Кража на $6,34 млрд из Binance началась с инсценированного собеседования и готовилась пять месяцев до того, как была перемещена хоть одна монета, — так биржа сообщила во вторник в своём первом публичном описании атаки 29 октября.

Первый отчёт об инциденте, опубликованный в X и представленный совместно с брифингом для СМИ с участием со-CEO Ричарда Тена (Richard Teng) и директора по безопасности Джимми Су (Jimmy Su), описывает кампанию, объединившую заражённую загрузку программного обеспечения, инсценированный процесс найма, вредоносное ПО, обходившее средства защиты конечных точек, и внутренний AI-инструмент, который злоумышленники обратили против собственных инженеров по кошелькам.

Binance сообщила, что заморозила или перехватила около $2,85 млрд похищенных активов и восстановила 98% затронутых токенов за счёт собственных средств, а остаток закупается на открытом рынке. Если эта сумма будет полностью подтверждена, кража станет крупнейшей в криптовалютной индустрии, превзойдя около $1,5 млрд, похищенных у Bybit в феврале 2025 года, — атаку, которую расследователи также связали с северокорейскими исполнителями.

«Это была не одна ошибка и не один взлом — это была многомесячная кампания», — написал Тен в X. «Мы публикуем полный отчёт, потому что уроки выходят далеко за пределы Binance».

ФБР связало атаку с КНДР; отчёт Binance ссылается на этот вывод, но не делает собственного атрибуции. В понедельник Пхень отверг это утверждение: Ким Ё Чжон, сестра лидера Ким Чен Ына, через государственные СМИ назвала его «серьёзным политическим провокацией». Панели ООН и компании по блокчейн-анализу годами связывали северокорейские хакерские подразделения с миллиардами долларов криптовалюты, похищенной с бирж и протоколов по всему миру.

Пять месяцев подготовки

По данным Binance, первая точка опоры злоумышленников появилась в июне, когда инженер DevOps по кошелькам, искавший популярный AI-инструмент для кодинга, скачал подделанный установщик Homebrew. Команда безопасности обнаружила аномалию, заменила устройство и сменила учётные данные, но инцидент раскрыл роль инженера и имена коллег из команды инфраструктуры кошельков.

В сентябре со вторым инженером на легитимной платформе поиска работы связался человек, выдававший себя за руководителя проекта. За этим последовало видеособеседование с предполагаемым представителем HR, в ходе которого «интервьюер» делился личным аккаунтом в соцсетях, чтобы вызвать доверие. Второе собеседование с якобы генеральным директором завершилось «заданием»: репозиторием кода, который инженеру поручили установить на рабочую машину.

Репозиторий заменил легитимный компонент pyenv вредоносной версией и открыл канал к контролируемому злоумышленниками серверу. Binance сообщила, что zero-day вредоносное ПО в тот момент не было обнаружено её средствами защиты конечных точек.

20 октября злоумышленники использовали эту машину и внутренний AI-инструмент, чтобы добраться до ещё двух инженеров по кошелькам, один из которых владел токеном развёртывания контейнеров. 29 октября, с 17:15 до 19:56 UTC, они вошли на компьютер третьего инженера, развернули контейнер с украденными учётными данными и запустили вывод средств. Binance сообщила, что в этом году заблокировала 57 других подозрительных попыток, связанных с КНДР и использующих схожие приманки. Американские власти годами предупреждают о подобных кампаниях с фальшивыми рекрутёрами, нацеленных на внедрение вредоносного ПО в технологические и криптокомпании через их собственных сотрудников.

Четыре часа на локализацию

Деньги уходили быстро. С 20:05 до 20:09 UTC пять горячих кошельков отправили 233,46 млн XRP на адрес злоумышленников. За ними последовали кошельки в сетях Solana и Optimism с примерно 970 500 SOL и 44,2 млн OP, а затем горячий кошелёк Binance отправил 18 270 BTC.

Злоумышленник также использовал скомпрометированный сервис подписания для вызова стандарта Ethereum EIP-7702, представленного в обновлении сети Pectra 2025 года и позволяющего аккаунту делегировать права исполнения смарт-контракту, не раскрывая ключ, — и передал контролируемому злоумышленниками контракту частичный контроль над горячим кошельком Binance.

Приостановка выводов не остановила этот последний канал. Злоумышленники подали 50 транзакций подписания для создания ончейн-делегаций, действовавших вне инфраструктуры выводов Binance. Поскольку кошелёк использовал многосторонние вычисления (MPC), единого ключа для их отзыва не существовало, и команде пришлось создавать процедуру на ходу. Последний несанкционированный перевод, 2961,9 ETH, завершился в 23:56 UTC, а Binance аннулировала делегацию в 00:10 UTC 30 октября.

В отчёте признаётся этот разрыв. «Эти сложности увеличили время, необходимое для полной локализации несанкционированного перемещения активов», — говорится в нём, с добавлением, что компания пересматривает охват политики подписания и контроль горячих кошельков.

Отток, затем признаки стабилизации

По данным, которыми Тен поделился во вторник, клиенты вывели $10,97 млрд за 46 часов после возобновления выводов в воскресенье, с чистым оттоком в $5,28 млрд. К 03:00 UTC почасовые депозиты превысили выводы — сдвиг, который Тен назвал признаком стабилизации. Во вторник Binance возобновила выводы десятков других активов в девяти сетях.

Взлом стал темой обсуждения и в Вашингтоне. Председатель CFTC Майкл Селиг (Michael Selig) заявил, что взлом «подтверждает нашу позицию» в отношении необходимости федерального механизма регистрации для офшорных бирж, а во вторник агентство допустило перпетуальные фьючерсы на акции для регулируемых в США площадок, продолжая курс на оншоринг, начатый с биткоин-перпа Kalshi в мае.

Binance сообщила, что перестроила систему кошельков и внутренний AI-инструмент в новых средах, заменила затронутые устройства, отозвала учётные данные инженеров и расширила обнаружение поведенческих аномалий. Она заказывает независимый аудит, увеличивает расходы на безопасность конечных точек и сред разработки и планирует создать с внешними компаниями исследовательский фонд по AI-безопасности. Скорость выкупа оставшихся похищенных токенов, возможность возврата замороженных активов и выводы независимого аудита — ключевые моменты, за которыми стоит следить. Некоторые технические детали, как сказано в отчёте, останутся закрытыми.

Эта статья первоначально появилась на Bitcoin Magazine, автор — Микай Зиммерман (Micah Zimmerman).