Криптовалютна біржа Binance оприлюднила попередні результати розслідування масштабної кібератаки, яка відбулася 29 жовтня та призвела до незаконного виведення цифрових активів на суму близько $6,34 млрд. За даними компанії, підготовка до злому тривала кілька місяців: перші спроби проникнення зафіксували ще в червні, а для отримання доступу до внутрішньої інфраструктури хакери застосували соціальну інженерію та скористалися внутрішнім інструментом штучного інтелекту.
Про це Binance повідомила в соцмережі X.
Перший підозрілий епізод стався в червні 2026 року. Тоді інженер команди Wallet DevOps завантажив модифікований інсталятор Homebrew, намагаючись встановити популярний інструмент для вайбкодингу, знайдений через пошукову систему.
Служба безпеки біржі оперативно виявила незвичну активність. Компанія замінила пристрій інженера та з міркувань безпеки оновила всі пов'язані з ним облікові дані. Однак до цього зловмисники вже встигли зібрати інформацію про посаду співробітника та його колег, які займалися підтримкою інфраструктури криптогаманців. Надалі ці відомості допомогли організувати масштабнішу атаку.
Наступний етап відбувся у вересні. Цього разу хакери скомпрометували комп'ютер іншого інженера-програміста Binance, скориставшись його пошуком нової роботи. Інформація про поточне місце працевлаштування фахівця була доступна в його профілі на платформі для пошуку вакансій.
У Binance розповіли, що зловмисники ретельно підготували фальшиву співбесіду. Під час першої розмови людина, яка представилася HR-спеціалістом, провела з інженером відеодзвінок у реальному часі. Щоб переконати співрозмовника у своїй справжності, вона навіть надала посилання на власний профіль у соціальній мережі з особистими фотографіями та відео.
"Під час першої співбесіди фальшивий HR провів відеодзвінок з інженером у режимі реального часу. Щоб завоювати його довіру, співрозмовник поділився посиланням на свій акаунт у соціальній мережі, де були особисті фотографії та відео. Цей метод соціальної інженерії був значно складнішим і переконливішим за ті, з якими ми стикалися раніше", — зазначили в компанії.
Під час наступної розмови, цього разу з людиною, яка представилася генеральним директором, інженеру запропонували виконати тестове завдання. Для цього він завантажив на робочий комп'ютер репозиторій із програмним кодом. Однак під час його налаштування активувався шкідливий код, який виконав низку дій без дозволу користувача.
Отримавши доступ до пристрою, хакери використали його разом із внутрішнім ШІ-інструментом Binance для подальшого проникнення в комп'ютери інших співробітників. Серед них був і інженер, пристрій якого потрапив у поле зору зловмисників ще в червні після завантаження модифікованого інсталятора Homebrew.
На його комп'ютері хакери виявили токен, який надавав право розгортати контейнери. Саме цей доступ згодом став одним із ключових елементів атаки.
Через дев'ять днів, 29 жовтня, зловмисники скористалися викраденими обліковими даними, розгорнули контейнер і запустили шкідливий скрипт. Завдяки несанкціонованому доступу до внутрішнього сервісу підписання транзакцій вони змогли переказувати криптоактиви, оминаючи стандартну процедуру виведення коштів.
Упродовж кількох хвилин із п'яти гарячих гаманців Binance на контрольовану хакерами адресу надійшло 233,46 млн XRP. Після цього зловмисники заволоділи ще приблизно 970 500 SOL, 44 млн OP та 18 270 BTC.
Крім того, під час атаки вони застосували механізм авторизації EIP-7702 в Ethereum. Він дозволив надати підконтрольному хакерам смартконтракту часткові повноваження для виконання операцій із гаманцем біржі.
Після отримання внутрішнього сповіщення про великі перекази Binance розпочала термінове розслідування та призупинила операції з виведення коштів.
За попередніми оцінками компанії, загальна сума активів, яких торкнувся інцидент, становить близько $6,34 млрд. Із них приблизно $2,85 млрд вдалося заморозити або перехопити.
Після відновлення операцій із виведення криптоактивів Binance зіткнулася зі значним відтоком коштів. За кілька годин клієнти вивели з біржі криптовалюти на $4,65 млрд, тоді як обсяг нових депозитів становив $1,01 млрд. Тим часом компанія Circle заблокувала понад $1,1 млрд у стейблкоїнах USDC, пов’язаних із хакерською атакою.
