Binance раскрыла, как хакерам удалось украсть $6,34 млрд

В опубликованном 3 ноября отчете Binance описала многоэтапную атаку, подготовка к которой началась в июне 2026 года. Тогда инженер, устанавливавший ИИ-инструмент для программирования, скачал подмененный установщик Homebrew — менеджера пакетов для macOS. Служба безопасности обнаружила аномалию, компания заменила компьютер и сменила связанные учетные данные. Но атакующие успели выяснить, кто из сотрудников занимается инфраструктурой кошельков.

В сентябре другой разработчик получил предложение работы через сайт для поиска вакансий. Его собеседовали люди, выдававшие себя за представителей вымышленной компании. Во время второго интервью сотрудника попросили загрузить на рабочий компьютер репозиторий с «тестовым заданием». Вредоносный код запускался при настройке проекта и подменял компонент инструмента разработки. По данным Binance, защита устройства тогда его не обнаружила.

20 октября злоумышленник использовал зараженный компьютер и внутренний ИИ-инструмент Binance, чтобы получить доступ к устройствам еще двух инженеров. На одном из них он нашел токен с правом развертывать программные контейнеры. 29 октября атакующий воспользовался украденными учетными данными, развернул контейнер и запустил вредоносный скрипт.

Доступ к внутреннему сервису подписи позволил инициировать переводы в обход обычной процедуры вывода. С 20:05 до 20:09 UTC пять горячих кошельков — постоянно подключенных к сети — отправили на адрес атакующего 233,46 миллиона XRP. С кошельков в Solana и Optimism ушли около 970 500 SOL и 44,2 миллиона OP. Также злоумышленник вывел 18 270 BTC.

В Ethereum атакующий задействовал EIP-7702. Этот механизм позволяет обычному аккаунту делегировать выполнение операций коду смарт-контракта. Согласно отчету, злоумышленник провел 50 операций подписи, с помощью которых закрепил за своим контрактом полномочия над горячим кошельком. Эти разрешения сохранялись в блокчейне независимо от систем Binance, поэтому остановка вывода средств сама по себе их не отменила.

Задержку с отзывом разрешений биржа объяснила особенностями кошелька на основе многосторонних вычислений — MPC. Для отзыва таких полномочий потребовалось разработать отдельную процедуру. Последняя несанкционированная транзакция на 2961,9 ETH была отправлена раньше, но окончательно подтвердилась в блокчейне в 23:56 UTC. Делегирование Binance сняла в 00:10 UTC 30 октября.

ФБР в заявлении от 31 октября приписало хищение Северной Корее и обозначило эту активность как TraderTraitor. Бюро призвало криптосервисы блокировать транзакции, связанные с перечисленными им адресами. Сама Binance сообщила, что за 2026 год предотвратила 57 угроз, предположительно связанных с КНДР.

По заявлению Binance, к 31 октября компания восполнила 98% затронутых токеновых активов и продолжала закупать оставшиеся, менее ликвидные. Около $2,85 миллиарда удалось заморозить или перехватить, при этом сумма еще подлежит сверке и зависит от рыночных цен. Биржа утверждает, что зарезервировала больше 100% средств, необходимых для покрытия потерь, и обещает полностью взять финансовый ущерб на себя. Компания также извинилась перед пользователями.

После атаки Binance заново развернула затронутую систему кошельков и внутренний ИИ-инструмент, заменила устройства, отозвала связанные учетные данные и токены, а также проверила компьютеры всех сотрудников. Компания привлекает независимых специалистов для проверки обстоятельств взлома и планирует вместе с партнерами создать фонд исследований безопасности ИИ в блокчейн-средах. Выводы отчета остаются предварительными.

Закладка

Скопировать ссылку

Email

Печать

Twitter

VK

Telegram