Хакеры украли у Binance $6,3 млрд с помощью фейкового собеседования и взлома компьютеров сотрудников

Криптовалютная биржа Binance опубликовала предварительный отчёт о масштабной кибератаке, произошедшей 29 октября. Компания рассказала, что злоумышленники готовились к ней несколько месяцев, постепенно получая доступ к компьютерам сотрудников и внутренним системам. В результате атаки оказались затронуты цифровые активы на сумму около 6,34 млрд долларов. Binance также сослалась на информацию ФБР, согласно которой за атакой стоит КНДР.

Подготовка началась ещё в июне 2026 года — тогда один из инженеров команды, отвечавшей за инфраструктуру криптокошельков, скачал из интернета поддельную версию популярного инструмента для программирования с использованием ИИ. Служба безопасности Binance заметила подозрительную активность, заменила компьютер сотрудника и обновила связанные с ним пароли и ключи доступа, но мошенники уже могли получить сведения о должности инженера и его коллегах.

Уже в сентябре мошенники связались с другим инженером Binance через платформу для поиска работы, представившись сотрудниками несуществующей компании. Сначала с ним провели видеособеседование от имени специалиста по подбору персонала. Чтобы завоевать доверие, собеседник показал ему свой профиль в соцсетях с личными фотографиями и видео. Затем инженера пригласили на второе собеседование в популярном приложении для общения — на этот раз с человеком, который назвался генеральным директором компании. В конце второго собеседования сотруднику предложили скачать на рабочий компьютер тестовое задание. Оно содержало вредоносный программный код, который запускался при установке. По данным Binance, программа подменила часть легального инструмента для разработки и позволила злоумышленникам выполнять команды на компьютере и связываться со своим внешним сервером. Средства защиты устройства не обнаружили вредоносную программу, а атакующие пытались скрыть следы своего присутствия.

За девять дней до кражи, 21 октября, хакеры использовали уже заражённый компьютер и внутренний инструмент ИИ Binance, чтобы получить доступ к устройствам ещё двух сотрудников, работавших с криптокошельками. На одном из компьютеров они обнаружили токен, позволявший развёртывать контейнеры — изолированные программные среды, в которых запускаются приложения. В день атаки мошенники воспользовались похищенными учётными данными, вошли на компьютер одного из инженеров, развернули контейнер и запустили вредоносный скрипт. Так они добрались до внутреннего сервиса подписания транзакций криптокошельков и смогли переводить средства в обход обычной процедуры вывода. За несколько минут горячие кошельки Binance отправили криптовалюту на адреса, подконтрольные злоумышленникам. Злоумышленники также использовали специальный механизм в сети Ethereum, который позволял им продолжать переводы даже после того, как биржа приостановила вывод средств. Чтобы остановить операции, Binance пришлось отдельно отозвать выданные злоумышленниками разрешения.

После кражи компания пообещала самостоятельно покрыть финансовые потери. Для этого биржа зарезервировала более 100% необходимой суммы. Binance перестроила затронутую систему кошельков, заменила скомпрометированные устройства, отозвала связанные с ними учётные данные и усилила защиту внутренних сервисов.


Размещено через приложение ЯПлакалъ