Хакери атакували Binance через фальшиву співбесіду та використали внутрішній ШІ-інструмент біржі
Binance розкрила подробиці кібератаки, під час якої зловмисники отримали доступ до комп’ютера інженера через підроблену співбесіду, а згодом використали внутрішній інструмент біржі на основі штучного інтелекту.
За даними компанії, внаслідок атаки постраждали цифрові активи на суму близько $6,34 млрд. Біржа пов’язує операцію з Північною Кореєю, пише Bloomberg.
Як хакери отримали доступ до комп’ютера працівника
Кампанія тривала кілька місяців. У червні розробник завантажив підроблений інсталятор, який, імовірно, поширювали через шкідливу рекламу в Google. Binance виявила зараження та замінила пристрій працівника.
У вересні зловмисники знову вийшли на інженера — цього разу через платформу пошуку роботи. Людина, яка представилася директором проєкту, запросила його на співбесіду. Пізніше в чаті з працівником спілкувався нібито керівник іншої, вигаданої компанії.
Підписуйтеся на наші соцмережі
Він запропонував розробнику виконати технічне завдання та надіслав репозиторій із кодом. Усередині ховався шкідливий програмний компонент, якого не виявили засоби захисту кінцевих пристроїв. За даними Binance, вірус підмінив файл pyenv на шкідливу версію та забезпечив нападникам прихований доступ до системи.
Як зловмисники використали внутрішній ШІ-інструмент
Після проникнення в систему хакери скористалися внутрішнім інструментом Binance на основі штучного інтелекту. За інформацією біржі, 20 жовтня через нього зловмисник отримав токен для розгортання контейнера, який згодом використав під час атаки.
29 жовтня нападник розгорнув контейнер для виконання операції. Між 20:05 та 20:09 UTC п’ять гарячих гаманців Binance переказали на його адресу 233,46 млн XRP. Після цього зловмисник використав механізм авторизації EIP-7702 в Ethereum, щоб надати шкідливому контракту права на часткове виконання операцій.
Чому Binance не вдалося одразу зупинити перекази
Біржа швидко призупинила виведення коштів, але це не скасувало авторизації, які вже діяли в мережі. Гаманці працювали на основі багатосторонніх обчислень (MPC), тому не мали єдиного закритого ключа, за допомогою якого можна було б одразу відкликати шкідливі дозволи.
Через це транзакції тривали майже дві години після перших несанкціонованих переказів.
До атаки, за версією Binance, причетна група TraderTraitor, яку ФБР пов’язує з Північною Кореєю. Аналітики TRM Labs також нагадують, що ФБР покладало на цю групу відповідальність за злам криптобіржі Bybit у лютому 2025 року, під час якого викрали активи на $1,5 млрд.
Binance заявляє про відновлення активів
За даними біржі, станом на 31 жовтня поповнили 98% постраждалих токенів. Ще близько $2,85 млрд заморозили або перехопили. Остаточна оцінка залежить від узгодження даних і ринкової вартості активів.
Binance заявляє, що користувачі не зазнають збитків. Керівник компанії Річард Тен також повідомив про відновлення виведення коштів.
У біржі додали, що протягом 2026 року заблокували 57 підозрюваних загроз, пов’язаних із Північною Кореєю.