Binance опубликовала предварительные выводы о событиях 29 октября. Под удар попали цифровые активы на сумму около 6,34 млрд долларов, а к 31 октября биржа вернула 98% затронутых токенов. Проверить это можно на странице подтверждения резервов. Компания зарезервировала больше 100% средств, нужных для покрытия убытков, и заявила, что пользователи не понесут финансовых потерь. Около 2,85 млрд долларов заморожено или перехвачено, итоговая сумма зависит от сверки данных и рыночных цен. Binance принесла извинения и признала, что такого развития событий не должно было быть.
Несанкционированный доступ злоумышленник получил через внутренний сервис подписания транзакций кошелька. Это позволило запускать переводы в обход обычного процесса вывода средств. С 20:05 до 20:09 UTC пять горячих кошельков отправили 233,46 млн XRP на подконтрольный адрес, кошельки Solana и Optimism вывели около 970 500 SOL и 44,2 млн OP, после чего прошёл перевод 18 270 BTC. Далее злоумышленник задействовал механизм авторизации EIP-7702 в Ethereum и выдал вредоносному контракту частичные права на операции с горячим кошельком. Для закрепления делегирования он отправил 50 транзакций с подписями и манипулировал счётчиком транзакций аккаунта (nonce).
От пакета Homebrew до фальшивого рекрутера
Атака шла в несколько этапов и не сводилась к одному взлому. В июне инженер скачал модифицированный установочный пакет Homebrew при настройке инструмента ИИ для программирования. Binance заметила это, заменила устройство и обновила учётные данные, однако команда по работе с кошельками осталась в зоне риска. В сентябре фальшивый рекрутер на платформе по поиску работы провёл видеоинтервью и прислал репозиторий с тестовым заданием. Внутри находилось вредоносное ПО нулевого дня, которое не выявили средства защиты конечных устройств. Двадцатого октября злоумышленник использовал внутренний инструмент ИИ как плацдарм и добрался до токена развёртывания контейнеров, а 29 октября с 17:15 до 19:56 развернул контейнер для проведения атаки. ФБР связало атаку с КНДР, а Binance сообщила о 57 заблокированных за год угрозах, предположительно связанных с Северной Кореей.
Значимость эпизода определяется не суммой, а сочетанием векторов. Инструменты ИИ для программирования и менеджеры пакетов давно стали частью сборочных конвейеров, поэтому подмена установочного пакета бьёт по инфраструктуре, а не по одному сотруднику. Процесс найма при этом остаётся вне зоны мониторинга: репозиторий с тестовым заданием проверяют реже, чем рабочие артефакты. Для рынка важна и другая деталь. Приостановка вывода средств и отключение горячих кошельков не аннулировали разрешения в блокчейне: в кошельке применялись многосторонние вычисления, единого приватного ключа для отзыва не существовало, а специальная процедура заняла время. Последний несанкционированный перевод на 2 961,9 ETH завершился в 23:56 UTC, и только в 00:10 UTC 30 октября код делегирования убрали из горячего кошелька биржи. Для регуляторов это довод в пользу требований к скорости отзыва прав, для клиентов - к прозрачности подтверждения резервов.
Что изменилось после инцидента
Компания восстановила систему кошельков и внутренний инструмент ИИ, заменила устройства, отозвала связанные учётные данные и токены, проверила все устройства сотрудников. По данным Binance News, дополнительно расширена система выявления поведенческих аномалий на основе ИИ, заказана независимая проверка и увеличены вложения в безопасность ИИ. Отдельно биржа сообщила о работе над фондом исследований в области безопасности совместно с партнёрами из сферы ИИ и отрасли. Часть этих шагов повторяет стандартный набор после крупных утечек, однако проверка устройств всех сотрудников и аудит внутренних инструментов ИИ выходят за его рамки.
Тенденция шире одного эпизода. Атаки на криптовалютную инфраструктуру смещаются от уязвимостей смарт-контрактов к людям и внутренним инструментам разработки. Атрибуция ФБР и упоминание 57 заблокированных угроз указывают на устойчивую кампанию, а возврат 98% активов остаётся редким исходом. Обычно судьба средств зависит от действий биржи и от того, успели ли перехватить вывод в первые часы.
