3 ноября Binance выпустила первое подробное описание взлома от 29 октября, затронувшего цифровые активы на сумму около $6,34 млрд, сообщив, что злоумышленники несколько месяцев выстраивали доступ, прежде чем добраться до инфраструктуры подписи кошельков биржи. Криптобиржа назвала причинами инцидента социальную инженерию, компрометацию конечных устройств и злоупотребление возможностями авторизации транзакций Ethereum.

Компания сообщила, что атака сочетала фальшивые собеседования на работу, вредоносное ПО и компрометацию внутренних ИИ-инструментов. По данным Binance, с тех пор было заморожено или перехвачено около $2,85 млрд, 98% затронутых токенов пополнено, а вывод средств в основном возобновлен.

— Binance (@binance) November 3, 2026

В отчете Binance заявила, что публикует полное описание, поскольку уроки инцидента выходят за пределы самой биржи. Описание примечательно описанным путем: доступ к системе подписи кошельков был выстроен через конечные устройства сотрудников, процессы найма и внутренние инструменты, а не через прямую атаку на сами кошельки — последовательность, которую Binance представила как актуальную для всей отрасли.

Атака началась за месяцы до кражи на $6,34 млрд

По данным Binance, вторжение началось в июне, когда недавно нанятый инженер Wallet DevOps скачал модифицированный программный пакет при установке инструмента для ИИ-кодинга. Биржа обнаружила инцидент, сменила учетные данные и заменила устройство, но злоумышленник уже получил информацию о том, как инженер работал с инфраструктурой кошельков, и о других членах команды.

В сентябре инженера снова атаковали через легитимный сайт поиска работы. Злоумышленник выдал себя за рекрутера, перевел процесс на видеособеседование, а затем попросил инженера скачать кодовое задание. По данным Binance, встроенное в репозиторий вредоносное ПО запустилось при установке и записалось на рабочий компьютер сотрудника.

Внутренний ИИ-инструмент стал частью пути атаки

Binance сообщила, что затем злоумышленники использовали подмененное устройство и ИИ-инструмент для получения доступа к системам двух других инженеров. К 20 октября они обнаружили токен для развертывания контейнеров у сотрудника Wallet DevOps. Используя украденный набор учетных данных, злоумышленники запустили контейнер и 29 октября отправили вредоносный код в кошельковую среду Binance.

Затем хакеры получили доступ к внутренней службе подписи кошельков, обойдя стандартную процедуру вывода средств биржи.

Злоумышленники использовали EIP-7702 для продолжения переводов криптовалюты

От взлома пострадали несколько сетей. Согласно отчету, злоумышленник опустошил пять горячих кошельков Binance — подключенных к интернету кошельков, которые биржи используют для повседневных переводов, — содержавших в совокупности 233,46 млн XRP. Дополнительные переводы затронули 970 503 SOL и 44,2 млн OP, за которыми последовали переводы 18 270 BTC.

EIP-7702 — это функция Ethereum, позволяющая делегировать права исполнения от аккаунта смарт-контракту, и, по данным Binance, злоумышленники воспользовались ею. Расследование компании выявило злонамеренную манипуляцию nonce — последовательными номерами, которые Ethereum использует для упорядочивания транзакций с аккаунта, — в 50 транзакциях подписи.

Согласно отчету, вредоносные авторизации не были отозваны после приостановки вывода средств, поскольку приостановка вывода не была опцией, способной мгновенно остановить все переводы. Настройка кошельков с многосторонними вычислениями (Multi-Party Computation) дополнительно усложнила реагирование, поскольку не существовало единого приватного ключа, которым можно было бы быстро отозвать вредоносные авторизации.

Binance заморозила $2,85 млрд и пополнила 98% токенов

По словам сопредседателя Binance Ричарда Тенга, были затронуты цифровые активы на сумму около $6,34 млрд. По данным топ-менеджера, более $2,85 млрд было заморожено или перехвачено при содействии правоохранительных органов, эмитентов токенов и компаний в области блокчейн-аналитики.

On 29 October, Binance was the target of one of the most sophisticated attacks the digital asset industry has ever seen. ~$6.34B in assets were impacted. We take full responsibility and we're making it right. No user bears the loss. We set aside more than the full amount required. At this moment, 98% of impacted tokens had been replenished; we're completing the remaining 2%. Withdrawals have broadly resumed. This wasn't one mistake or one breach – it was a months-long campaign. We're publishing the full report because the lessons go far beyond Binance. ~$2.85B has already been frozen or intercepted with law enforcement, issuers and blockchain intelligence firms. The speed of coordination could not be matched in traditional finance.

— Richard Teng (@_RichardTeng) November 3, 2026

Binance обязалась взять убытки от инцидента на себя, не перекладывая их на пользователей. К 31 октября были восстановлены токенные активы, составлявшие 98% затронутых средств, а оставшиеся менее ликвидные активы находились в процессе выкупа.

С тех пор биржа перестроила затронутые системы кошельков и внутренние ИИ-инструменты, заменила скомпрометированные устройства, отозвала учетные данные и добавила обнаружение поведенческих аномалий на основе ИИ. Согласно графику Binance, остаются невыполненными: финальные 2% пополнения токенов, выкуп оставшихся менее ликвидных активов, а также продолжающаяся работа с правоохранительными органами, эмитентами токенов и компаниями в области блокчейн-аналитики по средствам, которые еще не были заморожены или перехвачены.

Источник: CryptoNinjas