Как готовилась атака на Binance
В июне один из сотрудников скачал поддельный установочный файл Homebrew – популярного инструмента для установки и управления программами в macOS. Служба безопасности Binance обнаружила подозрительную активность и заменила рабочее устройство. Но позднее выяснилось, что атакующие уже знали, кто из сотрудников отвечает за разработку и обслуживание кошельков.
В сентябре хакеры организовали фиктивное собеседование с сотрудником Binance. После двух онлайн-интервью ему предложили скачать тестовое задание с вредоносным кодом – так они получили доступ к его рабочему компьютеру.
В октябре атакующие использовали этот компьютер и внутренний ИИ-инструмент Binance, чтобы добраться до учетных данных других сотрудников. Среди них оказался человек, чьи данные давали доступ к развертыванию новых версий внутренних сервисов. Получив его учетные данные, хакеры проникли во внутренний сервис, отвечающий за подпись транзакций.
Атакующие воспользовались доступом к сервису подписи и запустили вредоносный скрипт, который позволил выводить активы из горячих кошельков биржи. Они перевели средства в сетях XRP, Solana и Optimism, а также вывели 18.270 BTC. Для операций с Ethereum использовали механизм EIP-7702 – он дал смарт-контракту права выполнять операции от имени кошелька Binance.
Что Binance удалось вернуть
После взлома Binance заморозила около $2,85 млрд из украденных токенов. Биржа зарезервировала более 100% средств для покрытия ущерба, 98% затронутых токенов уже возвращены в резервы.
Ранее Binance сообщала о покрытии 90% убытков, затем – о полном обеспечении десяти токенов. Всего биржа зарезервировала более $6,34 млрд собственных средств, сообщила пресс-служба платформы в субботу, 31 октября 2026 года. Полностью покрыты BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD и ZEC, оставшиеся 10% убытков – менее ликвидные активы.
Компания заявила, что полностью пересобрала архитектуру затронутых кошельков в безопасной среде, обновила внутренние ИИ-инструменты, заменила устройства сотрудников и аннулировала старые доступы. Биржа усилила системы поведенческого анализа аномалий. Некоторые технические детали останутся конфиденциальными, чтобы злоумышленники не могли использовать их для новых атак.
ФБР официально возложило ответственность за атаку на северокорейскую хакерскую группировку TraderTraitor. В КНДР это отрицают на государственном уровне.
