Binance розкрила перші результати розслідування масштабної кібератаки 29 жовтня, внаслідок якої було виведено активи приблизно на $6,34 млрд. За даними компанії, це була складна багаторівнева операція, підготовка якої почалася ще в червні 2026 року.
Першою точкою входу став комп’ютер DevOps-інженера, який завантажив модифікований інсталятор Homebrew під час встановлення популярного ШІ-інструмента для програмування. Система безпеки Binance виявила аномалію, пристрій замінили, а пов’язані облікові дані змінили. Однак зловмисники вже встигли отримати інформацію про роль співробітника та його колег, які працювали з інфраструктурою криптогаманців.
У вересні хакери атакували іншого інженера за допомогою фальшивого працевлаштування. З ним зв’язалися через справжню платформу пошуку роботи, провели кілька відеоспівбесід, а потім надіслали нібито тестове завдання. Усередині репозиторію містилося шкідливе ПЗ, яке змогло закріпитися на робочому комп’ютері та уникнути виявлення захисними системами.
20 жовтня зловмисники використали скомпрометований комп’ютер та внутрішній ШІ-інструмент Binance як проміжну ланку для отримання доступу до інших співробітників. У результаті вони знайшли токен із правами на розгортання контейнерів, а 29 жовтня змогли запустити шкідливий контейнер і дістатися внутрішнього сервісу підпису транзакцій.
За кілька хвилин із п’яти гарячих гаманців було відправлено 233,46 млн XRP. Пізніше з інших гаманців пішли приблизно 970 500 SOL, 44,2 млн OP та 18 270 BTC. В Ethereum атакувальники також скористалися механізмом EIP-7702, делегувавши частину повноважень шкідливому смартконтракту. Через це простого припинення виведення коштів було недостатньо — уже створені дозволи продовжували діяти безпосередньо в блокчейні.
За оцінкою Binance, загальна вартість активів, яких торкнувся інцидент, становить близько $6,34 млрд. Компанії та її партнерам вдалося заморозити або перехопити близько $2,85 млрд. Водночас Binance заявляє, що вже поповнила 98% відсутніх токенів власними резервами та бере фінансові втрати на себе, тому користувачі не повинні їх покривати.
FBI офіційно пов’язало атаку з північнокорейською групою TraderTraitor. Binance зазначає, що лише протягом 2026 року її служба безпеки виявила та заблокувала 57 потенційних атак, які могли бути пов’язані з Північною Кореєю. Розслідування нинішнього інциденту продовжується, а компанія залучає незалежних експертів для додаткового аудиту систем безпеки.
