Коротко
- Организация SEAL сообщила о компрометации устройства сотрудника Binance за 8 недель до взлома на 6,3 млрд долларов.
- Атака началась через фишинговую схему трудоустройства, позволившую хакерам незаметно проникнуть во внутреннюю сеть.
- Подобные многоэтапные взломы ранее фиксировались и на других крупных платформах, включая Bitget и Kelp DAO.
- Инцидент подчеркивает серьезные риски кибербезопасности для инфраструктуры централизованных криптобирж.
Обновлено (6 ноября в 17:03 UTC): Эта статья была исправлена для уточнения хронологии взлома Binance. В материал также добавлен комментарий официального представителя биржи.
Некоммерческая организация по кибербезопасности Security Alliance (SEAL) оценивает, что хакеры из Северной Кореи взломали устройство сотрудника Binance примерно за восемь недель до масштабного инцидента на бирже 29 октября, в результате которого было похищено 6,3 миллиарда долларов. При этом в Binance сообщили, что более широкая атака началась в июне, а злоумышленники получили доступ к дополнительным устройствам инфраструктуры кошельков только 20 октября.
Хакерская группировка скомпрометировала устройство инженера-программиста Binance в сентябре с помощью мошеннической схемы с фальшивым трудоустройством, говорится в четверга отчете SEAL. Организация добавила, что после первоначального проникновения злоумышленники способны долгое время оставаться незамеченными в зараженных системах. Оценка SEAL в восемь недель относится к периоду проникновения с сентября по октябрь, а не к началу более масштабной кампании, описанной Binance.
Cointelegraph обратился в Binance за разъяснениями по поводу хронологии событий. Представитель компании заявил, что первоначальные взломы устройств произошли в июне и сентябре, однако необходимый для доступа к работе с кошельками уровень привилегий злоумышленники получили только 20 октября.
Как отмечается в нашем заявлении, первоначальные взломы устройств имели место в июне и сентябре, но нужный для доступа к операциям с кошельками уровень злоумышленники получили лишь 20 октября, когда использовали этот плацдарм для продвижения в сети и получения доступа к дополнительным устройствам и учетным данным, сообщил представитель компании.
В 2026 году организация SEAL выявила по меньшей мере четыре подставные компании, связанные с мошенническими кампаниями по найму от группировки TraderTraitor, включая citalab.net, citalab.com, bitfit.io и oddium.io.
В Binance отследили начало атакующей кампании до июня, когда было скомпрометировано устройство другого сотрудника, скачавшего модифицированную версию Homebrew при попытке установить инструмент для программирования на базе ИИ. Биржа обнаружила инцидент, заменила устройство и скомпрометировала учетные данные. Тем не менее, согласно публикации в X во вторник, злоумышленники уже успели получить информацию о сотрудниках, работающих над инфраструктурой кошельков Binance.
По данным Binance, 20 октября злоумышленники использовали взломанный компьютер инженера, ставшего мишенью в сентябре, а также внутренний ИИ-инструмент для получения контроля над устройствами двух инженеров инфраструктуры кошельков. Впоследствии они обнаружили токен прав развертывания, который и был использован во время атаки 29 октября.
Анализ специалистов по кибербезопасности указал на схожие многоэтапные шаблоны проникновения и в других громких взломах криптовалютных проектов. По их оценкам, у хакеров было около шести недель доступа перед взломом Bitget на 388 миллионов долларов, шесть недель доступа к LayerZero до уязвимости, приведшей к инциденту с Kelp DAO на 293 миллиона долларов, и около трех недель перед организацией взлома AFX на 24 миллиона долларов.
Федеральное бюро расследований США в субботнем отчете возложило ответственность за атаку на северокорейскую группировку TraderTraitor. Ким Ё Чжон, сестра лидера КНДР Ким Чен Ира, отвергла эти обвинения.
