Атака на Binance обошлась криптобирже примерно в $6,34 млрд, которые компания намерена покрыть из собственных средств. По версии площадки, злоумышленники несколько месяцев подбирались к внутренним системам через разработчиков, поддельный софт и фиктивные собеседования — сценарий, от которого не спасает один только хороший антивирус.
Пользовательские активы, по заявлению Binance, не пострадали. Биржа сообщила о возможной проблеме с безопасностью в ночь на 30 октября, а теперь раскрыла предварительную картину расследования. Как пишет vc.ru, окончательные выводы ещё должны пройти независимую проверку, но цепочка событий уже выглядит как учебник по социальной инженерии для компаний с ценными доступами.
Подготовка началась как минимум в июне 2026 года. Один из инженеров скачал поддельный менеджер пакетов Homebrew, рассчитывая установить популярный ИИ-инструмент для программирования. Служба безопасности заметила аномальную активность, заменила устройство сотрудника и обновила связанные учётные данные. На этом этапе инцидент мог показаться локальным: заражённый ноутбук изолирован, доступы перевыпущены, можно закрывать тикет.
Но атакующим хватило времени, чтобы собрать больше контекста. Они выяснили роль инженера и круг его коллег. По данным Binance, за 2026 год её команда безопасности предотвратила 57 угроз, которые предположительно были связаны с Северной Кореей. Такая цифра важнее, чем кажется: речь не о разовой удачной фишинговой кампании, а о постоянной работе против конкретной организации и её людей.
В сентябре под удар попал другой разработчик. Он прошёл два онлайн-интервью, после чего получил якобы тестовое задание и скачал его на рабочий компьютер. Внутри оказался вредоносный код. Фальшивые вакансии и технические интервью давно перестали быть экзотикой для IT: злоумышленники используют привычный для инженера маршрут — вакансия, созвон, репозиторий или архив с заданием — и получают шанс обойти корпоративную настороженность.
К 20 октября атакующие использовали скомпрометированное устройство и внутренний ИИ-инструмент Binance, чтобы добраться до данных двух сотрудников. У одного из них были права, необходимые для следующего шага. Вечером 29 октября злоумышленники подключились к устройству, применили похищенные данные и запустили вредоносный скрипт. Именно эта финальная стадия стала причиной ущерба, оценённого в $6,34 млрд.
31 октября ФБР США возложило ответственность за инцидент на северокорейских хакеров. В КНДР обвинения назвали абсурдной риторикой. Публично подтверждённой технической атрибуции Binance пока не раскрыла, поэтому формулировки о конкретной группе стоит воспринимать как позицию американских властей, а не как финальный результат независимой экспертизы.
Для рынка критичным был и следующий тест — вывод средств после возобновления операций. За девять с половиной часов клиенты Binance вывели активы на $3,64 млрд, или 2,1% от общего объёма активов под управлением площадки. Reuters трактовал этот показатель как признак сохранённого доверия пользователей. В криптоиндустрии, где репутационный кризис легко превращается в лавину заявок на вывод, такая реакция действительно выглядит сдержанной.
Для российских разработчиков, руководителей безопасности и продуктовых команд история полезна без привязки к криптовалютам. Вектором стали не «магические» уязвимости, а обычные рабочие процессы: установка инструмента для разработки, найм, тестовое задание, внутренний ИИ-сервис и права доступа. Защита должна проверять не только файлы и конечные точки, но и цепочку доверия: кто может запускать код, какие данные получает внутренний ИИ-инструмент, как ограничены привилегии и что происходит после обнаружения первого заражения.
Атака на Binance показывает неприятную вещь: быстрая замена устройства и смена паролей не гарантируют, что противник уже ушёл из инфраструктуры. Чем дольше длится кампания, тем важнее расследовать её как возможное проникновение в несколько контуров, а не как единичный инцидент на одном ноутбуке. Для компаний, активно внедряющих ИИ в разработку и внутренние процессы, следующий вопрос будет не «разрешать ли такие инструменты», а «какие доступы они получают и как заметить их использование не тем человеком».
