Binance заявляет, что путь к крупнейшей известной криптокраже начался не с эффектного взлома, а с терпеливого обмана. В июне сотрудник команды инфраструктуры кошельков установил подменённый пакет программного обеспечения при настройке ИИ-инструмента для программирования; биржа утверждает, что заменила устройство и обновила учётные данные, однако более широкая команда уже подверглась риску.¹

К сентябрю злоумышленники переключились на вторую цель: к инженеру-программисту через легитимную платформу поиска работы обратился человек, представившийся руководителем проекта. Операция включала два собеседования, видеозвонок в реальном времени и материалы из социальных сетей, призванные вызвать доверие, прежде чем кандидата попросили скачать «задание». Binance назвала эту тактику «более продвинутой и обманчивой, чем ранее наблюдавшиеся подходы социальной инженерии».¹

20 октября, согласно версии Binance, злоумышленники использовали скомпрометированную машину и внутренний ИИ-инструмент, чтобы захватить два компьютера команды кошельков, включая один, принадлежавший инженеру, способному развернуть программное обеспечение.² Девять дней спустя этот доступ распространился на сервис подписания транзакций и горячие кошельки биржи. Подробная разбивка Binance утверждает, что только пять переводов из XRP-кошелька переместили 233,46 млн XRP в период с 20:05 до 20:09 UTC; всю кражу компания описала как операцию продолжительностью четыре минуты.¹

Версия биржи подчёркивает тревожное различие: остановки вывода средств было недостаточно, когда злоумышленники получили контроль, закреплённый в разрешениях аккаунта Ethereum. Binance заявила, что инженерам пришлось разработать обходное решение, поскольку распределённые средства контроля аккаунта нельзя было быстро отозвать.³

31 октября ФБР назвало предполагаемым виновником TraderTraitor — северокорейское хакерское подразделение. Binance заявляет, что в этом году заблокировала ещё 57 предполагаемых попыток, связанных с Северной Кореей, и признаёт ответственность: «Этого не должно было случиться».²

Однако Северная Корея категорически отвергла эту атрибуцию. Ким Ё Чжон назвала утверждение ФБР «абсурдной риторикой» и заявила, что представление страны ответственной за киберпреступления по всему миру является «серьёзной политической провокацией».¹ Binance заявляет, что покроет потери клиентов и что около $2,85 млрд были заморожены или перехвачены.³