Взлом Binance начался не с уязвимости в блокчейне, а с фальшивого собеседования: инженер установил тестовое задание из репозитория злоумышленников, после чего хакеры получили путь к инфраструктуре кошельков биржи. 29 октября они вывели цифровые активы примерно на $6,34 млрд — сумма, при которой привычный совет «проверяйте код перед запуском» перестаёт звучать как формальность и становится вопросом выживания бизнеса.
По данным BleepingComputer, атаку связывают с северокорейской группировкой TraderTraitor, также известной как Lazarus Group, Jade Sleet и APT38. ФБР уже отнесло инцидент к деятельности этих спонсируемых государством хакеров. Для разработчиков, DevOps-инженеров и компаний из финтеха история неприятна своей приземлённостью: точкой входа оказался человек с рабочим ноутбуком, а не экзотический zero-day в публичном сервисе.
Кампания стартовала ещё в сентябре. Неизвестный представился директором по проектам вымышленной компании и нашёл инженера Binance через легитимную платформу поиска работы. Профиль специалиста указывал на опыт работы в Binance, поэтому цель была выбрана не случайно. Сначала сотрудник прошёл видеособеседование с якобы HR-менеджером: собеседник показывал аккаунт в соцсети с личными фото и роликами, создавая убедительную легенду. Затем состоялась беседа с человеком, выдававшим себя за CEO, уже в популярном мессенджере.
На втором этапе инженеру предложили скачать coding assignment из онлайн-репозитория. Запущенный код содержал ранее не встречавшееся вредоносное ПО, которое на тот момент не заметили средства защиты конечной точки. По версии Binance, вредонос заменял компонент инструмента разработки: скрипт создавал поддельный исполняемый файл pyenv_ в каталоге Homebrew на macOS, удалял легитимный pyenv, переименовывал подмену и менял символическую ссылку. Через запущенный процесс Z shell злоумышленники могли получать команды с контролируемого сервера.
От ноутбука разработчика до сервиса подписи
К 20 октября атакующие использовали скомпрометированный компьютер и внутренний AI-инструмент Binance, чтобы получить доступ ещё к двум сотрудникам, работавшим с кошелёчной инфраструктурой. В их руках оказались учётные данные и токен развёртывания контейнеров. Девять дней спустя хакеры развернули вредоносный скрипт, проникли в сервис подписи транзакций и начали переводить средства через несколько блокчейнов.
Отдельно Binance указывает на злоупотребление механизмом авторизации Ethereum EIP-7702. Это позволило продолжать кражу и после того, как биржа остановила вывод средств. Детали важны не только криптобизнесу: инцидент показывает, что защищённая критическая система может быть скомпрометирована через цепочку прав доступа, если один рабочий endpoint превращается в удобную точку опоры, а внутренние инструменты и токены развёртывания дают слишком широкий радиус поражения.
После атаки Binance заявила о перестройке затронутых систем, замене скомпрометированных устройств и отзыве украденных учётных данных. На 3 ноября было заморожено или перехвачено около $2,85 млрд активов. Биржа также сообщила, что к 31 октября восполнила 98% пострадавших токенов, и привлекла независимые компании по кибербезопасности для проверки расследования. Это не отменяет масштаб ущерба, но показывает, почему для крупных площадок критичны заранее подготовленные процедуры блокировки, координация с сетями и резерв ликвидности.
Собеседование стало частью атакующей цепочки
Поддельные предложения о работе давно входят в арсенал северокорейских групп. Их связывают с кампаниями Contagious Interview и Operation Dream Job: разработчику или сотруднику криптокомпании предлагают вакансию, документ либо тестовое задание, за которыми скрывается вредоносный код. В июне 2025 года исследователи Socket рассказывали о кампании, где фальшивые рекрутеры в LinkedIn рассылали задания с вредоносными npm-пакетами. Всего тогда обнаружили 35 таких пакетов; они крали браузерные учётные данные, данные криптокошельков и другую информацию.
Binance не утверждает, что компрометация её сотрудника относится к одной из этих кампаний. Но сценарий слишком узнаваем: убедительная легенда, несколько этапов интервью, живой видеозвонок, «руководитель компании» и репозиторий с заданием. Именно последовательность снижает настороженность. Антивирус здесь тоже не был волшебной стеной: образец использовал маскировку, уклонение от детектирования и подчистку следов, а потому прошёл мимо endpoint-защиты.
Для команд разработки вывод практический. Код из тестового задания нельзя запускать на рабочем устройстве с доступом к репозиториям, облаку, CI/CD или секретам — даже если вакансия выглядит правдоподобно. Нужны изолированные среды для таких проверок, минимальные права у токенов, сегментация доступа к системам подписи и контроль необычных действий с инструментами разработки. Взлом Binance на $6,34 млрд напоминает: у атакующей цепочки может быть дорогостоящая финальная цель, но её первый шаг часто выглядит как обычное сообщение от рекрутера. Открытый вопрос теперь не в том, будут ли такие кампании повторяться, а в том, сколько компаний успеют отделить процесс найма от своей производственной инфраструктуры до следующего «тестового задания».
