В Binance рассказали, как хакеры взломали криптобиржу
Хакеры похитили криптовалюту на $6,3 млрд
Стали известны детали взлома криптобиржи Binance 29 октября, в результате которого хакеры похитили криптовалюту на $6,3 млрд. Компания выпустила предварительный отчет об инциденте.
Как хакеры подготовили атаку
По данным Binance, подготовка атаки началась еще в июне 2026 года. Тогда один из инженеров команды Wallet DevOps скачал поддельную версию установщика популярного инструмента для разработки. Служба безопасности обнаружила подозрительную активность, заменила устройство сотрудника и обновила связанные учетные данные. Однако злоумышленники уже получили информацию о его должности и коллегах, работавших с инфраструктурой криптокошельков.
Позже, в сентябре, злоумышленники связались с одним из инженеров Binance через платформу поиска работы и пригласили его на собеседование. Сотрудник прошел два этапа интервью, в том числе с человеком, представившимся генеральным директором вымышленной компании. В конце второго собеседования сотруднику предложили скачать тестовое задание, которое оказалось вредоносной программой. Она заразила его рабочий компьютер и позволила хакерам получить доступ к внутренним системам криптобиржи.
В дальнейшем злоумышленники использовали скомпрометированный компьютер и внутренний ИИ-инструмент Binance, чтобы получить контроль над учетными данными еще двух сотрудников, имевших доступ к инфраструктуре криптокошельков. Это позволило атакующим добраться до внутреннего сервиса, который используется для подтверждения операций с цифровыми активами.
Как выводили крипту с кошельков Binance
29 октября хакеры воспользовались полученным доступом и инициировали переводы криптовалюты с горячих кошельков Binance (кошельки, подключенные к интернету и используемые для проведения операций). Средства переводились на адреса, контролируемые злоумышленниками.
В частности, пять горячих кошельков Binance перевели на подконтрольные хакерам адреса 233,5 млн XRP. Кроме того, из кошельков в сетях Solana и Optimism было выведено около 970,5 тыс. SOL и 44,2 млн OP соответственно. Один из горячих кошельков также отправил злоумышленникам 18,3 тыс. BTC. Позднее атакующие вывели Ethereum, последний несанкционированный перевод составил 2,9 тыс. ETH.
Почему Binance не удалось сразу остановить хакеров
После обнаружения подозрительных переводов Binance приостановила вывод средств и начала работу с партнерами, чтобы заморозить похищенную криптовалюту. Однако хакеры смогли продолжить переводы, так как заранее получили возможность проводить операции с кошельком в обход стандартной системы биржи. Для этого злоумышленники отправили 50 специальных транзакций, которые позволили закрепить разрешения на проведение операций через подконтрольные им смарт-контракты.
Как пояснили в Binance, отключить этот доступ оказалось сложнее, чем просто остановить вывод средств. Компании пришлось отдельно аннулировать разрешения, выданные злоумышленниками. Окончательно заблокировать доступ удалось 30 октября.
Кроме того, использованное ПО не обнаруживалось установленными средствами защиты компьютеров сотрудников. Хакеры пытались скрыть следы своего присутствия и удалить свидетельства компрометации.
По данным Binance, около $2,8 млрд удалось заморозить или перехватить. По состоянию на 31 октября было восстановлено 98% затронутых токенов. Их обеспеченность можно проверить на странице Binance Proof of Reserves. Оставшиеся активы, которые отличаются низкой ликвидностью, компания планировала докупить. Binance также заявила, что самостоятельно покроет финансовые потери от атаки. Для этого уже зарезервировано более 100% необходимой суммы.
Как Binance планирует предотвратить новые атаки
Представители Binance также сообщили, что к 3 ноября компания восстановила затронутую систему кошельков и внутренний ИИ-инструмент, заменила скомпрометированные устройства, отозвала связанные с атакой учетные данные и токены доступа, а также дополнительно проверила устройства сотрудников. Кроме того, биржа усилила системы обнаружения подозрительной активности и контроля операций с кошельками. Совместно с правоохранительными органами и партнерами компания продолжает отслеживать и замораживать похищенные активы.
В дальнейшем Binance планирует привлечь независимых экспертов для проверки инцидента и оценки принятых мер, увеличить инвестиции в системы кибербезопасности, включая инструменты на основе искусственного интеллекта, а также создать фонд исследований в области безопасности. Он будет заниматься, в частности, вопросами защиты ИИ-инструментов в блокчейн-среде.
Напомним, что в результате атаки пострадали активы примерно на $6,3 млрд. На сегодняшний день это крупнейшая кража цифровых активов в истории криптовалютного рынка. По данным аналитической компании TRM Labs, хакеры вывели средства в десяти блокчейн-сетях. Основную часть похитили примерно за 20 минут.
31 октября Федеральное бюро расследований США заявило, что за атакой стоит северокорейская хакерская группа TraderTraitor. К слову, в течение 2026 года служба безопасности Binance обнаружила и предотвратила 57 предполагаемых кибератак, связанных с Северной Кореей.
