Binance 3 ноября раскрыла механизм взлома, который обошелся бирже в $6,34 млрд: атаке предшествовала многомесячная кампания против сотрудников биржи, включавшая фиктивное собеседование на вакансию и скомпрометированный внутренний ИИ-инструмент для разработки. Отчет о расследовании Binance опубликовала в соцсети X.
Биржа возместила 98% похищенных средств и перехватила или заморозила $2,85 млрд из похищенной суммы. Вывод средств по нескольким блокчейнам начал восстанавливаться 3 ноября.
В июне сотрудник биржи, отвечающий за кошельки, через менеджер пакетов Homebrew установил поддельное обновление, настраивая на своем компьютере ИИ-инструмент для написания кода. В сентябре другого сотрудника завербовали через фиктивный процесс найма: его собеседовали поддельные HR-менеджер и «генеральный директор» компании-работодателя.
Ему дали тестовое задание со скрытым вредоносным кодом. 20 октября злоумышленники с помощью скомпрометированного компьютера и внутреннего ИИ-инструмента получили доступ к системам еще двух инженеров, отвечающих за кошельки Binance.
29 октября атакующие развернули вредоносный скрипт и воспользовались функцией сети Ethereum EIP-7702, которая передает права на исполнение транзакций, чтобы получить контроль над горячим кошельком биржи. В 20:05 по UTC с кошелька начался вывод активов, а к 00:10 по UTC 30 октября Binance остановила атаку.
ФБР связало атаку с Северной Кореей. По словам биржи, в 2026 году она обнаружила и предотвратила 57 попыток атак, которые связывает с северокорейскими хакерами.
Ричард Тенг, совместный генеральный директор биржи, сказал: «Мы публикуем полный отчет, потому что выводы из этой истории выходят далеко за рамки Binance». Сооснователь Binance Йи Хэ добавила: «Мы перехватили многие из этих попыток, но цена даже одной неудачи была серьезной».
Куда делись оставшиеся около 2% похищенных активов и как Binance планирует их вернуть, в отчете не указано.
