Главное в материале

  • Атака на Binance длилась с июня по октябрь: фейковый рекрутинг, вредоносные файлы и использование внутреннего ИИ-инструмента
  • Ущерб оценивается примерно в $6,3 млрд; около $3 млрд активов удалось заморозить
  • FBI связало кражу с северокорейской активностью TraderTraitor; Пхьян отверг обвинения

Как развивалась атака

Криптобиржа Binance опубликовала 3 ноября отчет о крупнейшей краже криптовалюты в истории: суммарный ущерб компания оценила примерно в $6,3 млрд. По данным отчета, атака началась в июне, когда инженер попытался установить ИИ-инструмент для написания кода. Служба безопасности заметила подозрительную активность и заменила сотруднику устройство и учетные данные, но к тому моменту злоумышленники уже собрали информацию о его обязанностях и коллегах.

Фейковое собеседование и доступ к системам

В сентябре, согласно отчету Binance, люди, представившиеся рекрутерами несуществующей компании, пригласили другого инженера биржи на фейковое собеседование. Тестовое задание по программированию побудило сотрудника скачать на рабочий компьютер файлы с вредоносным кодом, что дало атакующим доступ к системам компании. 20 октября они с помощью внутреннего ИИ-инструмента получили доступ к компьютерам еще двух инженеров, а 29 октября, используя украденные учетные данные, проникли во внутренний сервис подписи кошельков, одобряющий транзакции. Менее чем за четыре минуты с пяти кошельков Binance было выведено 233,46 млн XRP; затем последовали переводы около 970 500 SOL, 44,2 млн OP и 18 270 биткоинов. Биржа приостановила вывод средств после обнаружения необычных переводов, однако уже полученные атакующими разрешения не позволили сразу остановить все несанкционированные транзакции. 30 октября Binance сообщила, что благодаря сотрудничеству с партнерами по индустрии удалось заморозить около $3 млрд активов в блокчейне.

Эксперты: месяцы разведки и человеческий фактор

Ари Редборд, глава глобальной политики аналитической компании TRM Labs, связал атаку с Северной Кореей и отметил, что киберкражи помогают финансировать находящееся под санкциями правительство и его оружейные программы. По его словам, установить имена инженеров, определить, кто обладает правом подписи, и понять, как взаимодействуют команды, требовало месяцев исследований; должности, профессиональные профили и участие в конференциях помогают атакующим составить карту целей. Фейковые рекрутеры, поддельные собеседования и вредоносные тестовые задания он назвал повторяющимися методами, связанными с северокорейскими операциями. Эрсин Динчелли, доцент Университета Колорадо в Денвере, подчеркнул, что даже опытные инженеры уязвимы к социальной инженерии, эксплуатирующей любопытство, страх и ощущение срочности, а инструменты разведки из открытых источников и ИИ-автоматизация позволяют дешево собирать детальные профили жертв. Редборд рекомендовал запускать внешний код в одноразовых виртуальных средах на отдельном оборудовании, а биржам — вводить лимиты на горячие кошельки, ограничения на вывод и задержки для крупных переводов.

Обвинения и ответ Пхьяна

31 октября FBI обвинило Северную Корею в краже цифровых активов на $6,3 млрд у Binance, связав операцию с активностью под названием TraderTraitor, и призвало криптокомпании блокировать транзакции со связанными адресами. Пхьян отверг обвинения: Ким Ё Чжон, сестра лидера Ким Чен Ына, заявила, что Вашингтон пытается представить КНДР государством-киерпреступником, и предположила, что США могут быть заинтересованы в возврате украденной криптовалюты для своих стратегических резервов. Динчелли отметил, что грань между поддерживаемыми государством кибероперациями и преступлениями ради наживы размывается: если такие атаки традиционно были нацелены на шпионаж и геополитические цели, Северная Корея показывает, как их можно использовать для кражи криптовалюты и пополнения бюджета правительства.

Масштаб на фоне прежних рекордов

Украденная сумма примерно в 4,2 раза превышает около $1,5 млрд, похищенные у биржи Bybit в феврале 2025 года, — до этого случая это была крупнейшая кража криптовалюты в истории. Для сравнения: новая атака примечательна не только суммой, но и длительной подготовкой — от первого вторжения в июне до вывода средств в конце октября каждый этап опирался на ранее полученный доступ, что, по оценке Редборда, отражает терпеливую разведывательную операцию.