Binance сообщила, что её команда безопасности выявила и остановила 57 предположительно связанных с КНДР случаев киберугроз в 2026 году, прежде чем одна атака увенчалась успехом — с использованием фальшивого собеседования, которая в итоге опустошила горячие кошельки биржи, то есть подключённые к интернету кошельки, которые биржи используют для обработки вывода средств пользователей.

В своём первоначальном отчёте об инциденте, опубликованном в X, Binance сообщила, что были затронуты цифровые активы примерно на 6,34 млрд долларов, а около 2,85 млрд долларов заморожены или перехвачены. Биржа заявила, что возьмёт убытки на себя, а не переложит их на пользователей, и что 98% пострадавших токенов уже восполнены — по её словам, эту цифру можно проверить на странице Proof of Reserves.

Для сравнения: крупнейшей кражей криптовалюты из ранее зарегистрированных был взлом биржи Bybit в феврале 2025 года примерно на 1,5 млрд долларов, который Bybit также связала с хакерами, имеющими отношение к КНДР.

Со ссылкой на новейшие сведения Федерального бюро расследований (ФБР) Binance возложила ответственность за инцидент на КНДР.

Год целенаправленных попыток

По данным биржи, эти 57 случаев отражают постоянную угрозу со стороны финансируемых государством субъектов, нацеленных на криптоиндустрию. Среди наблюдавшихся методов — фальшивые собеседования при найме, вредоносное ПО, маскирующееся под популярные инструменты разработчика, скомпрометированные программные пакеты и браузерные расширения, поддельные приложения для видеоконференций и кампании социальной инженерии, направленные на кражу учётных данных или установку вредоносного ПО удалённого доступа.

Эта схема, основанная на вербовке, согласуется с публичными предупреждениями американских ведомств последних лет о том, что связанные с КНДР операторы выдают себя за рекрутеров или работодателей, чтобы заразить компьютеры жертв вредоносным ПО.

Binance описала взлом как многоэтапную кампанию, а не единичный изолированный инцидент или простую фишинговую атаку. Первый тревожный сигнал был зафиксирован в июне, когда DevOps-инженер кошелька, ища инструмент для кодинга на ИИ, скачал изменённый установщик Homebrew. Binance сообщила, что обнаружила аномалию, заменила устройство и сменила соответствующие учётные данные — однако роль инженера и его коллеги из команды кошелька уже были раскрыты злоумышленнику.

Как работала схема с собеседованием

В сентябре на платформе поиска работы со вторым инженером, чей профиль упоминал его опыт работы в Binance, связался человек, представившийся руководителем проекта. Затем состоялось видеособеседование первого раунда с предполагаемой представительницей HR, которая делилась аккаунтом в социальных сетях с личными фото и видео, чтобы завоевать доверие. Binance назвала этот подход более изощрённым, чем прежние методы социальной инженерии.

Второй раунд прошёл в популярном чат-приложении с человеком,声称который自称 гендиректором вымышленной компании. Ближе к концу инженеру предложили скачать «задание» на рабочий компьютер. Содержащийся в нём код запустился при установке и открыл канал на подконтрольный злоумышленнику сервер. Binance сообщила, что вредоносное ПО типа zero-day тогда не было обнаружено её инструментами защиты конечных точек.

Затем злоумышленник использовал скомпрометированный компьютер и внутренний ИИ-инструмент, чтобы получить контроль над двумя другими инженерами кошелька. По данным Binance, токен разрешения на развёртывание контейнеров, найденный на компьютере одного из инженеров, в день атаки был использован для развёртывания контейнера и запуска вредоносного скрипта.

Почему локализация заняла время

Binance сообщила, что злоумышленники использовали сервис подписи для эксплуатации механизма авторизации Ethereum EIP-7702 — функции аккаунтов, представленной в обновлении Ethereum Pectra 2025 года, которая позволяет обычным пользовательским аккаунтам работать с функциональностью смарт-контрактов, — благодаря чему активы продолжали перемещаться даже после приостановки вывода средств. Поскольку горячий кошелёк использовал многосторонние вычисления (MPC), не было единого приватного ключа для отзыва вредоносных авторизаций, поэтому команде пришлось разработать специальную процедуру, что заняло дополнительное время.

Биржа сообщила, что с тех пор восстановила затронутую систему кошельков и внутренний ИИ-инструмент, заменила затронутые устройства, вывела из эксплуатации соответствующие учётные данные и усилила обнаружение аномалий. Также планируется независимый аудит безопасности; часть технических деталей останется конфиденциальной.

Binance охарактеризовала свой отчёт как предварительный, то есть его выводы ещё подлежат независимой проверке — исход запланированного аудита и любые обновлённые данные об убытках и возврате средств останутся ключевыми деталями, за которыми следует следить.