Кража у Binance началась с собеседования: доступ определил масштаб ущерба

В сентябре инженер-программист Binance прошёл два собеседования в компанию, которой не существовало. Первое было видеозвонком в прямом эфире с представителем отдела кадров, который поделился ссылкой на личный аккаунт в соцсети — с фотографиями и видео, — чтобы доказать, что он настоящий. Второе собеседование проходило в чате, где собеседник представился генеральным директором. Ближе к концу инженера попросили скачать тестовое задание по программированию на рабочий компьютер.

29 октября злоумышленники вывели из кошельков Binance около 6,34 млрд долларов, причём большую часть суммы — примерно за 20 минут. ФБР связало кражу с TraderTraitor — северокорейской группировкой, которую также считают виновной в краже 1,5 млрд долларов у Bybit в феврале 2025 года. Это крупнейшая кража криптовалюты за всю историю.

Binance признала ответственность и заявила, что возместит ущерб. По состоянию на 3 ноября компания сообщила, что восстановила 98% затронутых активов в токенах, а около 2,85 млрд долларов удалось заморозить или перехватить.

Стоит задаться вопросом: к чему мог получить доступ один взломанный ноутбук и может ли каждая команда проверить это в собственной среде уже сегодня?

Два пути проникновения и кампания с июня по октябрь

В обновлении Binance от 3 ноября нет указаний на дипфейки или другие методы с применением ИИ. В обоих случаях злоумышленники проникли в систему через людей: один инженер доверился результатам поиска, другой — рекрутеру.

Кампания продолжалась не менее пяти месяцев. В июне инженер DevOps, отвечавший за кошельки и искавший инструмент для программирования с помощью ИИ, скачал подменённый установщик Homebrew. Служба безопасности Binance обнаружила аномалию, заменила устройство и обновила учётные данные. К тому времени злоумышленники уже выяснили, кто входит в команду, отвечающую за инфраструктуру кошельков.

Три месяца спустя они вернулись другим путём. У инженера, с которым связались в сентябре, был профиль на легальной платформе для поиска работы, где упоминался его опыт работы в Binance. В тестовом задании по программированию содержалось вредоносное ПО: во время настройки оно запускалось, подменяло легитимный компонент pyenv вредоносным, подключалось к серверу под контролем злоумышленников и заметало следы. По словам Binance, система защиты конечных устройств его не обнаружила.

20 октября злоумышленники использовали этот ноутбук и внутренний инструмент ИИ, чтобы получить контроль ещё над компьютерами двух инженеров. Один из них принадлежал инженеру DevOps, скомпрометированному в июне. На этом компьютере они нашли токен с правами на развёртывание контейнеров. 29 октября злоумышленники вошли в компьютер второго инженера, использовали похищенные учётные данные, чтобы развернуть контейнер, и запустили скрипт, начавший кражу.

Почему приманки от рекрутеров всё ещё работают

Поддельные рекрутеры и заражённые тестовые задания по программированию — старый приём. Северокорейские хакеры используют его против разработчиков уже много лет; наиболее известна кампания под названием Contagious Interview. По данным Binance, только в 2026 году компания остановила 57 попыток, предположительно связанных с Северной Кореей.

Эта приманка работает, потому что предлагает инженерам сделать то, чем они занимаются каждый день. Запустить незнакомый репозиторий — обычная часть технического собеседования. Здесь нет подозрительного адреса отправителя и ссылки, на которую можно навести курсор, — только правдоподобный работодатель, человек на видео и задание, похожее на рабочее.

Сообщение от рекрутера — один из немногих нежданных контактов, которым люди обычно рады. Ни одна программа повышения осведомлённости не может гарантировать, что каждый инженер распознает каждое убедительное предложение, поэтому меры защиты должны исходить из того, что какое-то из них всё же сработает.

Как один ноутбук получил доступ к кошелькам

В первую очередь меня интересуют меры защиты в рабочей среде этого инженера. Использование рабочего компьютера для выполнения внешнего тестового задания по программированию требует проверки. Но важнее понять, как этот единичный взлом открыл доступ к другим системам и в итоге — к критически важной финансовой инфраструктуре.

Каждый шаг после первоначального заражения стал возможен благодаря доверию, уже существовавшему внутри Binance. Внутренний инструмент ИИ принял команды с заражённого компьютера и распространил их на устройства коллег. Токен для развёртывания находился на ноутбуке инженера. Развёртывание контейнера с действительными учётными данными привело к перемещению миллиардов. Для всего этого больше не потребовалось никаких приманок.

Внутренним инструментам ИИ следует уделять особое внимание. Они часто имеют широкие права доступа к репозиториям, конечным устройствам и сервисам, поэтому тот, кто контролирует компьютер, способный отдавать такому инструменту команды, получает доступ ко всему, до чего может добраться этот инструмент.

Как защитить разработчиков, не тормозя работу инженерных команд

Разработчикам нужно скачивать пакеты, запускать незнакомый код и тестировать программное обеспечение. Если заблокировать их ноутбуки так же строго, как компьютеры финансового отдела, работа инженерных команд сильно замедлится, а разработчики начнут искать обходные пути. Разумно запретить поиск работы на корпоративных устройствах, но никто не соблюдает правила без исключений. Практическая цель — ограничить возможности заражённого компьютера разработчика.

Наибольший эффект дают несколько мер контроля. Непроверенный код следует запускать в одноразовых виртуальных машинах без доступа к корпоративным учетным данным. Учетные данные для развертывания должны быть краткосрочными, иметь строго ограниченные права и, где это возможно, выдаваться только для контролируемых процессов развертывания. Ключи подписи кошелька или их доли следует хранить отдельно от рабочих станций разработчиков, а политики подписи должны ограничивать круг транзакций и операций авторизации, которые можно одобрить. Для действий, затрагивающих кошельки, платежные или производственные системы, необходимо одобрение второго человека с отдельного устройства. Внутренние инструменты ИИ должны работать с минимальными правами доступа и регистрировать свои действия.

Обнаружение угроз должно работать и в тех случаях, когда учетные данные подлинные. Мониторинг поведения, который выявляет развертывание с неожиданного устройства или в необычное время, дает команде возможность вмешаться, даже если все учетные данные проходят проверку. Binance сообщает, что после инцидента расширила применение такого обнаружения.

Какую роль играет анализ угроз

Предупреждение было опубликовано за шесть недель до кражи. В совместном предупреждении о кампании Contagious Interview рассказывалось об участниках, которые выдавали себя за рекрутеров компаний в сфере ИИ, криптовалют и NFT, чтобы атаковать ИТ-специалистов и похищать криптовалюту. В случае с Binance применялась та же схема.

В подобных кампаниях анализ угроз играет конкретную роль. Участники атак могут меняться, но их тактики известны. Команды, которые отслеживают их действия, могут блокировать известную инфраструктуру и предупреждать инженеров о предлогах, используемых прямо сейчас.

Анализ угроз также позволяет определить, кому нужна дополнительная защита. Если инцидент выявляет людей с привилегированным доступом к конфиденциальным системам — как это произошло при июньской компрометации Binance, — в течение нескольких месяцев их следует считать вероятными целями, тщательнее следить за их устройствами и попытками выйти с ними на связь.

Что это означает за пределами криптовалютной отрасли

Криптовалютные биржи — очевидная цель: похищенные средства быстро перемещают, и вернуть их трудно. Та же схема возможна везде, где от рабочей станции разработчика до критически важных систем всего несколько шагов: будь то платежная инфраструктура банка или процесс сборки и выпуска программного обеспечения у его поставщика. Предлоги, связанные с наймом, могут использовать против инженеров в любой из этих организаций.

Руководителям служб безопасности, которые на этой неделе проверяют собственную инфраструктуру, важнее всего провести две проверки. Во-первых, выяснить, к чему сегодня может получить доступ один взломанный ноутбук разработчика, включая сохраненные токены, ключи SSH, учетные данные для облачных сервисов и внутренние инструменты ИИ. Во-вторых, убедиться, что для развертывания в производственной среде и крупных транзакций требуется независимое одобрение, которое не может дать одна скомпрометированная учетная запись.

Binance восстановила затронутые системы и привлекла независимых экспертов, но решения принимались уже после потери средств. Организации, которые проведут такую же проверку сейчас, смогут принимать решения по собственному графику.