Взлом Binance, в ходе которого злоумышленники вывели криптоактивы примерно на $6,34 млрд, начался не с эксплойта блокчейна, а с двух рабочих компьютеров инженеров. Один сотрудник установил подменённый Homebrew, другого несколько недель вели через фальшивый рекрутинг и тестовое задание. Для команд, управляющих инфраструктурой и секретами, это очередное неприятное напоминание: атака на разработчика часто обходится дешевле атаки на код.
По данным Tom's Hardware, биржа описала кампанию в отчёте от 3 ноября как многоэтапную операцию, а не единичный фишинговый эпизод. Первое известное заражение произошло ещё в июне: инженер из Wallet DevOps искал популярный ИИ-инструмент для программирования и скачал вредоносную сборку через подменённый Homebrew — пакетный менеджер для macOS. Binance заметила аномальную активность, заменила устройство и отозвала связанные учётные данные. Но к этому моменту атакующие уже успели изучить роль сотрудника и круг коллег, работавших с кошельковой инфраструктурой.
Вторая точка входа появилась в сентябре. Инженеру Binance написал якобы руководитель проекта через легитимную площадку поиска работы. Легенда была подготовлена аккуратно: два интервью, видеозвонок с человеком в роли HR и аккаунт в соцсети с личными фото и роликами, затем беседа с фальшивым CEO несуществующей компании. В финале кандидату предложили выполнить тестовое задание и скачать репозиторий на рабочий компьютер. Код запускал вредоносный компонент ещё во время установки.
По версии Binance, вредоносная программа подменила легитимный компонент инструмента управления версиями Python, обозначенный в отчёте как pvenv. После этого она могла выполнять команды и связываться с сервером атакующих. Средства защиты конечных точек в тот момент её не обнаружили. Это важная деталь: защитный стек может исправно ловить известные образцы, но не спасает, если доверенный разработчик сам запускает репозиторий, полученный в рамках правдоподобного найма.
От ноутбука разработчика — к сервису подписания
20 октября атакующие начали развивать доступ. С помощью скомпрометированных компьютеров, связанных с фальшивым интервью, и внутреннего ИИ-инструмента они получили контроль над устройствами двух инженеров, работавших с кошельками. На компьютере сотрудника, заражённого ещё в июне, они нашли токен с правами на развёртывание контейнеров. Такой токен сам по себе не равен ключу от денег, но в инфраструктуре с недостаточно жёстким разграничением прав он становится удобной ступенью к следующему уровню доступа.
29 октября злоумышленники использовали украденные учётные данные для входа на компьютер ещё одного инженера, развернули контейнер и запустили вредоносный скрипт. По данным биржи, это открыло путь к внутреннему сервису подписания транзакций. В результате операции были проведены переводы из пяти горячих кошельков в обход обычного процесса вывода средств. Именно поэтому инцидент выглядит не как компрометация одного аккаунта, а как последовательное движение через рабочие станции, токены, права развёртывания и критичный сервис.
1 ноября ФБР прямо связало кражу активов стоимостью более $6 млрд с КНДР и отнесло операцию к активности, которую ведомство называет TraderTraitor. Пхеньян эти обвинения отверг. Binance сообщила, что смогла заморозить или перехватить около $2,85 млрд скомпрометированных активов, а 98% затронутых средств уже восполнены. Эти цифры отражают позицию самой биржи; детали расчёта и полный маршрут активов публично не раскрыты.
Собеседование стало частью периметра
Метод не нов, но его масштаб и терпение исполнителей выделяются. В сентябре группа WaterPlum, по приведённым в публикации данным, использовала вакансии и тестовые задания для заражения более 30 000 устройств в ста странах и компрометации свыше 7 000 криптокошельков. В 2024 году похожую кампанию против Python-разработчиков с вредоносным кодом в тестовых заданиях связывали с Lazarus; эту же группировку ранее связывали с атакой на Bybit в 2025 году. Общий сценарий не меняется: злоумышленник не ломится в CI/CD напрямую, а приходит туда в роли работодателя.
Для разработчиков практический вывод довольно приземлённый: тестовые задания, демо-репозитории и «нужные для вакансии» CLI-инструменты нельзя запускать на рабочей машине с доступом к продакшену, облаку или секретам. Нужны изолированные среды, проверка происхождения пакетов и репозиториев, короткоживущие токены, минимальные права и мониторинг действий с сервисными учётными данными. Для HR и руководителей инженерных команд это тоже часть защиты: сотрудники должны знать, куда сообщать о подозрительном рекрутере, а не решать в одиночку, выглядит ли просьба скачать архив нормальным этапом интервью.
Взлом Binance показывает, что «человеческий фактор» — слишком расплывчатое объяснение. Здесь сработала спланированная цепочка: разведка, убедительная легенда, заражение, удержание доступа и поиск привилегий. Чем больше разработчик совмещает роли кандидата, пользователя пакетов и оператора критичной инфраструктуры, тем меньше у компании права считать найм и рабочую станцию разными контурами безопасности.
