Фиктивные собеседования и доступ через ИИ: Binance раскрыла детали атаки на $6,34 млрд
Binance представила предварительную хронологию взлома, который готовился несколько месяцев. Злоумышленники использовали поддельные программы, тестовое задание при трудоустройстве и похищенные данные сотрудников.
По версии биржи, подготовка началась как минимум в июне 2026 года. Инженер скачал поддельный Homebrew для установки ИИ-инструмента программирования. Служба безопасности обнаружила аномалию, заменила устройство и обновила учётные данные. Однако атакующие успели выяснить должность сотрудника и собрать информацию о коллегах.
В сентябре другой разработчик стал участником фиктивного отбора на работу. После двух онлайн-собеседований ему предложили скачать тестовое задание на рабочий компьютер. Оно содержало вредоносный код. Злоумышленники также пытались скрыть следы проникновения.
20 октября хакеры использовали заражённый компьютер и внутренний ИИ-инструмент для получения данных двух сотрудников. Один обладал нужными правами доступа. Вечером 29 октября атакующие подключились к устройству и запустили вредоносный скрипт.
https://t.co/sU9dUqLQDH
— Binance (@binance) November 3, 2026
Binance сообщила об инциденте в ночь на 30 октября. По утверждению компании, за 2026 год её служба безопасности предотвратила 57 киберугроз, предположительно связанных с КНДР. Северная Корея отвергла обвинения в причастности к взлому.
Американские правоохранительные органы представили собственные сведения о движении похищенных средств. В заявлении от 31 октября ФБР возложило ответственность за кражу на Северную Корею и отнесло эту активность к категории TraderTraitor.
Совместно с Секретной службой США и подразделением уголовных расследований Налогового управления ФБР зафиксировало конвертацию похищенных активов преимущественно в Ether — криптовалюту сети Ethereum. Ведомство предполагает, что дальнейшее отмывание может происходить через децентрализованные финансовые сервисы и платформы мгновенного обмена.
Для противодействия выводу средств правоохранители опубликовали перечень криптовалютных адресов, связанных, по их данным, с атакующими. Операторов инфраструктуры, обменники, аналитические компании и другие сервисы призвали блокировать операции с этими адресами и транзакции, происходящие от них.
При этом отслеживание движения активов не означает их возврата: в сообщении ФБР нет подтверждения, что похищенные средства удалось вернуть Binance.
