Илья Лихтенштейн заявил, что тактика, примененная при взломе горячего кошелька Binance 29 октября 2026 года, напоминала методы, связанные с северокорейскими хакерами. Его оценка сопровождается собственным описанием Binance: вторжение сочетало фиктивные схемы найма, зараженные загрузки и скомпрометированные внутренние ИИ-инструменты в рамках атаки, затронувшей активы на 6,34 млрд долларов.

Президент США Дональд Трамп сообщил, что следователи изучают возможную связь с КНДР. Ни его заявление, ни оценка Лихтенштейна не доказывают причастность Северной Кореи. По данным CNBC, сопродавец Binance Ричард Тэн воздержался от прямых обвинений в адрес КНДР, но подтвердил, что ФБР связало взлом с северокорейскими хакерами, относящимися к группе TraderTraitor.

Лихтенштейн предположил, что фишинг в отношении сотрудников может служить точкой входа в криптовалютные биржи — вместо прямых атак на их веб-сайты. Это предположение не является подтверждением маршрута, использованного в данном инциденте. Наблюдение указывает, где сосредоточена безопасность биржи: устройства персонала, внутренние инструменты и системы перемещения средств.

Месяцы проникновения предшествовали взлому горячего кошелька

Binance описывает поэтапное вторжение с вовлечением инженеров и систем, авторизующих транзакции кошелька. Тэн сказал, что злоумышленники месяцами получали доступ, отвергая идею о том, что ноутбук одного сотрудника стал единой точкой отказа.

Отчет Binance по безопасности прослеживает подготовку к июню, когда инженер скачал измененную установку Homebrew в поисках ИИ-инструмента для кодинга. Биржа выявила подозрительную активность, заменила устройство и обновила учетные данные, но сообщила, что роль инженера и его коллеги уже были раскрыты. Homebrew — широко используемый пакетный менеджер, и эпизод показывает, как рутинная установка становится точкой входа, если ее источник скомпрометирован.

В сентябре, по словам Тэна, злоумышленники, выдававшие себя за рекрутеров, провели другого инженера через собеседования и тестовое задание с скрытым вредоносным ПО. Затем они переместились через внутренние ИИ-инструменты к системе, авторизующей транзакции кошелька. Эта последовательность — инсценированный найм, скрытое вредоносное ПО, боковое перемещение через внутренние инструменты к системе авторизации транзакций кошелька — соответствует описанной Лихтенштейном схеме.

Тэн сообщил, что Binance восстановила 98% затронутых активов и выкупает оставшиеся, менее ликвидные holdings. Клиенты вывели 3,6 млрд долларов, когда биржа reopened 1 ноября. Binance обязалась покрыть убытки клиентов и заново выстроила затронутую систему кошелька и внутренний ИИ-инструмент. Цифры передают масштаб восстановления: восполнение многомиллиардного дефицита, поглощение крупных выводов при повторном открытии и пересборка скомпрометированной инфраструктуры.

Лихтенштейн подчеркнул, что первые 48 часов после атаки критичны для отслеживания украденных средств. Искусственный интеллект может ускорять переводы после кражи, усиливая срочность раннего отслеживания.

Как развивается расследование возможной связи с КНДР и когда Binance завершит выкуп оставшихся менее ликвидных активов — вот следующие события, за которыми стоит следить.

Эта статья подготовлена с использованием искусственного интеллекта и проверена редакцией.