Binance опубликовала первый подробный отчёт о краже около $6,3 млрд. Атака готовилась с июня и прошла через троих инженеров: поддельный установщик Homebrew, фальшивое собеседование с «тестовым заданием» и внутренний ИИ-инструмент компании.
Сама биржа подчёркивает, что это не был единичный фишинг. Разбираем цепочку по шагам и что из неё стоит забрать любой компании, где у разработчиков есть доступ к продакшену.
Коротко
- 3 ноября Binance выпустила отчёт об инциденте 29 октября. По её версии, атака шла несколько месяцев и затронула как минимум трёх инженеров, работавших с инфраструктурой кошельков.
- Ключевую роль сыграли два приёма: заражённый установщик популярного инструмента, найденный через поисковик, и фальшивое собеседование, на котором инженеру дали скачать «тестовое задание».
- Для доступа к компьютерам коллег атакующий использовал внутренний ИИ-инструмент Binance, а для запуска кражи — токен на развёртывание контейнеров, найденный на ноутбуке одного из инженеров.
- ФБР официально приписало атаку северокорейской группе TraderTraitor. Как именно был обойдён контроль подписи транзакций, Binance не раскрыла.
Что опубликовала Binance
Отчёт вышел в блоге Binance 3 ноября, через пять дней после кражи. Компания называет его первичной оценкой: расследование продолжается, к нему подключены независимые специалисты по безопасности.
Главный тезис отчёта Binance формулирует так: это была многоэтапная кампания, а не единичный взлом или простой фишинг. В ней, по словам биржи, сочетались социальная инженерия, вредоносные загрузки, компрометация внутреннего ИИ-инструмента, захват рабочих компьютеров и некий «продвинутый способ авторизации транзакций».
Отдельно биржа извинилась перед пользователями и партнёрами и признала, что этого не должно было случиться, передаёт NPR.
Как развивалась атака
В отчёте участники обозначены буквами: инженеры A, B и C. Хронология ниже собрана по пересказам отчёта в The Register и The Hacker News.
- Июнь. Инженер A из команды Wallet DevOps искал в поисковике популярный ИИ-инструмент и скачал по ссылке из выдачи заражённый установщик Homebrew. Fortune уточняет, что это было рекламное объявление, а не официальный канал. Binance заметила заражение, заменила устройство и сменила учётные данные.
- Сентябрь. Инженеру B написал «директор проекта» несуществующей компании. Последовали два раунда собеседования, в конце второго инженеру предложили скачать «тестовое задание» на рабочий компьютер. На этот раз защита ничего не заметила.
- 20 октября. С заражённого компьютера инженера B атакующий, используя внутренний ИИ-инструмент Binance, получил контроль над компьютерами инженеров A и C.
- 29 октября. Атакующий зашёл на компьютер инженера C, развернул контейнер с помощью токена, украденного у инженера A, и запустил скрипт. Через доступ к внутреннему сервису подписи кошельков он инициировал переводы в обход обычного процесса вывода.
- 31 октября. ФБР в официальном предупреждении назвало виновником Северную Корею и операцию TraderTraitor, сообщает Korea Times.
- 3 ноября. Binance опубликовала отчёт.
Весь путь одной строкой: от поисковой рекламы и сообщения рекрутёра до сервиса, который подписывает вывод денег, прошло около четырёх месяцев.
Июнь: подделка вместо официального установщика
Homebrew — популярный менеджер пакетов для macOS, через который разработчики ставят программы из командной строки. Подделки под такие инструменты нередко продвигают через рекламу в поисковиках: ссылка выглядит как официальная и стоит выше настоящего сайта.
Заражение быстро обнаружили, но, по словам Binance, атакующий успел узнать, чем занимается инженер A и кто его коллеги в команде инфраструктуры кошельков. По версии Fortune, именно сочетание этих сведений с фальшивым собеседованием и позволило атаке сработать.
Сентябрь: «тестовое задание»
Инженера B нашли на платформе для поиска работы, где в профиле был указан опыт в Binance. По данным Fortune, это был LinkedIn. Схема выглядела убедительно:
- Первый раунд — видеозвонок с «HR-специалистом», который для доверия показал свой профиль в соцсети с личными фото и видео.
- Второй раунд — разговор в популярном мессенджере с «гендиректором» несуществующей компании, по словам Binance.
- Финал — просьба скачать репозиторий с заданием. Вредоносный код запустился уже при настройке проекта, подменил компонент инструмента разработчика и замёл следы.
Инженер был за рабочим ноутбуком, подчёркивает NPR. Средства защиты на устройствах, по данным The Register, заражение сразу не обнаружили.
Октябрь: от ноутбука до сервиса подписи
Самая важная и наименее раскрытая часть истории — как доступ к рабочим компьютерам превратился в возможность выводить деньги. Из отчёта известно три детали:
- внутренний ИИ-инструмент Binance помог атакующему перейти с компьютера инженера B на компьютеры коллег; как именно, не сообщается;
- на ноутбуке инженера A лежал токен с правом развёртывать контейнеры, и атакующий его нашёл;
- развёрнутый контейнер дал доступ к внутреннему сервису подписи, через который запросы на вывод ушли мимо стандартных проверок.
Это совпадает с ранней версией аналитиков TRM Labs. В первые дни после кражи они предполагали, что атакующий научился заставлять систему подписи горячих кошельков подписывать нужные ему транзакции.
Цифры после отчёта
- Ущерб. В пересказе отчёта The Hacker News называет $6,43 млрд, остальные издания — около $6,3 млрд. Чем объясняется разница, издания не уточняют.
- Возвращено. Около $2,5 млрд вернули благодаря заморозке стейблкоинов Tether и Circle, пишет Fortune.
- Покрытие. По словам Binance, 98% украденных монет она восполнила из резервов, остальные 2% докупает.
- Фон. С начала 2026 года биржа, по её данным, обнаружила и предотвратила 57 атак, предположительно связанных с КНДР.
Что Binance изменила
Список мер из отчёта, по данным The Hacker News и The Register:
- заново развернула систему кошельков в новой среде;
- перестроила внутренний ИИ-инструмент и его права доступа;
- заменила затронутые устройства и отозвала все токены и учётные данные пострадавших инженеров;
- провела углублённую проверку всех рабочих устройств сотрудников;
- ужесточила контроль устройств и риск-проверки в сервисе кошельков;
- расширила поведенческий анализ на основе ИИ и наняла независимых экспертов для аудита.
Есть и кадровая деталь. Представитель Binance сказал Fortune, что сотрудникам на непубличных должностях нельзя держать профили в LinkedIn. Нарушил ли инженер это правило и будут ли последствия, компания не ответила.
Ограничения и оговорки
Отчёт написала пострадавшая сторона
Всё, что известно о цепочке атаки, исходит от самой Binance. Независимого технического разбора пока нет, а компания заинтересована в версии, где виноват изощрённый противник, а не слабые внутренние проверки.
Главного в отчёте нет
Binance не объяснила, что за «продвинутый способ авторизации транзакций» использовал атакующий и почему сервис подписи принял запросы, пришедшие не из обычного процесса вывода. Неясно и то, как именно использовался внутренний ИИ-инструмент.
Между тем вопрос к архитектуре звучал ещё до отчёта. Кок Тин Ган, сооснователь и гендиректор компании по кибербезопасности NyxLab, 30 октября в комментарии AP предположил, что дело в токене с бессрочным полным доступом к горячему кошельку, пишет PBS. Отчёт подтвердил ключевую роль токена, хотя речь в нём о праве на развёртывание контейнеров.
Июньский сигнал не остановил атаку
Июньское заражение обнаружили и закрыли. Но, по нашей оценке, утечка сведений о том, кто управляет кошельками, сама по себе была поводом ждать прицельной атаки на этих людей. Сработало ли это предупреждение внутри компании, из отчёта не видно.
Открытый вопрос. Почему один украденный токен развёртывания позволил добраться до сервиса, который подписывает вывод на миллиарды? Пока Binance не раскроет эту часть, главный урок инцидента остаётся неполным.
Схема не новая
Фальшивые собеседования с заражённым «тестовым заданием» исследователи знают давно. В 2023 году специалисты Palo Alto Networks описали кампанию Contagious Interview: связанные с КНДР злоумышленники выдают себя за работодателей и уговаривают разработчиков установить вредоносный код в ходе собеседования.
Северокорейские группы работают с обеих сторон рынка труда. Они и устраиваются в компании под чужими именами, и сами изображают рекрутёров. Случай Binance показывает, во что может обойтись одна такая «вакансия», если жертва работает с критичной инфраструктурой.
Вывод
Отчёт Binance подтвердил то, что предполагали с первого дня: кражу на миллиарды начали не со взлома блокчейна, а с людей. Двоим инженерам хватило одного клика по рекламе и одного «тестового задания», чтобы открыть дорогу к компьютерам коллег.
Но самую важную часть, переход от рабочих компьютеров к подписи транзакций, биржа пока описала лишь в общих словах. Для остальных компаний урок понятен уже сейчас: исходить из того, что ноутбук разработчика однажды будет взломан, и строить проверки так, чтобы этого было недостаточно.
Комментарии