Биржа Binance в соцсети X опубликовала отчёт об взломе 29 октября, в ходе которого из горячих кошельков вывели активы примерно на $6,34 млрд. Отчёт появился 3 ноября в 17:33 MSK. По данным компании, это была многоэтапная кампания, а не единичный взлом или обычный фишинг. ФБР тем временем возложило ответственность на КНДР, а Пхеньян обвинения отверг.
Как всё началось: поддельный Homebrew и ИИ-инструмент
Первый эпизод случился в июне 2026 года. Инженер A из команды Wallet DevOps нашёл через поисковик ИИ-инструмент и при его установке скачал подделанную версию Homebrew. Служба безопасности Binance заметила аномалию, заменила устройство и ротировала связанные учётные данные. Но атакующие к тому моменту уже узнали роль инженера и его коллег по инфраструктуре кошельков.
В сентябре в игру вступил инженер B (Software Engineer). С ним связался через легитимную платформу поиска работы человек, который представился директором проекта. Профиль инженера содержал упоминание опыта в Binance. Собеседование прошло в два этапа. Сначала состоялось видео с «HR-представителем», который для укрепления доверия поделился аккаунтом в соцсети с личными фото и видео. Затем разговор продолжился в мессенджере с лицом, назвавшимся главой вымышленной компании.
В конце второго интервью инженеру предложили скачать «assignment» — тестовое задание в виде репозитория кода — на рабочий компьютер. При настройке задания вредоносный код запустился и подменил pyenv — программу, которой разработчики пользуются для работы с Python. Он удалил настоящий файл и поставил на его место свою копию под тем же именем, а затем создал ярлык-перенаправление (симлинк), чтобы система без вопросов запускала именно подделку. После этого заражённый компьютер связался с сервером атакующих и стал получать от него команды. Обнаружить угрозу не удалось: вредонос использовал уязвимость, о которой разработчики защиты ещё не знали (такие атаки называют 0-day), поэтому антивирусная защита на устройстве не распознала его как опасный.
Хронология атаки
- 20 октября атакующие использовали скомпрометированный компьютер инженера B и внутренний ИИ-инструмент биржи, чтобы получить контроль над устройствами инженера A и инженера C (Wallet Software Engineer). На машине инженера A нашёлся токен с правами на развёртывание контейнеров.
- 29 октября с 20:15 до 22:56 MSK злоумышленники работали на компьютере инженера C. С украденными учётными данными инженера A они развернули контейнер и запустили вредоносный скрипт против системы подписания транзакций.
- С 23:05 MSK 29 октября из горячих кошельков начали выводить активы сразу в нескольких сетях: XRP, Solana, Optimism, Bitcoin и Ethereum (с использованием EIP-7702).
Масштаб ущерба и реакция биржи
Binance оценила ушерб примерно в $6,34 млрд. Около $2,85 млрд удалось заморозить или перехватить. Утечки приватных ключей кошельков биржа не обнаружила. Выводы средств сначала приостановили, затем возобновляли поэтапно. К 31 октября компания за счёт собственных средств восполнила 98% активов, при этом резервы превышают 100%.
ФБР и КНДР: взаимные заявления
ФБР 31 октября заявило, что за кражей более $6 млрд в виртуальных активах с Binance стоит КНДР. Ведомство отнесло эту активность к группировке TraderTraitor. Вместе с Секретной службой США и Криминальной полицией налогового управления (IRS-CI) оно призвало операторов THORNode, RPC, мгновенные обменники, DeFi-сервисы и блокчейн-аналитиков блокировать транзакции с перечисленными адресами ETH, BTC и SOL.
Ответ из Пхеньяна последовал 3 ноября. Заведующая отделом ЦК Трудовой партии Кореи Ким Ё Чжон (Kim Yo Jong) через Корейское центральное информационное агентство отвергла обвинения. Она назвала их «безосновательным вздором» и политической провокацией США.
Замечание основателя Binance о профилях в LinkedIn
Незадолго до публикации отчёта, 30 октября в 19:55 MSK, основатель биржи Чанпен Чжао (Changpeng Zhao) в соцсети X напомнил о политике Binance: текущим сотрудникам, кроме публичных лиц, запрещено указывать компанию в профилях. По его словам, большинство профилей LinkedIn с упоминанием Binance принадлежат скамерам. Этот пункт связан с тем, как развивалась атака: инженера B нашли именно по профилю с упоминанием опыта в Binance.
Отчёт Binance показывает, что взлом строился на социальной инженерии и последовательном захвате устройств инженеров, отвечавших за инфраструктуру кошельков. Система подписания транзакций стала целью лишь на финальном этапе.
Версия ФБР о причастности КНДР и категорическое опровержение Пхеньяна остаются двумя несовпадающими позициями. Подробности расследования могут появиться в следующих публикациях биржи и американских ведомств.
Мнение ИИ
Анализ исторических паттернов показывает: крупнейшие кражи в криптоиндустрии бьют не по математике, а по людям. Chainalysis сопоставила этот инцидент с атакой на Bybit в 2025 году и пришла к выводу, что потери почти в четыре раза больше, а прежний рекорд продержался меньше двух лет. Утечки ключей Binance не нашла, а брешью стало тестовое задание на рабочем ноутбуке: самый дорогой замок в мире открыли через дверь для курьера.
Скорость стала второй частью истории. Elliptic сообщила, что похищенное прошло через около 12 000 кошельков и более 40 000 транзакций менее чем за четыре дня, а значит, отмывка опережает любое расследование.
