Взлом Binance на 6,3 миллиарда долларов 29 октября начался с поддельного программного установщика, скачанного на пять месяцев раньше, говорится в собственном отчёте биржи об инциденте. Отчёт, опубликованный 3 ноября, восстанавливает многомесячную кампанию, в которой сочетались вредоносное ПО, фальшивое предложение о работе и украденные учётные данные — последовательность, которую, по словам основателя конкурирующей биржи, могла предотвратить элементарная рабочая дисциплина.

Как развивалась атака с июня по октябрь

Кампания началась в июне, когда инженер по работе с кошельками Binance скачал модифицированный установщик Homebrew, пытаясь установить инструмент для программирования на базе ИИ. По данным биржи, команда безопасности выявила подозрительную активность, заменила затронутый компьютер и сменила соответствующие учётные данные.

Несмотря на эту реакцию, июньский инцидент раскрыл информацию о сотрудниках, работавших с инфраструктурой кошельков биржи, — эти данные злоумышленники использовали на следующем этапе.

В сентябре атакующие нацелились на второго инженера через фальшивый процесс найма и в итоге убедили сотрудника скачать вредоносное ПО. К 20 октября они с помощью скомпрометированных устройств и внутреннего ИИ-инструмента получили доступ к дополнительным инженерным системам. Девять дней спустя украденные учётные данные позволили им развернуть вредоносный код, связанный с несанкционированными выводами средств.

Следователи связали атаку с TraderTraitor — хакерской группировкой, ассоциированной с Северной Кореей, которую американские власти ранее связывали с кражами криптовалют с использованием трояннизированного ПО и фальшивых предложений о работе. ФБР впоследствии возложило ответственность за кражу на спонсируемых государством северокорейских атакующих, однако Северная Корея отвергла эти утверждения.

Основатель CoinEx указывает на три устранимых пробела в безопасности

После публикации отчёта Binance основатель CoinEx Хайпо Янг заявил в посте на X, что взлом отражает провалы операционной дисциплины, а не нехватку технологий безопасности.

«Инцидент с Binance выявил как минимум три ошибки, которые можно было полностью предотвратить: 1. Среды разработки и эксплуатации не были полностью изолированы. Любой, кто имеет доступ к продакшену, должен работать на выделенной машине, не используемой ни для чего другого и без стороннего ПО…»

— Хайпо Янг (@yhaiyang) 3 ноября 2026 г.

«Ни для одного из этих пунктов не нужны сложные технологии. Не хватало дисциплины», — написал Янг.

Его первый пункт касался разделения рабочих сред: сотрудники с доступом к действующим финансовым системам должны использовать выделенные компьютеры, а программирование, общение и просмотр веба — осуществлять на отдельных устройствах.

Второй пункт был посвящён аутентификации. Янг утверждал, что один украденный учётный данные мог открывать доступ к продакшен-сервисам без строгих дополнительных проверок, и рекомендовал аппаратные ключи безопасности — физические устройства, устойчивые к фишингу, — а также такие инструменты, как AWS Session Manager.

Третий пункт касался многосторонних вычислений (MPC) — схемы, при которой подписание транзакций распределяется между несколькими участниками. По словам Янга, подписанты Binance не проверяли независимо то, что одобряли, из-за чего система работала как одна подпись. «Мультисиг работает только тогда, когда подписанты взаимно не доверяют друг другу», — написал он.

Эти утверждения являются личной оценкой Янга. Binance публично не подтвердила каждый из описанных им недостатков.

Binance сообщила о блокировке 57 связанных с КНДР угроз в 2026 году

Сопредседатель правления Binance И Хэ сообщила, что команда безопасности биржи в 2026 году выявила и предотвратила 57 предполагаемых случаев киберугроз, связанных с Северной Кореей. По её словам, среди методов были фальшивые собеседования, вредоносные инструменты разработчика, скомпрометированные программные пакеты и поддельные приложения для видеозвонков. Эти категории напрямую пересекаются с кампанией с июня по октябрь — от модифицированного установщика, с которого она началась, до последовавшего фальшивого найма.

«На протяжении 2026 года команда безопасности Binance выявила и предотвратила 57 предполагаемых случаев киберугроз, связанных с Северной Кореей. Эти попытки отражают постоянную угрозу со стороны спонсируемых государством акторов, нацеленных на криптовалютную индустрию. Методы включают фальшивые предложения о работе…

— И Хэ (@heyibinance) 3 ноября 2026 г.

«Мы перехватили многие из них, но цена того, что не удалось остановить хотя бы один, оказалась серьёзной», — написала она.

Возврат активов и дальнейшие шаги

Сопредседатель правления Ричард Тэн сообщил, что Binance восполнила 98% затронутых активов. Около 2,85 миллиарда долларов было заморожено или перехвачено, и компания обязалась полностью покрыть убыток за счёт корпоративных средств и резервов.

Binance также завершила проверку Proof of Reserves, охватившую десять крупнейших криптовалют, включая Bitcoin, Ethereum, BNB и XRP. Проверка подтверждает обеспечение этих токенов активами, но не показывает, устранены ли пробелы, описанные Янгом.

Биржа сообщила, что перестроила затронутые системы кошельков, заменила скомпрометированные устройства и отключила связанные учётные данные. Также восстановлен вывод средств для большего числа активов Ethereum и Solana.

Binance планирует независимый аудит кибербезопасности и увеличение расходов на защиту устройств и выявление угроз. По словам биржи, часть мер безопасности останется конфиденциальной, чтобы злоумышленники не могли выявить слабые места. Поскольку финансовая сторона инцидента в основном урегулирована, запланированный независимый аудит кибербезопасности станет следующей публичной точкой контроля по операционным вопросам, поднятым Янгом.

Эта статья основана на оригинальном репортаже Blockonomi.