Неизвестный продавец под именем ShinyHunters предложил на подпольном форуме данные якобы 335 млн пользователей Binance и запросил за массив $900 тыс. Биржа заявила, что утечка данных Binance не подтверждается: признаков компрометации систем, KYC-документов, паролей или ключей кошельков она не обнаружила. Для IT-команд это очередное напоминание: громкое объявление о «слитом миллионе аккаунтов» ещё не доказывает взлом компании, но почти наверняка запускает волну фишинга против её клиентов.
Продавец утверждал, что располагает KYC-документами, адресами электронной почты, телефонами, историей операций, данными внутренней инфраструктуры, паролями и приватными ключами криптокошельков. В объявлении звучал привычный для вымогателей ультиматум: у Binance якобы осталось два варианта — заплатить или дождаться публикации. Как пишет BleepingComputer, в самой Binance сочли предложение вероятной мошеннической схемой и не нашли связи между выставленным лотом и своими системами.
В заявлении биржа отдельно указала на несколько несостыковок. Binance не хранит приватные ключи внешних кошельков пользователей, не держит пароли в открытом виде и больше не работает в части юрисдикций, упомянутых автором объявления. Это не окончательный технический разбор лота — образцы данных публично не верифицировались, — но набор заявлений продавца уже расходится с базовой моделью хранения данных на платформе.
Скепсис проявили и посетители форума. Самый очевидный вопрос прозвучал без особой дипломатии: если у продавца действительно есть ключи от всех кошельков, зачем продавать их набор вместо того, чтобы сразу вывести активы? Такой аргумент не исключает кражу персональных данных или фрагментов инфраструктурной информации. Зато он делает историю о полном доступе к кошелькам значительно менее убедительной.
Для рынка это важная разница. Под вывеской «утечка» часто смешивают три разных сценария: компрометацию серверов компании, данные из ранее известных дампов и логи инфостилеров, которые заразили устройства самих пользователей. В последнем случае атакующий может получить сохранённый в браузере адрес почты, пароль или cookie-сессию, не взламывая инфраструктуру сервиса. Binance прямо предположила, что подобные прошлые объявления нередко были построены на данных, собранных вредоносными программами на пользовательских устройствах.
Это не делает риск для владельцев аккаунтов абстрактным. Если в наборе есть реальные адреса, номера телефонов или старые пароли, их достаточно для точечных писем от имени биржи, поддельных страниц входа и звонков «службы безопасности». В криптовалютной сфере одна удачная социальная инженерия может оказаться опаснее утечки обычной базы рассылки: злоумышленнику не обязательно ломать блокчейн, если он может убедить человека передать код двухфакторной аутентификации, seed-фразу или подтвердить вывод средств.
Пользователям Binance стоит относиться к сообщениям о взломе как к вероятному топливу для мошенников, а не как к инструкции срочно перейти по ссылке из письма. Пароль к аккаунту должен быть уникальным, двухфакторная аутентификация — включённой, а проверка уведомлений — происходить через приложение или вручную введённый адрес сайта. Seed-фразы, приватные ключи и коды 2FA нельзя передавать никому, включая собеседника, который представляется сотрудником биржи. Для компаний, чьи сотрудники работают с криптоактивами, это также повод проверить защиту браузеров, менеджеров паролей и рабочих устройств от инфостилеров.
История получила дополнительный резонанс на фоне недавнего подтверждённого инцидента, о котором Binance сообщала неделей ранее. По данным источника, северокорейские хакеры обманом убедили сотрудника установить вредоносное ПО во время фальшивого собеседования и затем скомпрометировали инфраструктуру кошельков; ущерб оценивался примерно в $6,34 млрд в криптовалюте. ФБР связало атаку с группировкой TraderTraitor, которую также отслеживают под именами Lazarus Group, Jade Sleet и APT38. Именно поэтому нынешнее опровержение не стоит читать как «у Binance всё спокойно»: оно касается конкретного объявления о продаже данных, а не отменяет риски для крупной криптоплатформы.
Пока нет независимой проверки образцов, утечка данных Binance остаётся неподтверждённым заявлением продавца с заметными логическими дырами. Но для злоумышленников даже слуха о базе на сотни миллионов человек достаточно, чтобы повысить конверсию фишинговых кампаний. В криптоиндустрии репутационный ущерб от такого объявления начинается раньше, чем появляется технический отчёт: пользователи реагируют на заголовок, а не на последующее опровержение.