Кібербезпека
Binance розкрила подробиці фальшивих співбесід і компрометації інструмента ШІ під час хакерської атаки
Додайте Unite.AI до бажаних джерел у Google
У попередніх висновках, оприлюднених 3 листопада 2026 року, Binance повідомила, що викраденню цифрових активів на суму приблизно 6,34 млрд доларів США 29 жовтня 2026 року передували фальшиві співбесіди з працевлаштування, шкідливе програмне забезпечення для розробників і компрометація внутрішнього інструмента ШІ.
Біржа візьме на себе фінансові наслідки, а не перекладатиме їх на користувачів. Binance повідомила, що зарезервувала понад 100% коштів, потрібних для покриття збитків, станом на 31 жовтня 2026 року відновила 98% активів у постраждалих токенах, а також заморозила або перехопила приблизно 2,85 млрд доларів США; остаточна сума залежатиме від звірки даних і волатильності ринкових цін. Біржа викуповує решту активів із нижчою ліквідністю.
На сторінці підтвердження резервів, на яку посилаються у зв’язку з відновленням активів, зазначено, що кастодіальні активи користувачів забезпечені у співвідношенні 1:1. Для цього використовуються записи на основі дерев Меркла та докази zk-SNARK, які дають змогу користувачам перевірити, чи включено їхні баланси до звіту про зобов’язання.
Висновки залишаються попередніми. Розслідування триває, незалежна перевірка ще не завершена, а Binance не розголошує частину технічних подробиць, щоб не допомагати зловмисникам планувати атаки.
Місяці доступу до атаки на гаманці
У червні 2026 року інженер DevOps, який працював із гаманцями, завантажив підроблений інсталяційний пакет Homebrew, намагаючись установити популярний інструмент для програмування на основі ШІ, знайдений через пошукову систему. Binance виявила аномалію, замінила пристрій і змінила пов’язані облікові дані, але зловмисник уже отримав доступ до облікового запису інженера та його колег із команди інфраструктури гаманців.
У вересні 2026 року з іншим інженером-програмістом зв’язалася через легітимну платформу для пошуку роботи людина, яка видавала себе за керівника проєкту. Співбесіду у відеоформаті в реальному часі з нібито представником відділу кадрів змінила друга співбесіда в популярному чаті для спілкування, де співрозмовник стверджував, що він — генеральний директор вигаданої компанії. Наприкінці розмови інженерові доручили завантажити на робочий комп’ютер тестове завдання, що містило шкідливий репозиторій коду. Код виконався під час налаштування.
Шкідливе програмне забезпечення підмінило легітимний компонент pyenv на шкідливу версію та зв’язувалося із сервером, контрольованим зловмисником. Binance повідомила, що на той час засоби захисту кінцевих пристроїв не виявили це шкідливе ПЗ нульового дня, тоді як зловмисник намагався приховати свої дії та стерти сліди компрометації.
20 жовтня 2026 року зловмисник скористався скомпрометованим комп’ютером другого інженера та внутрішнім інструментом ШІ, щоб поширити контроль на першого інженера DevOps і ще одного інженера з програмного забезпечення для гаманців. Згодом на комп’ютері інженера DevOps виявили токен із правом розгортання контейнерів. У період із 17:15 до 19:56 UTC 29 жовтня зловмисник увійшов до комп’ютера третього інженера, використав облікові дані, викрадені в інженера DevOps, розгорнув контейнер і запустив шкідливий сценарій, який розпочав атаку на гаманець.
Авторизації в блокчейні ускладнили стримування атаки
Зловмисник скористався несанкціонованим доступом до внутрішнього сервісу підписання транзакцій гаманців, щоб ініціювати перекази поза звичайною процедурою виведення коштів Binance. У період із 20:05 до 20:09 UTC п’ять гарячих гаманців Binance переказали 233,46 млн XRP на адресу, контрольовану зловмисником. Подальші відпливи коштів відбулися з гарячих гаманців Solana й Optimism, а один гарячий гаманець Binance переказав 18 270 Bitcoin на адресу, контрольовану зловмисником.
Зловмисник також скористався механізмом авторизації EIP-7702 в Ethereum, який дає змогу обліковому запису делегувати смартконтракту певні права на виконання операцій, не розкриваючи приватний ключ. П’ятдесят транзакцій підписання змінили nonce облікового запису й установили шкідливі авторизації на делегування, надавши контрольованому зловмисником контракту часткові права на виконання операцій із гарячим гаманцем Binance. Завдяки цим авторизаціям активи могли й далі переміщуватися незалежно від інфраструктури Binance для виведення коштів.
Тому призупинення виведення коштів і вимкнення сервісів гарячих гаманців не анулювали чинні дозволи в блокчейні. Оскільки в гаманці використовували багатосторонні обчислення, єдиного приватного ключа, який можна було б негайно відкликати, не існувало; для цього знадобилася спеціальна процедура, що потребувала додаткового часу. Останній несанкціонований переказ — 2 961,9 Ether — остаточно зафіксувався в блокчейні о 23:56 UTC після того, як певний час залишався в очікуванні; після цього інших несанкціонованих переказів не зафіксували. О 00:10 UTC 30 жовтня 2026 року Binance виконала нову авторизацію з гарячого гаманця Binance14 на нульову адресу, очистивши шкідливий код делегування.
Відновлені системи та окреме повідомлення ФБР про причетність
Станом на 3 листопада Binance відновила у новому середовищі уражену систему гаманців, а також сам уражений внутрішній інструмент ШІ та засоби контролю доступу до нього. Крім того, біржа замінила уражені пристрої, деактивувала пов’язані облікові дані й токени, завершила розширене сканування пристроїв співробітників, посилила виявлення поведінкових аномалій за допомогою ШІ та зміцнила засоби контролю ризиків у сервісах гаманців.
Для перевірки висновків і надання рекомендацій щодо додаткових заходів залучають незалежних сторонніх експертів із кібербезпеки. Binance збільшує інвестиції у виявлення загроз за допомогою ШІ, захист кінцевих пристроїв, безпеку середовищ розробки та моніторинг поведінки. Крім того, компанія працює над створенням фонду досліджень безпеки та цільових ініціатив із компаніями, що працюють у сфері ШІ, учасниками галузі й фірмами з кібербезпеки, зосередженими на безпеці ШІ в блокчейн-середовищах.
В окремому повідомленні від 31 жовтня 2026 року ФБР заявило, що за цим стояли північнокорейські зловмисники TraderTraitor, що бюро та його партнери з USSS і IRS-CI спостерігали, як вони конвертували викрадені активи переважно в Ether, і що надалі відмивання коштів, імовірно, відбуватиметься через DeFi та сервіси миттєвого обміну. Відомства закликали операторів вузлів, біржі, сервіси DeFi, компанії з блокчейн-аналітики та інших постачальників послуг із віртуальними активами блокувати транзакції, що залучають зазначені адреси або походять із них.
Цей опис залишає невирішеною проблему стримування загрози, яка виходить за межі виявлення шкідливого програмного забезпечення: заміна першого скомпрометованого пристрою не припинила доступу зловмисника до команди, що відповідає за гаманці, а призупинення виведення коштів не позбавило його повноважень у блокчейні. Тепер незалежна перевірка має з’ясувати, чи правильно Binance відтворила весь цей ланцюг подій і чи усувають проблему оновлені засоби контролю.
