Binance раскрыла, как хакеры похитили $6,3 млрд с помощью фальшивых собеседований и ИИ-инструмента

Криптовалютная биржа Binance опубликовала результаты расследования масштабного взлома 29 октября 2026 года, в ходе которого злоумышленники получили доступ к цифровым активам на $6,3 млрд. Согласно выводам компании, атака продолжалась несколько месяцев и началась с заражения рабочих компьютеров сотрудников через поддельные программные пакеты и фальшивые предложения о работе.

Вместо прямого взлома криптовалютных кошельков атакующие постепенно проникали во внутреннюю инфраструктуру Binance. Полученные учетные данные и доступ к системам развертывания программного обеспечения позволили им вмешаться в работу сервиса, отвечающего за авторизацию криптовалютных переводов.

Первый этап атаки произошел еще в июне, когда один из инженеров биржи загрузил модифицированный программный пакет во время настройки ИИ-инструмента для написания кода. Binance обнаружила вредоносное программное обеспечение и заменила зараженный компьютер, однако злоумышленники успели собрать информацию о команде, обслуживавшей криптовалютные кошельки.

В сентябре атакующие использовали другой способ проникновения. Представившись рекрутерами, они предложили еще одному инженеру пройти собеседование и выполнить тестовое задание по программированию. Файл с якобы рабочим заданием содержал вредоносный код, который позволил обойти защиту компьютера сотрудника.

20 октября хакеры использовали скомпрометированное устройство и внутренний ИИ-инструмент, чтобы получить доступ к системам еще двух инженеров. После этого они похитили учетные данные для развертывания программного обеспечения, которые впоследствии помогли установить вредоносный код в системе управления кошельками Binance.

29 октября злоумышленники проникли во внутренний сервис криптографической подписи транзакций. Это позволило им перемещать активы без использования стандартной процедуры вывода средств клиентами биржи.

Дополнительную сложность создало использование механизма EIP-7702 в сети Ethereum, который позволяет передавать смарт-контрактам определенные полномочия на выполнение транзакций. По данным Binance, атакующие воспользовались этим механизмом для продолжения несанкционированных переводов даже после приостановки вывода средств.

Система кошельков Binance также использовала технологию многосторонних вычислений MPC, которая распределяет контроль над подписанием транзакций. Однако в данном случае ее архитектура усложнила отзыв уже предоставленных разрешений, что помешало оперативно остановить все подозрительные операции.

По последней оценке Binance, общий объем активов, затронутых атакой, составил около $6,3 млрд. Из них компании удалось заморозить или перехватить $2,85 млрд. Биржа заявила, что самостоятельно покроет убытки, не перекладывая их на клиентов, а по состоянию на 31 октября уже восстановила 98% затронутых токеновых активов.

Со-генеральный директор Binance Ричард Тенг подчеркнул, что инцидент не стал следствием одной ошибки или отдельного нарушения безопасности. По его словам, речь шла о многомесячной скоординированной операции, в ходе которой злоумышленники последовательно преодолевали несколько уровней защиты.

Федеральное бюро расследований США связало атаку с северокорейскими хакерами. В то же время Ким Е Чжон, сестра лидера КНДР Ким Чен Ына, отвергла причастность страны, назвав выводы ФБР политически мотивированными.

Соосновательница Binance И Хэ сообщила, что в течение 2026 года служба безопасности биржи выявила и предотвратила 57 подозрительных киберугроз, связанных с Северной Кореей. Среди них были фальшивые собеседования, зараженные программные пакеты и попытки получить доступ к корпоративным учетным записям.

Расследование Binance показывает, что даже сложные механизмы защиты криптовалютных кошельков могут оказаться недостаточными, если атакующие получают контроль над внутренней инфраструктурой и учетными данными сотрудников. В данном случае многомиллиардная атака стала возможной не из-за непосредственного взлома блокчейна, а вследствие последовательной компрометации сотрудников, программного обеспечения и систем авторизации операций.