Крадіжка на Binance почалася зі співбесіди: доступ визначив масштаби збитків

У вересні інженер-програміст Binance пройшов дві співбесіди в компанії, якої не існувало. Перша відбулася у форматі відеодзвінка з представником відділу кадрів, який поділився посиланням на особистий акаунт у соцмережі з фотографіями та відео, щоб довести, що він справжній. Друга співбесіда проходила в чат-застосунку, де співрозмовник представився генеральним директором. Наприкінці інженера попросили завантажити тестове завдання з програмування на робочий комп’ютер.

29 жовтня зловмисники вивели з гаманців Binance близько 6,34 мільярда доларів, причому більшу частину — приблизно за 20 хвилин. ФБР приписало цю крадіжку групі з Північної Кореї TraderTraitor, яку також звинувачують у викраденні 1,5 мільярда доларів із Bybit у лютому 2025 року. Це найбільша зафіксована крадіжка криптовалюти.

Binance визнала відповідальність і заявила, що покриє збитки. Станом на 3 листопада компанія повідомила, що відновила 98% постраждалих токенів, а близько 2,85 мільярда доларів було заморожено або перехоплено.

Варто запитати: до чого може дістатися зловмисник через один скомпрометований ноутбук і чи може кожна команда вже сьогодні перевірити це у власному середовищі?

Два шляхи проникнення та кампанія з червня до жовтня

У повідомленні Binance від 3 листопада не йдеться про діпфейки чи інші методи з використанням ШІ. Обидва шляхи проникнення пролягали через людей: один інженер довірився результату пошуку, а інший — рекрутеру.

Кампанія тривала щонайменше п’ять місяців. У червні DevOps-інженер, який відповідав за криптогаманці й шукав інструмент для програмування на основі ШІ, завантажив модифікований інсталятор Homebrew. Команда безпеки Binance виявила аномалію, замінила пристрій і змінила облікові дані. На той час зловмисники вже з’ясували, хто входив до команди, що відповідала за інфраструктуру гаманців.

Через три місяці вони повернулися іншим шляхом. Інженер, із яким зв’язалися у вересні, мав профіль на легітимній платформі для пошуку роботи, де згадував про свій досвід у Binance. У його тестовому завданні з програмування містилося шкідливе програмне забезпечення: під час налаштування воно замінювало легітимний компонент pyenv на шкідливий, з’єднувалося із сервером під контролем зловмисників і знищувало свої сліди. Binance стверджує, що її система захисту кінцевих пристроїв цього не виявила.

20 жовтня зловмисники скористалися тим ноутбуком і внутрішнім інструментом ШІ, щоб захопити контроль над комп’ютерами ще двох інженерів; один із них належав DevOps-інженеру, скомпрометованому в червні. На цьому комп’ютері вони знайшли токен із дозволами на розгортання контейнерів. 29 жовтня зловмисники увійшли до комп’ютера другого інженера, використали викрадені облікові дані для розгортання контейнера й запустили скрипт, який розпочав крадіжку.

Чому приманки від рекрутерів досі спрацьовують

Фальшиві рекрутери й заражені тестові завдання з програмування — давно відома тактика. Північнокорейські хакери роками застосовують її проти розробників, найвідоміший приклад — кампанія під назвою «Заразливе інтерв’ю». Binance повідомляє, що лише у 2026 році зупинила 57 спроб, імовірно пов’язаних із Північною Кореєю.

Ця приманка спрацьовує, бо пропонує інженерам зробити те, що вони роблять щодня. Запуск невідомого репозиторію — звична частина технічної співбесіди. Тут немає підозрілої адреси відправника чи посилання, яке можна було б перевірити наведенням курсора: лише правдоподібний роботодавець, людина на відео й завдання, схоже на роботу.

Повідомлення від рекрутера — також один із небагатьох небажаних контактів, яким люди раді. Жодна програма з підвищення обізнаності не може гарантувати, що кожен інженер розпізнає кожну переконливу приманку, тож системи контролю мають виходити з того, що одна з них спрацює.

Як один ноутбук дістався до гаманців

Насамперед мене цікавить, які засоби безпеки діяли в середовищі цього інженера. Використання робочого комп’ютера для зовнішнього тестового завдання з програмування потребує ретельної перевірки. Більше занепокоєння викликає те, як цей одиничний випадок компрометації відкрив доступ до інших систем і зрештою — до чутливої фінансової інфраструктури.

Кожен наступний крок після початкового зараження спирався на довіру, яка вже існувала всередині Binance. Внутрішній інструмент ШІ прийняв команди зі скомпрометованого комп’ютера й передав їх на пристрої колег. На ноутбуці інженера зберігався токен для розгортання. Розгортання контейнера з дійсними обліковими даними дало змогу перемістити мільярди. Для цього не знадобилася жодна нова приманка.

Внутрішнім інструментам ШІ слід приділяти особливу увагу. Вони часто мають широкі дозволи для роботи з репозиторіями, кінцевими пристроями та сервісами, тож той, хто контролює комп’ютер, здатний віддавати їм команди, отримує доступ у межах їхніх повноважень.

Як захистити розробників, не гальмуючи роботу інженерних команд

Розробникам потрібно завантажувати пакети, запускати незнайомий код і тестувати програмне забезпечення. Якщо заблокувати їхні ноутбуки так само жорстко, як робочі станції фінансового відділу, робота інженерів майже зупиниться, а самі вони почнуть шукати обхідні шляхи. Правило, яке забороняє шукати роботу на корпоративних пристроях, цілком розумне, але ніхто не дотримується правил щоразу. Практична мета — обмежити можливості скомпрометованого комп’ютера розробника для подальших дій.

Найбільше значення мають кілька заходів контролю. Неперевірений код слід запускати у віртуальних машинах, які можна утилізувати й які не мають доступу до корпоративних облікових даних. Облікові дані для розгортання мають бути короткостроковими, мати вузькі права доступу та, де це можливо, надаватися контрольованим процесам розгортання. Ключі для підпису транзакцій у гаманці або їхні частки слід зберігати окремо від робочих станцій розробників, а політики підписання мають обмежувати перелік транзакцій і авторизацій, які можна схвалити. Для дій, що стосуються гаманців, платежів або виробничих систем, необхідно вимагати схвалення другої особи з іншого пристрою. Внутрішні інструменти ШІ мають працювати з мінімально необхідними дозволами й реєструвати свої дії.

Виявлення загроз має працювати й тоді, коли облікові дані справжні. Моніторинг поведінки, який сигналізує про розгортання з неочікуваного пристрою або в незвичний час, дає команді змогу втрутитися, навіть якщо всі облікові дані проходять перевірку. Binance повідомляє, що після цього інциденту розширила такі можливості виявлення.

Де тут місце розвідці кіберзагроз

Про загрозу публічно попередили за шість тижнів до крадіжки. У спільному попередженні про кампанію Contagious Interview описано зловмисників, які видавали себе за рекрутерів компаній у сфері ШІ, криптовалют і NFT, щоб атакувати ІТ-фахівців і викрадати криптовалюту. Binance стала жертвою за тією самою схемою.

Розвідка кіберзагроз відіграє конкретну роль у таких кампаніях. Зловмисники можуть змінюватися, але їхні тактики відомі. Команди, які стежать за ними, можуть блокувати відому інфраструктуру й попереджати інженерів про приводи для обману, які використовують просто зараз.

Розвідка також допомагає визначити, кому потрібен додатковий захист. Якщо інцидент виявляє, хто має чутливий доступ, як це сталося під час червневого зламу Binance, цих людей слід вважати ймовірними цілями протягом кількох місяців, уважніше стежачи за їхніми пристроями та спробами сконтактувати з ними.

Що це означає за межами криптовалютної сфери

Криптовалютні біржі — очевидна ціль, адже викрадені кошти швидко переміщують, і їх важко повернути. Та сама схема може спрацювати скрізь, де робоча станція розробника відділена від критично важливих систем лише кількома кроками, — чи то платіжний конвеєр банку, чи процес збирання та випуску програмного забезпечення в його постачальника. Приводи для вербування шахраї використовують проти інженерів у всіх цих організаціях.

Керівникам служб безпеки, які цього тижня перевіряють власне середовище, найважливіше виконати дві перевірки. По-перше, з’ясувати, до чого сьогодні може дістатися зловмисник, скомпрометувавши один ноутбук розробника, зокрема до збережених токенів, ключів SSH, хмарних облікових даних і внутрішніх інструментів ШІ. По-друге, переконатися, що для розгортання у виробничому середовищі та транзакцій на великі суми потрібне незалежне схвалення, яке не може надати одна скомпрометована ідентичність.

Binance відновила уражені системи й залучила незалежних експертів для перевірки, але рішення ухвалювали вже після втрати коштів. Організації, які проведуть таку саму перевірку зараз, зможуть ухвалити рішення у зручний для себе час.