Между 21:05 и 21:09 по испанскому времени злоумышленники проводили несанкционированные операции через механизм подписи транзакций Binance. Последний перевод, по данным компании, прошел уже после полуночи. Binance сообщила, что атака продолжалась около четырех часов 29 октября. Затронутые цифровые активы оценивались примерно в 6,34 млрд долларов. Весь ущерб компания оценила более чем в 6,3 млрд долларов и назвала кражу крупнейшей в истории криптовалютного рынка.
По состоянию на 31 октября биржа сообщила, что за счет собственных резервов вернула клиентам 98% затронутых активов. На замороженные или перехваченные средства пришлось около 2,85 млрд долларов. Binance заявила, что зарезервировала деньги для полного возмещения ущерба. Соруководитель биржи Ричард Тенг также сообщил, что для покрытия оставшихся обязательств продолжалась работа с менее ликвидными токенами. Bloomberg оценило возможный отток средств клиентов примерно в 4,7 млрд долларов.
Путь к атаке
В отчете Binance описана многоэтапная кампания, начавшаяся в июне 2026 года. Тогда инженер скачал модифицированную версию Homebrew, инструмента для разработчиков, чтобы установить найденный через поисковик инструмент программирования на базе ИИ. Служба безопасности обнаружила аномальную активность, заменила устройство и обновила связанные с ним учетные данные.
В сентябре другой инженер получил через легитимную платформу поиска работы приглашение на собеседование от человека, который выдавал себя за рекрутера и руководителя проектов. После разговора с представителем отдела кадров последовало интервью с собеседником, назвавшимся генеральным директором вымышленной компании. Инженеру предложили скачать из репозитория тестовое задание с вредоносным кодом. По данным Binance, программа применяла сложные методы сокрытия и обхода обнаружения. В частности, она подменяла легитимный компонент инструмента разработки вредоносной версией.
Соруководитель Binance Ричард Тенг рассказал CNBC, что тестовое задание содержало скрытое вредоносное ПО, предназначенное для обхода средств защиты. 20 октября злоумышленники использовали уже скомпрометированный компьютер инженера и внутренний ИИ-инструмент Binance, чтобы получить контроль над системами еще двух разработчиков кошельковой инфраструктуры. По данным BleepingComputer, атакующие добыли учетные данные и токен развертывания контейнера, связанный с внутренними сервисами.
29 октября похищенные учетные данные использовали для запуска вредоносного скрипта и получения несанкционированного доступа к сервису подписи кошельковых транзакций. Средства перевели через несколько блокчейнов. Binance описала схему как сочетание социальной инженерии через фиктивные собеседования и вредоносных загрузок программного обеспечения. В атаке также использовали скомпрометированные устройства и внутренние ИИ-инструменты, а транзакции авторизовали усовершенствованным методом. По версии компании, это позволило обойти обычный процесс вывода средств.
В отличие от физической инфраструктуры, где нагрузку можно оценить по потоку машин, как в материале о трассе Y, здесь уязвимость возникла на стыке устройств сотрудников и управления транзакциями.
Активы и расследование
Под удар попали горячие кошельки, хранилища, подключенные к сети. Холодные кошельки, не имеющие такого подключения, по сообщению Binance, не пострадали. Среди похищенных активов были Bitcoin и Solana. В отчете также упоминаются Optimism, XRP и Ethereum.
В отчете перечислены 233,46 млн XRP, 970 500 Solana и 442 млн OP. Там же указаны 18 270 биткоинов. Перевод последних 2 961,9 Ethereum завершился уже после полуночи. Binance заявила, что начала расследование после внутреннего сигнала, однако часть операций проходила по параллельной системе вывода.
По сообщению Reuters, Binance связала инцидент с атакующими, которые использовали компьютеры двух инженеров для доступа к кошельковой инфраструктуре. Для этого также задействовали устройство третьего сотрудника. Агентство сообщило, что ФБР США связало атаку с хакерами, имеющими отношение к Северной Корее. По данным Binance, за 2026 год удалось предотвратить 57 атак, предположительно связанных с Северной Кореей.
Биржа сообщила, что ужесточила контроль устройств и проверки рисков для кошельков. Системы выявления необычного поведения она расширила с помощью искусственного интеллекта. Binance также заявила о планах увеличить инвестиции в кибербезопасность и усилить защиту блокчейн-сервисов.
