Злом Binance на 6,3 млрд $: ланцюжок від фейкових співбесід до гаманців

Перше зараження через модифікований пакет у червні

Перший випадок зафіксували в червні. Інженер, шукаючи AI-інструмент, завантажив модифікований програмний пакет. Компанія знайшла слід зараження, замінила пристрій і оновила облікові записи.

Втім, зловмисники встигли зібрати дані про цього працівника і про групу, що відповідає за гаманці.

Фейкова вакансія і шкідливе тестове завдання

У вересні іншому інженеру написали через відомий рекрутинговий портал. Далі відбулися відеоспівбесіди з представником кадрової служби та з людиною, яка назвалася гендиректором компанії.

Наприкінці кандидат отримав тестове завдання з програмування. Файли з нього містили шкідливе ПЗ, яке обминуло антивірус на комп’ютері.

Від зараженого ПК до виведення коштів

До 20 жовтня зловмисники скористалися скомпрометованим пристроєм і внутрішнім AI-інструментом, щоб дістатися до інших інженерів. Потім вони викрали облікові дані для деплойменту і через них доставили шкідливе ПЗ в інфраструктуру гаманців.

29 жовтня почалися несанкціоновані виведення. За кілька годин зникло приблизно 6,3 млрд $.

Інші біржі вже стикалися з подібним

Схема з фейковим працевлаштуванням описувалася і раніше.

• Kraken у травні 2025 року знайшла підозрюваного агента з Північної Кореї, який домагався місця в її інженерному відділі.
• Coinbase у серпні 2026 року повідомила про іншу спробу проникнення. Нетипова активність допомогла знайти потенційно скомпрометованого підрядника.
• Microsoft навесні публічно попереджала, що північнокорейські хакери використовують псевдоспівбесіди для поширення шкідливого ПЗ серед розробників.

Відкриті питання і атрибуція атаки

Binance досі не пояснила, які саме механізми захисту не спрацювали. Компанія також не повідомила, чи враховувала попередження про атаки такого типу під час посилення кіберзахисту.

Серед ключових питань: чому працівник міг запускати неперевірені завдання на пристрої з доступом до корпоративної мережі, чому червневий інцидент далі впливав на безпеку і як доступ через облікові дані деплойменту дав контроль над авторизацією великих виведень.

ФБР віднесло атаку до угруповання TraderTraitor з Північної Кореї.

Що це означає для ринку

Атака почалася не з коду біржі, а з людей і робочих процесів: фейкової вакансії, тестового завдання і внутрішніх інструментів. Отже, захист гаманців залежить не лише від платформи, а й від контролю доступу співробітників і облікових даних.

Поки відповіді на три відкриті питання немає, оцінити ризики для клієнтів складно. Частина коштів заморожена, а постраждалі токени, за даними Binance, відновлено.

Часті питання