Взлом Binance затронул криптоактивы на $6,34 млрд — это крупнейшая сумма, на которую когда-либо нацеливались при краже криптовалюты. Биржа утверждает, что успела заморозить или перехватить $2,85 млрд, однако сама атака показывает неприятную для любой IT-команды вещь: путь к кошелькам начался не с криптографии, а с заражённых ноутбуков инженеров и фальшивых собеседований.
По данным Ars Technica, кампания началась не позднее июня и завершилась успешным выводом активов в прошлый четверг. Binance связывает инцидент с многоэтапной операцией: злоумышленники применяли социальную инженерию, вредоносные загрузки, скомпрометированный внутренний ИИ-инструмент, захват рабочих станций и сложную схему авторизации транзакций. ФБР и компания TRM Security отнесли атаку к северокорейским операторам; TRM отслеживает эту группу под именем TraderTraitor.
Первым эпизодом, вероятно, стала загрузка инженером изменённой версии Homebrew в июне. Команда безопасности Binance обнаружила заражённый ноутбук, но к тому моменту операторы уже получили сведения о ролях инженера и его коллег, связанных с инфраструктурой криптокошельков. Это важная деталь: раннее выявление вредоносного ПО не спасает, если атакующий успел собрать карту доступа, команды и зависимостей. В таких историях компрометация одного endpoint — не финал инцидента, а начало разведки перед движением по сети.
В сентябре злоумышленники зашли с другой стороны. Второму инженеру написали через настоящую платформу для поиска работы. Собеседника представили как руководителя проекта: сначала состоялось видеособеседование с якобы HR-специалистом, затем — разговор в мессенджере с мнимым гендиректором выдуманной компании. Во время второго этапа инженеру предложили скачать тестовое задание из репозитория с кодом. В процессе настройки этот код выполнился на устройстве и открыл атакующим дорогу внутрь.
Binance описывает вредонос как инструмент с маскировкой и обходом защит: он подменял компонент легитимного средства разработки, выполнял команды и устанавливал связь с внешним сервером атакующих. На момент заражения защитные средства на endpoint его не распознали. Для разработчиков здесь нет экзотической морали: репозиторий, пакетный менеджер, тестовое задание и окружение для сборки давно стали каналами доставки malware. Проверка кандидата больше не заканчивается проверкой его профиля; критична и изоляция любого кода, который сотруднику предлагают запустить «для интервью».
20 октября атакующие использовали компьютер скомпрометированного инженера и внутренний ИИ-инструмент, чтобы захватить ещё два устройства. Среди них оказался ноутбук инженера, ранее затронутый троянизированным установщиком Homebrew. На этом устройстве был токен доступа к развёртыванию контейнера. Через девять дней, с 17:15 до 19:56 UTC, атакующие вошли в систему третьего инженера, применили украденные учётные данные, развернули контейнер и запустили сценарий для перевода активов. Затем они расширили несанкционированный доступ к внутреннему сервису подписания кошельков, обходя обычный процесс вывода средств.
Из горячих кошельков Binance в сетях Solana и Optimism на контролируемые злоумышленниками адреса ушли около 970 500 SOL и 44,2 млн OP; отдельно был переведён 18 270 BTC. После внутреннего оповещения о крупных переводах биржа приостановила вывод средств, начала координировать блокировку токенов с партнёрами и отзывать несанкционированные разрешения. Но остановка вывода не остановила всё: атакующие использовали механизм Ethereum EIP-7702, позволяющий аккаунту делегировать часть прав исполнения смарт-контракту без раскрытия приватного ключа. Они создали 50 подписывающих транзакций, чтобы изменить nonce и закрепить вредоносные делегирования для горячего кошелька.
Именно этот слой сделал локализацию особенно сложной. Делегирования существовали в блокчейне и не зависели от штатной инфраструктуры вывода Binance. Кроме того, в кошельке использовалась схема Multi-Party Computation: единого приватного ключа, которым можно было мгновенно отозвать разрешения, не было. Бирже пришлось разработать отдельную процедуру отзыва. TRM Security также сообщила, что похищенные активы отмывали через сети TRON и Ethereum, используя самостоятельно выпущенный токен с пулом ликвидности, токен-квитанцию для кредитования и цепочки межсетевых обменов через два моста.
Для бизнеса этот взлом Binance — не только криптоистория с девятизначными суммами. Он объединяет знакомые защитникам классы рисков: компрометацию цепочки поставки, доверие к рабочим устройствам, избыточные токены развёртывания и внутренние инструменты с широкими правами. Чем активнее компании встраивают ИИ, контейнеры и автоматизацию в критические процессы, тем важнее проверять не только вход в систему, но и весь путь от рабочего ноутбука до необратимого действия в проде или блокчейне.
