Binance рассказала о фальшивых собеседованиях и компрометации ИИ-инструмента в ходе взлома

В опубликованных 3 ноября 2026 года первых выводах Binance сообщила, что краже цифровых активов на сумму около 6,34 млрд долларов 29 октября 2026 года предшествовали фальшивые собеседования при найме, вредоносное программное обеспечение для разработчиков и компрометация внутреннего ИИ-инструмента.

Биржа возьмет финансовые потери на себя, а не переложит их на пользователей. Binance сообщила, что зарезервировала более 100% средств, необходимых для покрытия убытка, по состоянию на 31 октября 2026 года восполнила 98% затронутых токенизированных активов, а также заморозила или перехватила активы примерно на 2,85 млрд долларов; окончательные суммы подлежат сверке и зависят от волатильности рыночных цен. Биржа выкупает оставшиеся активы с более низкой ликвидностью.

На странице «Подтверждение резервов», на которую сослались в связи с восполнением активов, говорится, что кастодиальные активы пользователей обеспечены в соотношении 1:1. Для этого используются записи в дереве Меркла и доказательства zk-SNARK, позволяющие пользователям проверить, включены ли их балансы в отчет об обязательствах.

Эти выводы пока носят предварительный характер. Расследование продолжается, независимая проверка еще не завершена, а Binance не раскрывает некоторые технические подробности, чтобы не помогать злоумышленникам планировать атаки.

Месяцы доступа к системам до атаки на кошельки

В июне 2026 года инженер DevOps, отвечавший за кошельки, скачал измененный установочный пакет Homebrew, пытаясь установить популярный инструмент для программирования с помощью ИИ, найденный через поисковую систему. Binance обнаружила подозрительную активность, заменила устройство и сменила связанные с ним учетные данные, однако должность инженера и его коллеги из команды, отвечавшей за инфраструктуру кошельков, уже оказались раскрыты злоумышленнику.

В сентябре 2026 года с другим инженером-программистом связался через легальную платформу для поиска работы человек, представившийся руководителем проекта. После видеоинтервью в режиме реального времени с предполагаемым представителем отдела кадров состоялось второе собеседование в популярном приложении для общения, где собеседник заявил, что он — генеральный директор вымышленной компании. Ближе к концу разговора инженеру поручили скачать на рабочий компьютер тестовое задание, содержавшее вредоносный репозиторий кода. Код запустился во время установки.

Вредоносная программа подменила легитимный компонент pyenv вредоносной версией и связывалась с сервером, контролируемым злоумышленником. Binance сообщила, что в тот момент средства защиты конечных устройств не обнаружили вредоносную программу нулевого дня, а злоумышленник предпринимал меры, чтобы скрыть свои действия и стереть следы компрометации.

20 октября 2026 года злоумышленник воспользовался скомпрометированным компьютером второго инженера и внутренним ИИ-инструментом, чтобы получить доступ к системам первоначального инженера DevOps и еще одного инженера-программиста, работавшего с кошельками. Затем на компьютере инженера DevOps обнаружили токен с разрешением на развертывание контейнеров. С 17:15 до 19:56 UTC 29 октября злоумышленник вошел в систему с компьютера третьего инженера, использовал учетные данные, похищенные у инженера DevOps, развернул контейнер и запустил вредоносный скрипт, который начал атаку на кошельки.

Разрешения в блокчейне усложнили сдерживание атаки

Злоумышленник воспользовался несанкционированным доступом к внутреннему сервису подписания транзакций для кошельков, чтобы инициировать операции в обход обычной процедуры вывода средств Binance. С 20:05 до 20:09 UTC пять горячих кошельков Binance отправили 233,46 млн XRP на адрес, контролируемый злоумышленником. Затем средства выводились с горячих кошельков Solana и Optimism, а один горячий кошелек Binance отправил 18 270 биткоинов на адрес, контролируемый злоумышленником.

Злоумышленник также использовал механизм авторизации EIP-7702 в сети Ethereum, который позволяет учетной записи делегировать смарт-контракту определенные права на выполнение операций, не раскрывая приватный ключ. В ходе пяти транзакций подписания были изменены nonce учетной записи и созданы вредоносные разрешения на делегирование, предоставившие контролируемому злоумышленником контракту частичные права на выполнение операций с горячим кошельком Binance. Эти разрешения позволяли активам продолжать перемещаться независимо от инфраструктуры вывода средств биржи.

Поэтому приостановка вывода средств и отключение сервисов горячих кошельков не аннулировали уже выданные разрешения в блокчейне. Поскольку в кошельке использовались вычисления с участием нескольких сторон, не было единого приватного ключа, который можно было бы немедленно отозвать, и потребовалась специальная процедура, занявшая дополнительное время. Последний несанкционированный перевод — 2 961,9 эфира — был окончательно подтвержден в блокчейне в 23:56 UTC после того, как некоторое время оставался в ожидании; после этого новых несанкционированных переводов не наблюдалось. В 00:10 UTC 30 октября 2026 года Binance выполнила новую авторизацию с горячего кошелька Binance14 на нулевой адрес, удалив вредоносный код делегирования.

Восстановление систем и отдельное заявление ФБР об атрибуции атаки

По состоянию на 3 ноября Binance восстановила затронутую систему кошельков в новой среде, а также заново развернула пострадавший внутренний ИИ-инструмент и настроила контроль доступа к нему. Кроме того, компания заменила затронутые устройства, аннулировала связанные с ними учетные данные и токены, провела расширенное сканирование устройств сотрудников, расширила применение ИИ для обнаружения аномалий в поведении и усилила меры управления рисками для сервисов кошельков.

Для проверки выводов и выработки дополнительных мер привлекаются независимые сторонние эксперты по кибербезопасности. Binance увеличивает инвестиции в обнаружение угроз с помощью ИИ, защиту конечных устройств, безопасность сред разработки и поведенческий мониторинг. Компания также работает над созданием фонда исследований в области безопасности и целевых инициатив совместно с компаниями, работающими с ИИ, участниками отрасли и фирмами, специализирующимися на безопасности ИИ в блокчейн-средах.

В отдельном уведомлении от 31 октября 2026 года ФБР заявило, что за инцидентом стоят северокорейские хакеры из группы TraderTraitor, что бюро и его партнёры — Секретная служба США (USSS) и Отдел уголовных расследований Налогового управления США (IRS-CI) — наблюдали, как они конвертировали похищенные активы преимущественно в эфир, и что в дальнейшем, вероятно, будут использоваться для отмывания DeFi-сервисы и сервисы мгновенного обмена. Ведомства призвали операторов узлов, биржи, DeFi-сервисы, компании, занимающиеся аналитикой блокчейна, и других поставщиков услуг в сфере виртуальных активов блокировать транзакции, связанные с указанными адресами или производные от них.

Изложенная картина указывает на проблему сдерживания угрозы, выходящую за рамки обнаружения вредоносного ПО: замена первого скомпрометированного устройства не лишила злоумышленника возможности воздействовать на команду, отвечающую за кошельки, а приостановка вывода средств не устранила его полномочий в блокчейне. Теперь независимая проверка должна оценить и реконструкцию Binance всей этой цепочки, и то, устраняют ли её восстановленные средства контроля.