Злам Binance: як хакери з КНДР викрали криптовалюту на $6,34 млрд
Наприкінці жовтня 2026 року найбільша криптовалютна біржа Binance зазнала масштабної кібератаки. Зловмисники вивели з її гаманців цифрові активи на приблизно $6,34 млрд. Федеральне бюро розслідувань США (ФБР) пов’язало операцію з північнокорейським хакерським угрупованням TraderTraitor. За даними самої біржі, підготовка до атаки тривала кілька місяців і включала фальшиві співбесіди, шкідливе програмне забезпечення та використання внутрішнього інструмента штучного інтелекту.
Binance заявила, що компенсує втрати власним коштом. Водночас інцидент знову привернув увагу до діяльності хакерських груп, пов’язаних із КНДР, які використовують криптовалютні крадіжки як джерело фінансування.
Що сталося під час зламу Binance
Атака відбулася 29 жовтня 2026 року. За даними Binance, зловмисники отримали несанкціонований доступ до внутрішнього сервісу підписання транзакцій, який використовується для управління криптовалютними гаманцями.
У результаті вони змогли переказувати активи з гарячих гаманців біржі — тих, які підключені до інтернету та використовуються для операцій із криптовалютою.
За оцінкою Binance, загальна сума активів, яких торкнувся інцидент, становила приблизно $6,34 млрд. Кошти виводили через кілька блокчейн-мереж.
Зокрема, лише за чотири хвилини п'ять гарячих гаманців Binance переказали на контрольовану зловмисниками адресу 233,46 млн XRP. Також були викрадені приблизно 970 500 SOL, 44,2 млн OP, 18 270 BTC та інші цифрові активи.
За даними біржі, останній несанкціонований переказ завершився майже через чотири години після початку атаки.
Binance призупинила частину операцій із виведення коштів, почала блокувати активи та відкликати несанкціоновані дозволи. Однак зупинити всі транзакції одразу не вдалося: частина зловмисних дозволів уже діяла безпосередньо в блокчейні та не залежала від стандартної системи виведення коштів біржі.
Як хакери місяцями готували атаку
За результатами внутрішнього розслідування Binance, це була не одноразова фішингова атака, а багатоступенева операція, яка почалася ще в червні 2026 року.
Червень: заражене програмне забезпечення
Один зі співробітників команди розробки криптовалютних гаманців завантажив підроблену версію Homebrew — популярного інструмента для встановлення програмного забезпечення на macOS.
Підписуйтеся на наші соцмережі
За даними Binance, заражений файл поширювався через рекламне оголошення в пошуковій системі та використовувався для встановлення інструмента програмування зі штучним інтелектом.
Служба безпеки біржі виявила підозрілу активність, замінила комп'ютер співробітника та оновила пов'язані облікові дані. Проте до цього зловмисники вже могли отримати інформацію про його посаду та інших працівників, які мали доступ до інфраструктури криптогаманців.
Вересень: фальшиві співбесіди
Наступною ціллю став інший інженер Binance, який шукав нову роботу через легітимну платформу для працевлаштування.
До нього звернулася людина, яка представилася керівником проєкту. Спочатку співробітник пройшов відеоспівбесіду з нібито представником HR, а згодом поспілкувався з людиною, яка назвалася генеральним директором вигаданої компанії.
Щоб викликати довіру, шахраї використовували справжні фотографії та відео в соціальних мережах. Наприкінці другої співбесіди інженеру запропонували завантажити тестове завдання — репозиторій із прихованим шкідливим кодом.
Після його запуску зловмисники отримали можливість виконувати команди на комп'ютері працівника та встановлювати зв'язок зі своїм зовнішнім сервером.
20 жовтня: використання внутрішнього ШІ-інструмента
Отримавши доступ до комп'ютера інженера, хакери використали внутрішній інструмент Binance зі штучним інтелектом, щоб розширити доступ до систем інших працівників.
Зокрема, вони змогли отримати контроль над комп'ютерами ще двох інженерів, один із яких мав токен із правами на розгортання контейнерів — програмних середовищ, у яких запускаються застосунки та сервіси.
29 жовтня: виведення криптовалюти
Використовуючи отримані облікові дані та доступ до комп'ютера третього інженера, зловмисники розгорнули контейнер і запустили шкідливий скрипт. Це дозволило втрутитися в процес підписання транзакцій і переказати активи з гарячих гаманців Binance.
Про послідовність цих подій та використання фальшивих співбесід детально повідомляє Reuters.
Таким чином, хакери використали одразу кілька вразливостей — від людського фактора та зараженого програмного забезпечення до внутрішніх систем управління криптовалютними активами.
Хто такі хакери TraderTraitor
ФБР офіційно поклало відповідальність за викрадення криптовалюти з Binance на Північну Корею та угруповання TraderTraitor.
Ця група пов'язана з масштабними кібератаками на криптовалютну індустрію. Її також відстежують під іншими назвами, зокрема Jade Sleet та UNC4899. TraderTraitor пов'язують із ширшою мережею північнокорейських кіберзлочинців, яку дослідники часто асоціюють із Lazarus Group.
За даними американських правоохоронців, після викрадення кошти почали конвертувати переважно в Ethereum. ФБР попередило криптовалютні біржі та інші компанії про необхідність блокувати транзакції, пов'язані з адресами, які використовують зловмисники.
Аналітичні компанії Chainalysis і TRM Labs також пов'язали атаку з TraderTraitor. КНДР заперечила причетність до зламу. Кім Йо Чжон, сестра лідера країни Кім Чен Ина, назвала заяву США провокацією та звинуватила Вашингтон у безпідставних звинуваченнях. Про реакцію Пхеньяна повідомляє ABC News.
Скільки грошей вдалося повернути
Після виявлення атаки Binance почала співпрацювати з правоохоронцями, аналітичними компаніями та іншими учасниками криптовалютного ринку, щоб відстежити й заблокувати викрадені активи.
За звітом біржі від 3 листопада, приблизно $2,85 млрд вдалося заморозити або перехопити. До цього процесу долучилися емітенти стейблкоїнів та інші криптовалютні компанії, які можуть блокувати певні активи у своїх мережах.
Binance також заявила, що бере фінансові втрати на себе, а не перекладає їх на клієнтів. Станом на 31 жовтня біржа відновила 98% активів, яких торкнувся інцидент, і продовжувала закуповувати менш ліквідні токени, яких бракувало.
Компанія повідомила, що вже зарезервувала понад 100% коштів, необхідних для покриття втрат. Деталі відновлення активів біржа опублікувала у своєму офіційному звіті.
Чому злам Binance важливий для криптовалютного ринку
Цей інцидент показав, що навіть найбільші криптовалютні платформи залишаються вразливими до складних атак, у яких технічні методи поєднуються із соціальною інженерією.
Особливо показовим є те, що зловмисники не намагалися одразу зламати систему захисту біржі. Натомість вони місяцями збирали інформацію про працівників, шукали способи отримати доступ до їхніх комп'ютерів і поступово просувалися до критичної інфраструктури.
Binance повідомила, що протягом 2026 року виявила та зупинила 57 підозрілих кіберзагроз, пов'язаних із Північною Кореєю. Після останнього інциденту компанія заявила про посилення контролю над пристроями співробітників, системами управління гаманцями та інструментами штучного інтелекту.
Для криптовалютної індустрії це ще одне нагадування: безпека залежить не лише від надійності блокчейну чи криптографії. Людський фактор, програмне забезпечення, внутрішні дозволи та доступи співробітників можуть стати ланками одного ланцюга, компрометація якого коштуватиме мільярди доларів.