Кража $6,3 млрд из Binance 29 октября стала крупнейшим ограблением криптобиржи в истории. За прошедшие дни группы по кибербезопасности, специалисты по блокчейн-расследованиям и страховщики опубликовали новые подробности, которые в совокупности показывают, как развивалась атака и что произошло с украденными средствами.

🚨 NORTH KOREA-LINKED HACKERS MAY HAVE INFILTRATED BINANCE 8 WEEKS BEFORE THE $6.3 BILLION HACK. According to cybersecurity group SEAL, attackers may have gained access to Binance's internal systems as early as September. The attack reportedly involved fake job interviews,… — Nehal (@nehalzzzz1) November 6, 2026

https://x.com/nehalzzzz1/status/2118731305768906983?ref_src=twsrc%5Etfw

Фиктивные рекрутеры и восьминедельное окно

Группа Security Alliance, некоммерческая организация по кибербезопасности, известная как SEAL, сообщила, что связанные с КНДР хакеры в сентябре скомпрометировали устройство инженера-программиста Binance. По данным группы, злоумышленники проникли внутрь через фиктивную схему найма, а период несанкционированного доступа оценивается примерно в восемь недель до атаки.

Как развивалась атака

Binance привела более длительную хронологию. Представитель биржи сообщил, что первые компрометации устройств произошли в июне и сентябре, однако доступ, необходимый для операций с кошельками, злоумышленники получили лишь 20 октября. SEAL уточнила, что её восьминедельная оценка охватывает только период с сентября по октябрь и не учитывает начало более широкой кампании, о которой рассказала биржа.

Июньское проникновение началось с того, что другой сотрудник скачал подмененный установщик Homebrew, пытаясь настроить инструмент для написания кода на базе ИИ. Binance обнаружила инцидент, заменила устройство и сменила соответствующие учетные данные, однако к тому моменту злоумышленники уже собрали информацию о сотрудниках, работавших над инфраструктурой кошельков.

20 октября злоумышленники использовали скомпрометированный компьютер инженера и внутренний ИИ-инструмент, чтобы получить контроль над устройствами двух инженеров инфраструктуры кошельков. Затем они обнаружили токен разрешения на развертывание, который был задействован в атаке 29 октября.

SEAL выявила как минимум четыре компании-прикрытия, связанные с кампаниями фиктивного найма в 2026 году: citalab.net, citalab.com, bitfit.io и oddium.io. По данным группы, схожие многоэтапные схемы фигурировали и в других кражах: злоумышленники, по оценкам SEAL, имели около шести недель доступа перед взломом Bitget на $388 млн, около шести недель доступа к LayerZero до уязвимости, приведшей к эксплойту Kelp DAO на $293 млн, и около трех недель до эксплойта AFX на $24 млн.

ФБР возложило ответственность за атаку на северокорейскую группу TraderTraitor. Ким Ё Чжон, сестра лидера КНДР Ким Чен Ына, отвергла это обвинение.

Замороженные средства и реакция рынка

Компания Sentora, занимающаяся аналитикой DeFi, охарактеризовала произошедшее как крупнейшую скоординированную блокировку ончейн-активов в истории DeFi. Circle заблокировала 823 млн USDC на одном кошельке до того, как злоумышленник успел их переместить. Ripple заморозила около $40 млн в RLUSD, а World Liberty Financial — $27 млн в USD1 и 48 млн токенов WLFI. Суммарно одни лишь заморозки стейблкоинов составляют около $890 млн. У Bitcoin и Ether нет эмитента, способного блокировать средства подобным образом; Sentora обнаружила 18 270 BTC и более 420 000 ETH в активах злоумышленника после локализации инцидента.

Кредитные рынки DeFi за один день испытали чистый отток в $1,59 млрд — около 3% от общего объема заблокированных средств. Примерно 60% этих средств вернулись в течение трех дней, и Sentora не выявила плохих долгов на проанализированных рынках. Для сравнения: эксплойт Kelp DAO в апреле спровоцировал вывод $10,9 млрд за пять дней — около 21% от объема заблокированных средств в кредитовании, — и ни один из них не вернулся за этот период. Sentora объяснила разницу тем, где находились пострадавшие активы: потери Binance остались на бирже, тогда как актив Kelp служил обеспечением на кредитных рынках.

По данным Elliptic, по состоянию на 6 ноября около 1 650 BTC на сумму $124 млн было конвертировано из других украденных активов — почти вдвое больше, чем днем ранее. Основная часть прироста пришлась на XRP, обменянные через THORChain. Первоначальные 18 270 BTC остались нетронутыми на 19 адресах. Аналитики насчитали более 20 000 кошельков и 65 000 транзакций в 16 блокчейнах, при этом около $3,11 млрд по-прежнему находится на адресах, связанных с кражей.

Binance восстановила большую часть затронутых активов

Binance сообщила 4 ноября, что восстановила около 98% затронутых активов за счет собственных ресурсов. Оставшиеся 2% приходятся на менее ликвидные токены, которые биржа выкупает через рыночные и внебиржевые каналы. 5 ноября Binance попросила DAO Arbitrum одобрить возврат 8 425,997 ETH и 74 559,805.2 ARB — процедура, которая, по ожиданиям, займет около 49 дней. Эти два пункта — выкуп и одобрение DAO — остаются незавершенными частями программы восстановления.

Страховщики присматриваются внимательнее

Reuters сообщило в пятницу, что страховщики стали тщательнее проверять криптоклиентов. Жаклин Квинтал из Marsh не ожидает существенных изменений в ценообразовании, покрытии или объеме предложения, однако страховщики могут требовать от клиентов устранения уязвимостей, а многие полисы исключают атаки, поддерживаемые государством, — что актуально с учетом того, что ФБР возложило ответственность за эту кражу на северокорейскую группу TraderTraitor.

Эта статья первоначально была опубликована на CoinCentral.