Хакеры, связанные с КНДР, сохраняли доступ к системам Binance примерно восемь недель до проведения эксплойта на $6,3 млрд 29 октября, сообщает некоммерческая киберзащитная организация Security Alliance (SEAL). Binance, однако, утверждает, что более широкая атака началась в июне, а доступ к дополнительным устройствам инфраструктуры кошельков хакеры получили лишь 20 октября.

В отчёте, опубликованном в четверг, SEAL сообщила, что хакерская группа в сентябре скомпрометировала устройство инженера-программиста Binance с помощью фейковой схемы найма, добавив, что злоумышленники могут перемещаться по скомпрометированным системам с «высокой степенью скрытности в течение длительного времени» после первоначального вторжения. Оценка SEAL в восемь недель относится к периоду вторжения с сентября по октябрь, а не к началу более широкой кампании, описанной Binance.

Cointelegraph обратился в Binance за разъяснениями по хронологии. Представитель биржи сообщил, что первичные компрометации устройств произошли в июне и сентябре, но доступ, необходимый для операций с кошельками, атакующие получили лишь 20 октября.

«Как указано в нашем заявлении, первичные компрометации устройств произошли в июне и сентябре, но доступ, необходимый для операций с кошельками, атакующие получили лишь 20 октября, когда использовали эту позицию для горизонтального перемещения и получения доступа к дополнительным устройствам и учётным данным», — сказал представитель.

SEAL выявила как минимум четыре «компании-прикрытия», связанные с фейковыми кампаниями найма TraderTraitor в 2026 году, включая citalab.net, citalab.com, bitfit.io и oddium.io — домены, представлявшие эти организации законными работодателями.

Binance проследила атаку до июня, когда устройство другого сотрудника было скомпрометировано после загрузки изменённой сборки Homebrew (менеджера пакетов с открытым исходным кодом для установки ПО на macOS и Linux) при попытке установить ИИ-инструмент для программирования, как сообщалось ранее. Биржа обнаружила инцидент, заменила устройство и ротировала связанные учётные данные. Однако атакующие уже получили информацию о сотрудниках, работавших над инфраструктурой кошельков Binance, согласно публикации в X во вторник.

20 октября атакующие использовали скомпрометированный компьютер инженера, ставшего целью в сентябре, а также внутренний ИИ-инструмент, чтобы получить контроль над устройствами двух инженеров инфраструктуры кошельков, сообщает Binance. Впоследствии они обнаружили токен разрешений на развертывание, использованный в эксплойте 29 октября.

Анализ SEAL указывает на схожие многоэтапные паттерны вторжений в других громких крипто-взломах. По оценкам организации, атакующие имели около шести недель доступа до взлома Bitget на $388 млн, шесть недель доступа к LayerZero до уязвимости, приведшей к эксплойту Kelp DAO на $293 млн, и около трёх недель до эксплойта AFX на $24 млн. Вместе эти случаи показывают, что длительное присутствие между первоначальным доступом и исполнением атаки — повторяющаяся черта крупных крипто-вторжений, а не аномалия, уникальная для Binance.

Федеральное бюро расследований США возложило ответственность за атаку на связанную с КНДР группировку TraderTraitor в отчёте в субботу. Ким Ё Чжон, сестра северокорейского лидера Ким Чен Ына, отвергла обвинения, оставив ответственность за эксплойт публично оспариваемой между Вашингтоном и Пхеньяном. Поскольку позиции двух правительств прямо противоположны, дальнейшие раскрытия со стороны Binance, SEAL или американских ведомств могут добавить деталей о том, как развивалось вторжение с июня по октябрь.

Related: Взлом Binance может оказаться «временной неудачей» для криптовалют, считает Пандл из Grayscale