Криптобіржа Binance опублікувала попередній звіт про масштабну кібератаку, яка сталася 29 жовтня 2026 року. За даними компанії, зловмисники отримали несанкціонований доступ до внутрішнього сервісу підписання транзакцій і вивели цифрові активи на суму близько $6,34 млрд. Binance заявляє, що покриє збитки власним коштом: станом на 31 жовтня вже відновили 98% постраждалих активів.
Криптобіржа Binance опублікувала попередній звіт про масштабну кібератаку, яка сталася 29 жовтня 2026 року. За даними компанії, зловмисники отримали несанкціонований доступ до внутрішнього сервісу підписання транзакцій і вивели цифрові активи на суму близько $6,34 млрд. Binance заявляє, що покриє збитки власним коштом: станом на 31 жовтня вже відновили 98% постраждалих активів.
У компанії зазначають, що атака була багатоступеневою. Зловмисники поєднали соціальну інженерію, шкідливе програмне забезпечення, компрометацію внутрішнього AI-інструмента та методи обходу стандартного процесу виведення коштів.
За даними Binance, Федеральне бюро розслідувань США покладає відповідальність за інцидент на Північну Корею.
Зловмисники скористалися несанкціонованим доступом до внутрішнього сервісу підписання гаманців. Це дозволило їм ініціювати транзакції поза звичайним процесом виведення коштів.
Між 20:05 і 20:09 UTC п’ять гарячих гаманців Binance переказали на адресу під контролем атакувальників 233,46 млн XRP. Згодом гаманці біржі в мережах Solana та Optimism відправили приблизно 970 500 SOL і 44,2 млн OP. Також з одного з гарячих гаманців переказали 18 270 BTC.
Окремим етапом стала експлуатація механізму авторизації EIP-7702 в Ethereum. Він дозволяє обліковому запису делегувати смартконтракту певні права на виконання операцій без розкриття приватного ключа. У цьому випадку атакувальники надали контрольованому ними смартконтракту часткові права на виконання операцій із гарячим гаманцем Binance.
Після виявлення великих переказів біржа призупинила виведення коштів, почала взаємодіяти з партнерами для заморожування активів і відкликання несанкціонованих дозволів. Загалом вдалося заморозити або перехопити активи приблизно на $2,85 млрд.
У Binance пояснюють, що зупинки виведення коштів було недостатньо: шкідливі дозволи EIP-7702 уже існували в блокчейні й могли працювати незалежно від звичайної інфраструктури біржі. Через використання технології багатосторонніх обчислень (MPC) не існувало одного приватного ключа, яким можна було б миттєво скасувати ці дозволи. Команда розробила спеціальну процедуру їх відкликання.
Останній несанкціонований переказ на 2961,9 ETH завершився в блокчейні о 23:56 UTC. О 00:10 UTC 30 жовтня Binance виконала нову авторизацію, яка очистила делегований код EIP-7702.
У звіті Binance описує кілька етапів підготовки атаки. За даними компанії, ще в червні 2026 року один з інженерів Wallet DevOps завантажив модифіковану версію Homebrew, намагаючись встановити популярний AI-інструмент для програмування після пошуку в пошуковій системі. Команда безпеки виявила аномалію, замінила пристрій і змінила пов’язані облікові дані. Однак, як зазначає Binance, роль інженера та його зв’язки з колегами, які працювали над інфраструктурою гаманців, уже могли бути відомі зловмисникам.
У вересні інший співробітник Binance отримав пропозицію пройти співбесіду через легітимну платформу пошуку роботи. Співрозмовник представився керівником проєкту вигаданої компанії. Спочатку відбулася відеоспівбесіда з людиною, яка назвалася HR-представником і для встановлення довіри показала власний профіль у соцмережі з особистими фото та відео.
Другий етап співбесіди провели в популярному месенджері. Наприкінці кандидату запропонували завантажити тестове завдання — репозиторій із шкідливим кодом. Під час налаштування проєкту він запускав несанкціоновані дії на робочому комп’ютері.
Шкідливе програмне забезпечення підміняло компонент легітимного інструмента для розробки, виконувало команди та встановлювало зв’язок із зовнішнім сервером під контролем атакувальників. У Binance зазначають, що на момент атаки наявні засоби захисту кінцевих пристроїв не виявили це zero-day шкідливе ПЗ.
20 жовтня зловмисники використали вже скомпрометований комп’ютер інженера та внутрішній AI-інструмент компанії, щоб отримати контроль над обліковими записами ще двох працівників Wallet DevOps і Wallet Software. Зокрема, вони виявили токен із правами на розгортання контейнерів на комп’ютері одного з інженерів.
29 жовтня атакувальники увійшли до комп’ютера третього співробітника, скористалися викраденими обліковими даними, розгорнули контейнер і запустили шкідливий скрипт, який дав змогу перейти до атаки на операції підписання транзакцій.
Станом на 3 листопада компанія заявляє, що перебудувала у новому середовищі уражену систему гаманців і внутрішній AI-інструмент, замінила скомпрометовані пристрої, відкликала пов’язані з інцидентом облікові дані й токени та провела додаткові перевірки пристроїв співробітників.
Також Binance посилила контроль ризиків у сервісах гаманців і розширила використання AI для виявлення аномальної поведінки. Компанія співпрацює з правоохоронцями, блокчейн-аналітичними фірмами та партнерами галузі, щоб відстежувати й заморожувати викрадені активи.
Біржа заявила, що вже зарезервувала понад 100% коштів, необхідних для покриття втрат користувачів. Станом на 31 жовтня 98% постраждалих токенів відновили, їх можна перевірити через сторінку Proof of Reserves. Решту активів, які є менш ліквідними, компанія планує докупити.
Binance також залучає незалежних фахівців із кібербезпеки для комплексного аудиту інциденту. Серед наступних кроків — збільшення інвестицій у безпеку AI-систем, захист середовищ розробки та моніторинг поведінкових аномалій, а також створення фонду досліджень безпеки й галузевих ініціатив.
Раніше dev.ua писав, що ФБР офіційно звинуватило Північну Корею в атаці на Binance, під час якої вони викрали понад $6 млрд. За даними бюро, за зламом стоїть хакерське угруповання TraderTraitor. Викрадені активи зловмисники переважно переводили в Ethereum, щоб надалі відмивати їх через криптовалютні сервіси.
Binance компенсувала 95% збитків після інциденту безпеки та відновила підтвердження резервів.
Також у Binance повідомили, що 4 листопада планують зробити новий знімок резервів, який охопить ширший перелік токенів. Обробка та формування оновленого zero-knowledge proof для нього триватиме орієнтовно від 40 до 50 годин через високі обчислювальні навантаження.
