернули вредоносный контейнер и запустили подготовленный сценарий. Через внутренний сервис подписи транзакций они смогли инициировать переводы в обход обычного процесса вывода средств пользователями.
Одна из первых крупных операций произошла между 20:05 и 20:09 по UTC. Всего за четыре минуты пять горячих кошельков Binance отправили на контролируемый злоумышленниками адрес около 233,46 млн XRP.
После этого с других кошельков были переведены примерно 970 500 SOL и 44,2 млн токенов OP. Затем злоумышленники вывели 18 270 BTC. Binance получила внутреннее предупреждение о необычно крупных переводах и начала применять меры для остановки дальнейшего движения средств.
Особенно сложной оказалась ситуация с Ethereum. Атакующие использовали механизм EIP-7702, позволяющий обычному криптовалютному аккаунту временно передавать определённые полномочия смарт-контракту без раскрытия приватного ключа.
С помощью серии из 50 подписанных транзакций злоумышленники предоставили контролируемому ими смарт-контракту право выполнять операции с одним из горячих кошельков Binance. Поэтому простая остановка стандартного механизма вывода средств не могла автоматически отменить уже записанные в блокчейне разрешения.
Дополнительную сложность создавала архитектура кошелька. Binance использовала технологию многосторонних вычислений MPC, при которой нет единственного приватного ключа, который можно мгновенно заменить или отозвать. Компании пришлось отдельно разрабатывать процедуру отмены вредоносных разрешений.
Последний известный перевод примерно 2961,9 ETH состоялся в 23:56 UTC. Полностью удалить созданное злоумышленниками делегирование Binance удалось только в 00:10 UTC 30 октября. Таким образом, между первыми подозрительными переводами и окончательным прекращением доступа прошло несколько часов.
По предварительной оценке, атака затронула криптоактивы примерно на $6,34 млрд. Binance заявляет, что берёт финансовые последствия инцидента на себя и уже зарезервировала сумму, превышающую необходимый объём компенсации пользователям.
К 31 октября биржа восстановила около 98% затронутых токенов. Примерно $2,85 млрд цифровых активов удалось заморозить или перехватить благодаря взаимодействию с другими криптовалютными сервисами, блокчейн-компаниями и правоохранительными органами.
Оставшиеся менее ликвидные активы Binance постепенно приобретает на рынке. Компания подчёркивает, что клиенты не должны понести убытки в результате атаки, хотя восстановление отдельных резервов может занимать больше времени из-за недостаточной ликвидности некоторых токенов.
После инцидента Binance полностью перестроила затронутую систему кошельков в новой среде. Внутренний ИИ-инструмент, который использовался атакующими как один из промежуточных элементов проникновения, также был перестроен, а правила доступа к нему ужесточены.
Компания заменила скомпрометированные устройства сотрудников, отозвала связанные с ними токены и учётные данные, а также провела расширенную проверку рабочих компьютеров персонала. Дополнительно были усилены механизмы контроля операций кошельков и системы обнаружения аномального поведения.
Binance также собирается заказать независимый аудит происшествия у сторонних специалистов по кибербезопасности. В дальнейшем компания намерена увеличить инвестиции в защиту рабочих устройств, инфраструктуры разработки и ИИ-систем, а также расширить использование автоматизированного анализа подозрительной активности.
Отдельным направлением станет создание исследовательского фонда в области безопасности. Binance планирует сотрудничать с ИИ-компаниями, специалистами по блокчейну и исследователями киберугроз, чтобы изучать новые методы атак, при которых искусственный интеллект используется в качестве инструмента проникновения во внутренние корпоративные системы.
По данным ФБР, за атакой могут стоять связанные с Северной Кореей хакеры. Binance также сообщила, что с начала 2026 года её системы безопасности выявили и предотвратили 57 подозрительных кампаний, предположительно связанных с северокорейскими группировками.
Среди применяемых методов встречались фальшивые предложения о работе, заражённые инструменты разработчиков, поддельные приложения для видеоконференций, скомпрометированные расширения браузеров и различные схемы социальной инженерии. Подобные атаки всё чаще нацелены не непосредственно на кошельки, а на сотрудников, имеющих технический доступ к критически важной инфраструктуре.
Предварительный отчёт Binance показывает, что взлом не был результатом одной ошибки или одной уязвимости. Злоумышленники последовательно собирали информацию, заражали рабочие устройства, получали дополнительные уровни доступа и лишь спустя несколько месяцев перешли непосредственно к выводу цифровых активов.
Инцидент также показывает новую проблему для криптовалютных компаний: внутренние ИИ-инструменты постепенно становятся частью корпоративной инфраструктуры и поэтому сами могут использоваться злоумышленниками как дополнительный путь перемещения между скомпрометированными системами.
Расследование атаки продолжается, поэтому Binance допускает появление новых подробностей. Часть технической информации компания намеренно не раскрывает, чтобы не облегчать проведение аналогичных атак на другие биржи и финансовые сервисы.