Тестовое задание от потенциального работодателя выглядело как обычная часть собеседования. На деле это был один из этапов многомесячной кибератаки, завершившейся хищением $6,3 млрд у Binance — и он вновь поднимает вопрос о том, как криптобиржи защищаются от угроз, нацеленных на их собственных сотрудников.

Согласно разбору, опубликованному Binance во вторник, кража стала частью скоординированной кампании, эксплуатировавшей как человеческий фактор, так и внутренние системы безопасности. Выводы биржи показывают, как хакеры постепенно проникали в инфраструктуру кошельков компании до кражи 29 октября.

Как хакеры проникли в Binance

Кампания началась в июне, когда инженер скачал скомпрометированный программный пакет при настройке ИИ-инструмента для кодинга, говорится в отчете Binance о безопасности. Хотя биржа обнаружила вредоносное ПО и заменила затронутое устройство, атакующие уже успели собрать информацию о команде кошельков Binance. Этот эпизод показывает, почему заражение может иметь значение даже после обнаружения: замена устройства устранила вредоносное ПО, но не разведку, которую атакующие уже провели.

В сентябре злоумышленники, выдававшие себя за рекрутеров, атаковали другого инженера и обманом заставили его скачать вредоносный файл, замаскированный под тестовое задание. Вредоносное ПО скомпрометировало рабочий компьютер сотрудника и обошло средства защиты биржи.

20 октября атакующие использовали скомпрометированный компьютер и внутренний ИИ-инструмент для получения доступа к системам двух других инженеров, получив учетные данные развертывания, которые позволили им 29 октября установить вредоносное ПО внутри инфраструктуры кошельков Binance.

Затем злоумышленники получили доступ к внутреннему сервису подписи кошельков биржи, который авторизует криптовалютные транзакции, что позволило им перемещать средства в обход обычного процесса вывода. Доступ на этом уровне означал, что средства могли перемещаться при отключенных стандартных механизмах контроля вывода — та же динамика позже позволила переводам продолжаться даже после приостановки вывода средств Binance.

"Это была не одна ошибка и не один взлом — это была многомесячная кампания", — сказал со-CEO Binance Ричард Тен (Richard Teng) во вторник в посте на X.

Источник: Richard Teng on X

EIP-7702 использован для продолжения переводов

Binance сообщила, что атакующие также использовали механизм EIP-7702 Ethereum, позволяющий кошелькам делегировать права на транзакции смарт-контрактам. Это дало несанкционированным переводам продолжаться даже после приостановки биржей вывода средств. Система мультипартийных вычислений (MPC) кошельков, распределяющая контроль над подписанием транзакций, осложнила отзыв этих разрешений. Вместе эти две конструкции означали, что остановка несанкционированных переводов требовала отмены разрешений по всей системе кошельков, а не отключения единой точки контроля.

В результате взлома пострадало цифровых активов примерно на $6,3 млрд, при этом, по последним данным Binance, $2,85 млрд было заморожено или перехвачено. Биржа заявила, что возьмет убытки на себя, а не переложит их на клиентов, и к 31 октября восстановила 98% пострадавших токен-активов. Эти цифры отражают последнюю доступную картину, а не окончательный итог: последующие обновления о судьбе активов сверх $2,85 млрд замороженных или перехваченных — и о том, превысит ли восстановление отметку в 98%, — определят окончательный баланс ущерба.

Атака — крупнейший взлом в истории криптовалют — по данным Федерального бюро расследований (ФБР), совершена северокорейскими хакерами. Во вторник Ким Ё Чжон, сестра северокорейского лидера Ким Чен Ына, отрицала причастность своей страны, заявив, что версия ФБР политически мотивирована и направлена на подрыв международного положения Северной Кореи. Эти заявления оставляют две версии в публичном противоречии: обвинение ФБР и отрицание Пхеньяна остаются несведенными.

Binance сообщила о 57 заблокированных киберугрозах за год

Отдельно со-основатель Binance Хэ И (Yi He) заявила во вторник, что команда безопасности биржи в 2026 году выявила и предотвратила 57 подозрительных киберугроз, предположительно связанных с Северной Кореей, включая фальшивые собеседования, вредоносные программные пакеты и попытки социальной инженерии, направленные на кражу учетных данных или установку вредоносного ПО. Эта статистика 2026 года указывает, что методы, оказавшиеся в центре взлома, — фальшивые рекрутеры, скомпрометированные пакеты и попытки кражи учетных данных — были повторяющимися паттернами в данных об угрозах Binance, а не разовыми инцидентами.

"Мы перехватили многие из них, но цена провала даже в одном случае была огромной — и этого не должно было произойти", — сказала она.

Первоначально статья опубликована Cointelegraph.