Хакери зламали комп’ютер працівника Binance за 8 тижнів до крадіжки $6,3 млрд

Хакери, яких пов'язують із Північною Кореєю, могли отримати доступ до комп'ютера співробітника Binance приблизно за вісім тижнів до масштабного злому біржі на $6,3 млрд. Таку оцінку оприлюднила некомерційна організація з кібербезпеки Security Alliance (SEAL), яка дослідила послідовність проникнення зловмисників до внутрішніх систем криптобіржі.

За висновками SEAL, у вересні атакувальники скомпрометували пристрій одного з інженерів Binance через фальшиву пропозицію роботи. Представившись рекрутерами, вони переконали співробітника завантажити шкідливий файл під виглядом тестового завдання з програмування.

Дослідники наголошують, що після початкового проникнення хакери можуть непомітно залишатися у корпоративних системах протягом тривалого часу. Це дозволяє їм поступово вивчати внутрішню інфраструктуру, збирати облікові дані та готувати наступні етапи атаки.

Водночас Binance уточнила, що восьмитижневий період стосується компрометації пристрою співробітника у вересні, а не безперервного доступу до криптовалютних гаманців. За словами представника біржі, зловмисники змогли проникнути до систем, необхідних для проведення операцій із гаманцями, лише 20 жовтня — за дев'ять днів до крадіжки.

При цьому сама кампанія почалася ще в червні 2026 року. Тоді інший працівник Binance завантажив модифікований інсталяційний пакет Homebrew, намагаючись встановити ШІ-інструмент для написання програмного коду.

Служба безпеки біржі виявила зараження, замінила комп'ютер і оновила пов'язані облікові дані. Однак до цього моменту атакувальники вже встигли отримати інформацію про співробітників, які відповідали за інфраструктуру криптовалютних гаманців.

Наступний вирішальний етап відбувся 20 жовтня. Використовуючи заражений у вересні комп'ютер та внутрішній ШІ-інструмент, зловмисники отримали контроль над пристроями ще двох інженерів Binance. Згодом вони знайшли токен доступу, який дозволяв розгортати програмне забезпечення у внутрішніх системах біржі.

Саме ці повноваження були використані під час атаки 29 жовтня. Таким чином, між отриманням доступу до критичної інфраструктури гаманців і викраденням активів минуло дев'ять днів, хоча підготовка операції тривала значно довше.

Security Alliance виявила щонайменше чотири підставні компанії, пов'язані з фальшивими кампаніями найму хакерського угруповання TraderTraitor у 2026 році. Серед використаних доменів дослідники назвали citalab.net, citalab.com, bitfit.io та oddium.io.

Подібна тактика, за оцінкою SEAL, застосовувалася і під час інших великих криптовалютних зламів. Перед атакою на Bitget із втратами близько $388 млн зловмисники могли мати доступ до скомпрометованих систем приблизно шість тижнів.

Аналогічний шеститижневий період дослідники виявили перед експлуатацією вразливості, пов'язаної з LayerZero, яка призвела до втрати $293 млн у Kelp DAO. У випадку атаки на AFX із збитками $24 млн підготовчий період оцінюється приблизно у три тижні.

Федеральне бюро розслідувань США пов'язало злам Binance із північнокорейським угрупованням TraderTraitor. Влада КНДР відкинула звинувачення, а Кім Йо Чжон, сестра північнокорейського лідера Кім Чен Ина, публічно заперечила причетність країни.

Результати SEAL показують спільну рису кількох масштабних криптовалютних атак: зловмисники не обов'язково отримують доступ до активів одразу після зараження комп'ютера. Натомість вони можуть тижнями збирати інформацію та поступово розширювати свої повноваження, поки не дістануться систем, через які можна переміщувати криптовалюту.