История
6 нояб. 2026 г.
Взлом Binance на $6,3 млрд начался с убедительного фальшивого собеседования
Версия Binance представляет взлом как терпеливую, тщательно адаптированную кампанию, использовавшую как человеческое доверие, так и внутренние технологии; американские следователи усматривают причастность Северной Кореи — атрибуцию, которую Северная Корея отвергает.
По словам Binance, атака началась не с громкого взлома её кошельков. Она началась месяцами ранее с разведки — и приманки, нацеленной на сотрудника.
В июне злоумышленники, как утверждается, начали прощупывать команду биржи, отвечающую за кошельки, в том числе через модифицированную версию популярного программного инструмента. Затем, в сентябре, человек, выдававший себя за директора проекта, связался с инженером-программистом Binance через платформу поиска работы. За этим последовали два собеседования, включая видеозвонок с предполагаемым представителем HR. Последним «заданием» был файл, который нужно было скачать на рабочий компьютер инженера; он содержал вредоносный код, который средства безопасности Binance не обнаружили.1
Обман был выстроен так, чтобы выглядеть обыденно. Binance заявила, что фальшивый интервьюер использовал аккаунт в соцсетях, наполненный личными фотографиями и видео, чтобы повысить доверие — уровень проработки, который компания назвала более изощрённым и обманным, чем тактики, с которыми она сталкивалась ранее.2
20 октября, примерно за неделю до кражи, злоумышленники использовали скомпрометированную машину и внутренний ИИ-инструмент Binance, чтобы взять под контроль компьютеры двух инженеров команды кошельков. Один из инженеров имел полномочия на развёртывание программного обеспечения. Девять дней спустя этот доступ открыл сервис подписания транзакций, позволив злоумышленникам почти за четыре часа опустошить горячие кошельки — средства, предназначенные для быстрых выводов. «Этого не должно было случиться», — заявила Binance.1
Одной остановки выводов было недостаточно, заявила Binance. Злоумышленники получили частичный контроль над аккаунтом Ethereum способом, который был зафиксирован в блокчейне, а не только внутри систем Binance, что вынудило инженеров разрабатывать обходное решение, пока кража продолжалась.2
ФБР заявило в субботу, что операцию осуществило северокорейское хакерское подразделение TraderTraitor; Северная Корея отвергла это обвинение. Binance утверждает, что в этом году заблокировала ещё 57 предполагаемых попыток взлома со стороны Северной Кореи. Компания заявляет, что около $2,85 млрд были заморожены или перехвачены и что она восстановила 98% затронутых токенов, одновременно перестраивая системы и привлекая внешних специалистов по безопасности.1