По имеющимся данным, хакеры из КНДР на прошлой неделе вывели $6,3 млрд из Binance в крупнейшей краже криптовалюты в истории, а стоящие за ней методы отражают широкий и постоянно развивающийся арсенал: проникновение в компании под поддельными личностями, отравление широко используемых библиотек кода, компрометация инфраструктуры кошельков и всё более активное применение искусственного интеллекта, делающее каждый шаг убедительнее.

Масштаб угрозы значителен. По одной из оценок, на группы, связанные с КНДР, приходится 60% всех крипто-потерь за прошлый год. Эти злоумышленники задействуют сразу несколько векторов атаки, что затрудняет их поимку «на месте преступления».

На прошлой неделе, по имеющимся данным, хакерам из КНДР потребовалось всего 20 минут, чтобы вывести $6,3 млрд из Binance — это крупнейший крипто-взлом в истории. По данным биржи, они получили доступ к рабочему компьютеру инженера Binance через поддельное собеседование, использовали внутренний ИИ-инструмент для захвата компьютеров других инженеров, а затем с помощью украденных учётных данных перехватили внутренний сервис подписания кошельков.

— Binance (@binance) November 3, 2026

Ранее было известно, что хакеры из КНДР устраиваются в криптокомпании под поддельными личностями, атакуют через стороннюю инфраструктуру и отравляют широко используемые библиотеки кода. Совсем недавно они начали применять ИИ, чтобы сделать всё это убедительнее. Вот методы, которые они, как известно, используют в крипто-атаках.

Поддельные сотрудники

Директор по безопасности Binance Джимми Су рассказал Decrypt в августе 2025 года, что биржа ежедневно отклоняет подозрительные резюме из КНДР и что «почти все крупные атаки КНДР» на тот момент предполагали участие поддельного сотрудника, помогавшего осуществить атаку.

Су отметил, что в резюме есть характерные признаки, указывающие на происхождение кандидата из КНДР, но биржа не пожелала раскрывать детали этих «красных флагов». Иногда злоумышленники всё же доходят до этапа собеседования, где используют дипфейки для изменения лица и голоса.

«Единственный по-настоящему надёжный способ обнаружения — почти всегда медленное интернет-соединение», — рассказал он Decrypt. «Дело в том, что перевод и изменение голоса работают во время звонка… поэтому у них всегда задержка».

Те, кого всё же нанимают, как правило, подозрительно хорошо справляются с работой. По словам Су, сотрудники из КНДР часто входят в число лучших специалистов компании — вероятно, потому что одну роль могут разделять несколько человек в разных часовых поясах.

Угроза не ослабевает. Binance сообщила, что её команда безопасности выявила и предотвратила 57 suspected случаев киберугроз, связанных с КНДР, в 2026 году — с использованием методов от поддельных собеседований до фальшивых приложений для видеоконференций.

Поддельные собеседования

Злоумышленники также переворачивают схему: выдавая себя за рекрутеров, они нацелены на тех, кто уже работает в известных криптокомпаниях. Часто злоумышленник заявляет о проблеме с видео или звуком во время собеседования и отправляет жертве ссылку на «обновление» Zoom, которое заражает устройство вредоносным ПО.

«Группировка КНДР [также] пытается назначить звонки сотрудникам, работающим с внешними контрагентами», — рассказал Су Decrypt. «Выдавая себя за DeFi-проект или инвестиционную фирму. Хуже того — они предлагают им высокую должность с двойной или тройной оплатой, лишь бы заманить на собеседование».

Именно так началась атака на Binance, по данным биржи. В сентябре инженера-программиста Binance через легитимную платформу поиска работы contacted человек, представившийся директором проекта, назначивший два собеседования. На первом, как утверждалось, представитель HR завоёвывал доверие в ходе видеозвонка, делясь аккаунтом в соцсети, полным личных фото и видео, — подход, который Binance назвала «более продвинутым и обманным, чем все предыдущие».

На втором, проведённом в чат-приложении, инженеру велели скачать «задание» на рабочий компьютер. Репозиторий кода содержал ранее неизвестное вредоносное ПО, которое запускалось при установке, подменяло легитимный инструмент разработчика на вредоносную версию и подключалось к серверу, контролируемому злоумышленником, обходя средства защиты Binance.

Аналогичные методы применялись и в более широком масштабе. Одна из группировок, связанных с КНДР, инфицировала не менее 30 000 устройств более чем в 100 странах примерно с декабря 2025 года по июль 2026 года, получив средства или учётные данные более чем от 7 000 криптокошельков и переведя около $10,71 млн в КНДР.

Эта группировка, известная как WaterPlum или Contagious Interview, выдавала себя за компании в сфере ИИ, криптовалют или NFT и предлагала кандидатам техническое собеседование или задачу по программированию, требующую скачивания файлов с вредоносным ПО. Некоторые использовали ИИ-программы замены лица во время собеседований, а затем отключали своё видео и просили кандидата сделать то же самое, ссылаясь на плохое соединение.

Отравление библиотек

Су также рассказал Decrypt, что хакеры из КНДР отравляют публичные библиотеки кода, называя это вторым по распространённости методом атаки — после поддельных сотрудников.

Пакеты Node Package Manager (NPM) — это наборы многократно используемого открытого кода, на который часто опираются разработчики. Злоумышленники могут клонировать эти пакеты и внедрить небольшую строку вредоносного кода, сохранив исходную функциональность. Это означает, что жертва может пользоваться отравленной библиотекой и не замечать этого, а вредоносный код со временем проникает всё глубже по мере надстройки нового ПО.

В сентябре 2025 года компания по безопасности ПО ReversingLabs обнаружила два NPM-пакета, использовавших смарт-контракты Ethereum для скачивания вредоносного ПО — по словам компании, подобное ей не встречалось ранее. Пакеты были связаны с более широкой сетью репозиториев GitHub, в основном оформленных как крипто-торговые боты, с тысячами коммитов и звёзд, которые, как полагает ReversingLabs, в основном были поддельными.

Эта тактика стала частью «сложной кампании» злоумышленников, пытавшихся взламывать пользователей через отравленные публичные библиотеки кода, связанные с блокчейном, — вектор атаки, который Binance ранее приписывала хакерам из КНДР. Для противодействия угрозе, по словам Су, Binance заставляет сотрудников тщательно проверять NPM-библиотеки.

Подделанные инструменты разработчика также сыграли роль во взломе Binance. В июне сотрудник DevOps-команды кошельков Binance скачал подделанный установщик Homebrew — популярного менеджера пакетов, — пытаясь установить ИИ-инструмент для программирования, найденный через поисковую систему, сообщила биржа. Команда безопасности обнаружила проблему, заменила устройство и сменила учётные данные, но инцидент раскрыл злоумышленникам инженера и его коллег из команды инфраструктуры кошельков.

Атаки на инфраструктуру

До Binance нежелательным рекордом крупнейшего крипто-взлома владел Bybit, потерявший $1,4 млрд в феврале 2025 года — менее четверти суммы, похищенной у Binance. Компании по кибербезопасности выяснили, что хакеры из КНДР осуществили атаку, внедрив вредоносный код в инфраструктуру Safe — провайдера криптокошельков, использовавшегося биржей.

По данным компаний по безопасности, вредоносный код JavaScript был напрямую внедрён в онлайн-инфраструктуру Safe, хотя оставалось неясным, как злоумышленникам это удалось. Инфраструктура Bybit «не была скомпрометирована», сообщила биржа Decrypt, — взлом произошёл исключительно из-за эксплуатации третьей стороны.

Атака на Binance, напротив, была направлена на собственные системы биржи. 29 октября злоумышленник с помощью украденных учётных данных развернул контейнер — изолированную программную среду для запуска сервисов внутри инфраструктуры компании — и получил несанкционированный доступ к внутреннему сервису подписания кошельков, что позволило инициировать транзакции в обход обычного процесса вывода средств Binance. В сети Ethereum он использовал сервис подписания для эксплуатации EIP-7702 — механизма, позволяющего аккаунту делегировать права исполнения смарт-контракту, что дало контролируемому злоумышленником контракту частичный контроль над горячим кошельком Binance — подключённым к интернету кошельком, на который биржи полагаются при обработке вывода средств клиентов.

Эти ончейн-авторизации продолжали действовать даже после приостановки выводов средств Binance. Поскольку горячий кошелёк использовал многосторонние вычисления (multi-party computation) — подход, при котором контроль над ключом разделён между несколькими сторонами и ни один участник не обладает полным ключом, — у Binance не было единственного приватного ключа, с помощью которого можно было бы быстро их отозвать, сообщила биржа.

Мошенничество с использованием ИИ

Каждый из перечисленных векторов атаки может быть многократно усилен инструментами искусственного интеллекта.

В начале этого года Google предупредила о кампании вредоносного ПО с применением ИИ, нацеленной на криптокомпании и исходящей из КНДР. Су из Binance также отмечал, что ИИ-инструменты могут использоваться для повышения эффективности атак.

Опасения по поводу взломов с применением ИИ выросли за последние месяцы: сооснователь Ethereum Виталик Бутерин заявил в октябре, что «правдоподобно», что ИИ сможет взломать шифрование в ближайшие два года. Это произошло на фоне взрывного роста ИИ-математики: OpenAI заявила о решении 90-летней математической задачи за считанные дни, а эксперты призвали отрасль готовиться к атакам на шифрование с применением ИИ.

Подтверждённых сообщений об использовании хакерами КНДР ИИ для взлома шифрования нет. Но учитывая, насколько быстро они внедряют ИИ в других областях, отрасли, возможно, придётся готовиться и к этому.